Mục đích của Phụ lục A 5.8 của ISO 27001:2022 là gì?
Mục đích của Phụ lục A Kiểm soát 5.8 của ISO 27001:2022 là đảm bảo rằng quản lý dự án kết hợp các biện pháp bảo mật thông tin.
Theo ISO 27001:2022, biện pháp kiểm soát Phụ lục A này nhằm mục đích đảm bảo rằng các rủi ro bảo mật thông tin liên quan đến các dự án và sản phẩm được quản lý hiệu quả trong quá trình quản lý dự án.
Quản lý dự án và bảo mật dự án là những yếu tố quan trọng cần cân nhắc.
Vì nhiều dự án liên quan đến việc cập nhật quy trình kinh doanh và hệ thống ảnh hưởng đến bảo mật thông tin nên Phụ lục A Kiểm soát 5.8 ghi lại các yêu cầu quản lý dự án.
Vì các dự án có thể liên quan đến nhiều phòng ban và tổ chức nên các mục tiêu kiểm soát 5.8 của Phụ lục A phải được phối hợp giữa các bên liên quan nội bộ và bên ngoài.
Theo hướng dẫn, các biện pháp kiểm soát của Phụ lục A xác định các mối lo ngại về bảo mật thông tin trong các dự án và đảm bảo giải quyết chúng trong suốt vòng đời của dự án .
Quản lý bảo mật thông tin trong các dự án
Một khía cạnh quan trọng của quản lý dự án là bảo mật thông tin, bất kể loại dự án nào. Bảo mật thông tin phải được đưa vào trong cấu trúc của một tổ chức và quản lý dự án đóng vai trò quan trọng trong việc này. Một danh sách kiểm tra đơn giản, có thể lặp lại cho thấy bảo mật thông tin đang được xem xét được khuyến nghị cho các dự án sử dụng khuôn khổ mẫu.
Kiểm toán viên đang tìm kiếm nhận thức về bảo mật thông tin ở mọi giai đoạn của vòng đời dự án. Điều này cũng nên là một phần của giáo dục và nhận thức phù hợp với Bảo mật nguồn nhân lực cho A.6.6.
Để chứng minh sự tuân thủ Quy định bảo vệ dữ liệu chung ( GDPR ) và Đạo luật bảo vệ dữ liệu năm 2018, các tổ chức sáng tạo sẽ kết hợp A.5.8 với các nghĩa vụ liên quan đối với dữ liệu cá nhân và xem xét bảo mật theo thiết kế, Đánh giá tác động bảo vệ dữ liệu (DPIA) và các quy trình tương tự.
Phân tích và xác định các yêu cầu bảo mật thông tin
Các yêu cầu về bảo mật thông tin phải được đưa vào nếu hệ thống thông tin mới đang được phát triển hoặc hệ thống thông tin hiện có đang được nâng cấp.
A.5.6 có thể được sử dụng kết hợp với A.5.8 như một biện pháp bảo mật thông tin. Nó cũng sẽ xem xét giá trị của thông tin có nguy cơ, có thể phù hợp với sơ đồ phân loại thông tin của A.5.12.
Đánh giá rủi ro nên được thực hiện bất cứ khi nào một hệ thống hoàn toàn mới đang được phát triển hoặc một thay đổi đang được thực hiện đối với một hệ thống hiện có. Điều này là để xác định các yêu cầu kinh doanh đối với các biện pháp kiểm soát bảo mật.
Do đó, cần phải xem xét các cân nhắc về bảo mật trước khi lựa chọn giải pháp hoặc bắt đầu phát triển giải pháp. Cần xác định đúng các yêu cầu trước khi lựa chọn câu trả lời.
Các yêu cầu về bảo mật cần được nêu rõ và thống nhất trong quá trình mua sắm hoặc phát triển để làm điểm tham chiếu.
Việc lựa chọn hoặc tạo ra một giải pháp rồi sau đó đánh giá mức độ khả năng bảo mật của giải pháp đó sau này không phải là một thông lệ tốt. Kết quả thường là rủi ro cao hơn và chi phí cao hơn. Nó cũng có thể dẫn đến các vấn đề với luật hiện hành, chẳng hạn như GDPR , khuyến khích triết lý thiết kế an toàn và các kỹ thuật như Đánh giá tác động bảo vệ dữ liệu và quyền riêng tư (DPIA). Trung tâm an ninh mạng quốc gia (NCSC) cũng đã xác nhận một số thông lệ phát triển và nguyên tắc quan trọng như các hướng dẫn để xem xét. ISO 27001 cũng bao gồm hướng dẫn triển khai . Cần phải có tài liệu về bất kỳ quy định nào được tuân theo.
Kiểm toán viên có trách nhiệm đảm bảo các cân nhắc về bảo mật được xem xét ở mọi giai đoạn của vòng đời dự án. Điều này bất kể dự án là cho một hệ thống mới phát triển hay để sửa đổi một hệ thống hiện có.
Ngoài ra, họ sẽ mong muốn tính bảo mật, tính toàn vẹn và tính khả dụng được xem xét trước khi quá trình lựa chọn hoặc phát triển bắt đầu.
Bạn có thể tìm thêm thông tin về các yêu cầu của ISO 27001 và các biện pháp kiểm soát Phụ lục A trong ISOA.vn Virtual Coach , bổ sung cho các khuôn khổ, công cụ và tài liệu chính sách của chúng tôi.
Tầm quan trọng của bảo mật thông tin trong quản lý dự án
Số lượng doanh nghiệp tiến hành hoạt động trực tuyến ngày càng tăng đã nâng cao tầm quan trọng của bảo mật thông tin trong quản lý dự án. Do đó, các nhà quản lý dự án phải đối mặt với số lượng nhân viên ngày càng tăng làm việc bên ngoài văn phòng và sử dụng thiết bị cá nhân của họ để làm việc.
Việc tạo chính sách bảo mật cho doanh nghiệp của bạn sẽ giúp bạn giảm thiểu rủi ro vi phạm hoặc mất dữ liệu. Ngoài ra, bạn sẽ có thể tạo báo cáo chính xác về tình trạng dự án và tài chính tại bất kỳ thời điểm nào.
Là một phần của quá trình lập kế hoạch và thực hiện dự án, bảo mật thông tin cần được đưa vào theo những cách sau:
- Xác định các yêu cầu về bảo mật thông tin cho dự án, có tính đến nhu cầu kinh doanh và yêu cầu pháp lý.
- Các mối đe dọa về an ninh thông tin cần được đánh giá dựa trên tác động rủi ro của chúng .
- Để quản lý tác động rủi ro, hãy thực hiện các biện pháp kiểm soát và quy trình phù hợp.
- Đảm bảo các biện pháp kiểm soát này được giám sát và báo cáo thường xuyên.
Chìa khóa để đảm bảo an toàn cho các dự án kinh doanh của bạn là đảm bảo rằng các nhà quản lý dự án hiểu được tầm quan trọng của bảo mật thông tin và tuân thủ nó trong nhiệm vụ của họ.
Làm thế nào để đáp ứng các yêu cầu và những gì liên quan
Việc tích hợp bảo mật thông tin vào quản lý dự án là điều cần thiết vì nó cho phép các tổ chức xác định, đánh giá và giải quyết các rủi ro bảo mật.
Hãy xem xét ví dụ về một tổ chức triển khai hệ thống phát triển sản phẩm phức tạp hơn.
Một hệ thống phát triển sản phẩm mới có thể được đánh giá về rủi ro bảo mật thông tin, bao gồm cả việc tiết lộ trái phép thông tin độc quyền của công ty. Có thể thực hiện các bước để giảm thiểu những rủi ro này.
Để tuân thủ ISO 27001:2022 đã sửa đổi , người quản lý bảo mật thông tin phải hợp tác với người quản lý dự án để xác định, đánh giá và giải quyết các rủi ro bảo mật thông tin như một phần của quy trình quản lý dự án nhằm đáp ứng các yêu cầu của ISO 27001:2022 đã sửa đổi. Quản lý dự án phải tích hợp bảo mật thông tin để nó không phải là việc được thực hiện “cho” dự án mà là việc “là một phần của dự án”.
Theo Phụ lục A, mục 5.8, hệ thống quản lý dự án phải yêu cầu những điều sau:
- Rủi ro về an ninh thông tin được đánh giá và giải quyết sớm và định kỳ trong suốt vòng đời của dự án.
- Các yêu cầu về bảo mật phải được giải quyết ngay từ đầu quá trình phát triển dự án, ví dụ như yêu cầu bảo mật ứng dụng (8.26), yêu cầu tuân thủ quyền sở hữu trí tuệ (5.32), v.v.
- Là một phần của vòng đời dự án, các rủi ro về bảo mật thông tin liên quan đến việc thực hiện dự án được xem xét và giải quyết. Bao gồm bảo mật các kênh truyền thông nội bộ và bên ngoài.
- Tiến hành đánh giá và kiểm tra hiệu quả xử lý rủi ro an ninh thông tin.
Tất cả các dự án, bất kể độ phức tạp, quy mô, thời gian, chuyên ngành hay lĩnh vực ứng dụng, bao gồm các dự án phát triển CNTT, đều phải được Quản lý dự án (PM) đánh giá về các yêu cầu bảo mật thông tin. Người quản lý bảo mật thông tin phải hiểu Chính sách bảo mật thông tin và các thủ tục liên quan cũng như tầm quan trọng của bảo mật thông tin.
Phiên bản ISO 27001:2022 đã sửa đổi có thêm thông tin chi tiết về hướng dẫn thực hiện.
Những thay đổi và khác biệt so với ISO 27001:2013 là gì?
Trong ISO 27001:2022 , hướng dẫn triển khai cho Bảo mật thông tin trong Quản lý dự án đã được sửa đổi để phản ánh nhiều giải thích hơn so với ISO 27001:2013. Theo ISO 27001:2013, mọi nhà quản lý dự án đều phải biết ba điểm liên quan đến bảo mật thông tin. Tuy nhiên, điều này đã được mở rộng thành bốn điểm trong ISO 27001:2022.
Tiêu chuẩn 5.8 trong Phụ lục A của ISO 27001:2022 không phải là tiêu chuẩn mới mà là sự kết hợp của tiêu chuẩn 6.1.5 và 14.1.1 trong ISO 27001:2013.
Các yêu cầu liên quan đến bảo mật thông tin đối với các hệ thống thông tin mới phát triển hoặc nâng cao được thảo luận trong Phụ lục A Kiểm soát 14.1.1 của ISO 27001:2013.
Phụ lục A hướng dẫn thực hiện biện pháp kiểm soát 14.1.1 tương tự như biện pháp kiểm soát 5.8, liên quan đến việc đảm bảo kiến trúc và thiết kế của hệ thống thông tin được bảo vệ chống lại các mối đe dọa đã biết trong môi trường hoạt động.
Mặc dù không phải là một biện pháp kiểm soát mới, Phụ lục A Biện pháp kiểm soát 5.8 mang lại một số thay đổi đáng kể cho tiêu chuẩn. Hơn nữa, việc kết hợp hai biện pháp kiểm soát làm cho tiêu chuẩn thân thiện hơn với người dùng.
