ISO 27001:2022, Phụ lục A kiểm soát 5.4, Trách nhiệm của ban quản lý bao gồm nhu cầu của ban quản lý nhằm đảm bảo rằng tất cả nhân viên đều tuân thủ mọi chính sách và quy trình cụ thể về chủ đề bảo mật thông tin như được xác định trong chính sách bảo mật thông tin đã thiết lập của tổ chức.
Phụ lục A 5.4 Trách nhiệm của ban quản lý trong ISO 27001:2022 là gì?
Nhân viên và nhà thầu phải nhận thức và thực hiện trách nhiệm bảo mật thông tin của mình như được mô tả trong Phụ lục này.
Phụ lục A Kiểm soát 5.4 mô tả cách nhân viên và nhà thầu áp dụng bảo mật thông tin theo chính sách và quy trình của tổ chức.
Trách nhiệm đặt ra cho người quản lý phải bao gồm các yêu cầu sau:
- Họ phải hiểu các mối đe dọa, lỗ hổng và biện pháp kiểm soát an ninh thông tin liên quan đến vai trò công việc của mình và phải được đào tạo thường xuyên (như được nêu trong Phụ lục A 7.2.2).
- Tăng cường các yêu cầu về điều khoản và điều kiện tuyển dụng bằng cách đảm bảo sự ủng hộ chủ động và đầy đủ cho các chính sách và biện pháp kiểm soát bảo mật thông tin được áp dụng trong Phụ lục A.
Người quản lý có trách nhiệm đảm bảo nhận thức và sự tận tâm về an ninh thấm nhuần vào toàn bộ tổ chức và thiết lập một “văn hóa an ninh” phù hợp.
Chính sách bảo mật thông tin – Chúng là gì?
Chính sách bảo mật thông tin là một văn bản chính thức cung cấp định hướng quản lý, mục tiêu và nguyên tắc để bảo vệ thông tin của một tổ chức. Để đảm bảo phân bổ nguồn lực một cách phù hợp, một chính sách bảo mật thông tin hiệu quả cần được điều chỉnh theo nhu cầu cụ thể của tổ chức và được ban quản lý cấp cao hỗ trợ.
Quy định này nêu rõ cách công ty sẽ bảo vệ tài sản thông tin của mình và cách nhân viên xử lý dữ liệu nhạy cảm.
Hầu hết các chính sách bảo mật thông tin đều được ban quản lý cấp cao phối hợp với nhân viên an ninh CNTT xây dựng và được lấy từ luật pháp, quy định và thông lệ tốt nhất.
Một khuôn khổ để xác định vai trò, trách nhiệm và thời gian xem xét cũng nên được đưa vào chính sách.
Tại sao Phụ lục A 5.4 của ISO 27001:2022 lại quan trọng?
Phụ lục A Kiểm soát 5.4 nhằm đảm bảo rằng ban quản lý nhận thức được trách nhiệm của mình đối với bảo mật thông tin.
Cần thực hiện các bước để đảm bảo tất cả nhân viên đều nhận thức được những trách nhiệm đó.
Phụ lục A 5.4 hoạt động như thế nào
Thông tin là tài sản có giá trị phải được bảo vệ chống lại mất mát, hư hỏng hoặc sử dụng sai mục đích. Ban quản lý phải đảm bảo thực hiện các biện pháp thích hợp để bảo vệ tài sản này. Để đạt được điều này, ban quản lý phải đảm bảo rằng tất cả nhân viên tuân thủ các chính sách bảo mật thông tin , chính sách chuyên đề và quy trình của tổ chức.
Kiểm soát 5.4 trong Phụ lục A xác định trách nhiệm quản lý liên quan đến bảo mật thông tin trong một tổ chức dựa trên khuôn khổ ISO 27001.
Ban quản lý phải tham gia chương trình bảo mật thông tin và tất cả nhân viên và nhà thầu phải biết về chính sách bảo mật thông tin và tuân thủ chính sách đó. Chính sách bảo mật, chính sách theo chủ đề cụ thể và quy trình không bao giờ được miễn trừ khỏi việc tuân thủ bắt buộc của bất kỳ nhân viên hoặc nhà thầu nào.
Quy trình của Phụ lục A 5.4 và những điều mong đợi
Chính sách, tiêu chuẩn và quy trình bảo mật thông tin của tổ chức phải được ban quản lý thực thi để tuân thủ biện pháp kiểm soát Phụ lục A này.
Bước đầu tiên là nhận được sự ủng hộ và đồng thuận của ban quản lý.
Để chứng minh cam kết, ban quản lý phải tuân thủ tất cả các chính sách và quy trình của mình. Ví dụ, nếu đào tạo nhận thức về an ninh được yêu cầu hàng năm, các nhà quản lý nên tự hoàn thành các khóa học đó.
Bất kể vị trí của họ là gì, mọi người trong công ty đều phải nhận thức được tầm quan trọng của bảo mật thông tin. Như đã nêu trong chương trình ISMS của công ty, mọi người phải hiểu vai trò của mình trong việc duy trì bảo mật dữ liệu nhạy cảm. Điều này bao gồm hội đồng quản trị, giám đốc điều hành và quản lý, và nhân viên.
Những thay đổi và khác biệt so với ISO 27001:2013 là gì?
ISO 27001:2022 Phụ lục A 5.4 Trách nhiệm quản lý trước đây được gọi là Kiểm soát 7.2.1 Trách nhiệm quản lý . Đây không phải là một biện pháp kiểm soát mới được thêm vào mà là một cách diễn giải mạnh mẽ hơn về biện pháp kiểm soát tương ứng trong ISO 27001:2013 .
Có một số khác biệt giữa Phụ lục A, kiểm soát 5.4 và kiểm soát 7.2.1. Những khác biệt này được ghi lại trong hướng dẫn triển khai cho cả hai.
So sánh hướng dẫn triển khai ISO 27001 cho Phụ lục A 5.4
Ban quản lý có trách nhiệm đảm bảo rằng nhân viên và nhà thầu tuân thủ các tiêu chuẩn sau:
- Trước khi truy cập vào thông tin bí mật hoặc hệ thống thông tin, nhân viên được đào tạo đầy đủ về vai trò và trách nhiệm bảo mật thông tin.
- Cung cấp hướng dẫn để nêu rõ kỳ vọng về bảo mật thông tin liên quan đến vai trò của họ trong tổ chức.
Một tổ chức phải:
- Có động lực để đảm bảo các chính sách bảo mật thông tin của tổ chức được tuân thủ.
- Hiểu rõ vai trò và trách nhiệm của họ về mặt bảo mật thông tin.
- Tuân thủ chính sách bảo mật thông tin của tổ chức và phương pháp làm việc phù hợp.
- Đảm bảo nhân viên có đủ kỹ năng và trình độ phù hợp và được đào tạo thường xuyên.
- Việc báo cáo các hành vi vi phạm chính sách hoặc quy trình bảo mật thông tin có thể được thực hiện ẩn danh (“tố cáo”).
Ban quản lý phải hỗ trợ các chính sách, quy trình và biện pháp kiểm soát bảo mật thông tin theo Phụ lục A.
Mục 5.4 của Phụ lục A thân thiện hơn với người dùng và yêu cầu ban quản lý phải đảm bảo rằng nhân viên và nhà thầu tuân thủ các hướng dẫn sau:
A) Được thông báo về trách nhiệm và vai trò của mình trong bảo mật thông tin trước khi được cấp quyền truy cập vào thông tin của tổ chức.
B) Nhận hướng dẫn nêu rõ mức độ bảo mật thông tin mong đợi trong vai trò cụ thể của họ.
C) Thực hiện chính sách bảo mật thông tin của tổ chức và các chính sách cụ thể theo chủ đề.
D) Nhận thức được vai trò và trách nhiệm của mình liên quan đến an ninh thông tin.
E) Tuân thủ các quy định tại nơi làm việc, bao gồm chính sách bảo mật dữ liệu và phương pháp làm việc của tổ chức.
F) Không ngừng tự đào tạo bản thân về các kỹ năng và trình độ về an ninh thông tin.
G) Trong trường hợp vi phạm chính sách bảo mật thông tin, chính sách hoặc thủ tục cụ thể theo chủ đề (“tố giác”), nhân viên phải được cung cấp kênh liên lạc bảo mật. Có thể có tùy chọn hoặc điều khoản báo cáo ẩn danh đảm bảo rằng danh tính của người báo cáo chỉ được những người cần xử lý các báo cáo này biết.
H) Đảm bảo đủ nguồn lực và thời gian lập kế hoạch dự án để triển khai các quy trình liên quan đến an ninh và các biện pháp kiểm soát của Phụ lục A.
Tiêu chuẩn ISO 27001:2022 yêu cầu rõ ràng rằng người lao động và nhà thầu phải có quyền truy cập vào các nguồn lực cần thiết và thời gian lập kế hoạch dự án để triển khai các quy trình và biện pháp kiểm soát liên quan đến an ninh.
ISO 27001:2013 và ISO 27001:2022 sử dụng cách diễn đạt khác nhau cho một số hướng dẫn triển khai. Ví dụ, hướng dẫn C năm 2013 nêu rằng nhân viên và nhà thầu nên được ‘khuyến khích’ áp dụng các chính sách ISMS; tuy nhiên, năm 2022, từ ‘bắt buộc’ được sử dụng.
