Yêu cầu 4.1 – Hiểu bối cảnh của tổ chức

Ví dụ về các vấn đề nội bộ

Chúng tôi đã đưa ra một số ý tưởng và ví dụ dưới đây về các lĩnh vực mà bạn có thể tìm thấy các vấn đề nội bộ ảnh hưởng đến kết quả của ISMS nhưng có nhiều vấn đề khác có thể được xem xét tùy thuộc vào tổ chức, lĩnh vực, quy mô, phạm vi và bản chất của sản phẩm và dịch vụ, v.v.

Chúng tôi khuyên bạn nên thực tế và đảm bảo rằng nó không trở thành một bài tập chiến lược lớn hoặc luận văn khi điều đó không cần thiết. Nó không phải là về nơi bạn “gộp” vấn đề nội bộ, ý tưởng phân tích danh mục đầu tư đơn giản như thế này là để giúp não kích hoạt các vấn đề nội bộ.

Vì vậy, cho dù bạn xếp chúng vào nhóm con người, tổ chức hay nơi khác thì điều đó không quan trọng (một số cũng có thể là vấn đề bên ngoài) – việc xác định các vấn đề bên trong hay bên ngoài mới là điều quan trọng để bạn có thể xây dựng hệ thống quản lý bảo mật thông tin phù hợp với mình!

Bạn cũng sẽ cân nhắc bản chất của tổ chức xoay quanh con người, ví dụ như triết lý làm mọi thứ trong công ty, thuê ngoài, v.v. – tất cả những khía cạnh này đều làm phát sinh các “vấn đề” có thể ảnh hưởng đến ISMS.

Ví dụ, bạn có thể kiểm soát nhân viên nội bộ tốt hơn nhà cung cấp, nhưng có thể có lý lẽ cho rằng nên để nhà cung cấp tham gia vào quy trình của họ vì họ cung cấp các dịch vụ bạn muốn. Hãy nhớ rằng mục tiêu kinh doanh của bạn là trên hết – đây chính là cốt lõi của việc xác định vấn đề – hãy điều hành doanh nghiệp theo cách bạn muốn và đảm bảo rằng ISMS bảo vệ thông tin có giá trị của bạn và thông tin của các bên liên quan.

Tất cả các vấn đề có liên quan sau đó nên được xem xét để phân tích rủi ro chi tiết hơn sau này – tuy nhiên không phải tất cả các vấn đề thực sự là rủi ro và một số vấn đề quan trọng hơn những vấn đề khác nên bạn có thể chọn ưu tiên xung quanh các vấn đề lớn hơn. Vì vậy, chúng tôi khuyên bạn nên tránh phân tích rủi ro hoặc bất kỳ cân nhắc sâu sắc nào về những gì nếu ở giai đoạn này và tập trung vào việc xác định các vấn đề.

Thông tin như tài sản là các vấn đề nội bộ ảnh hưởng đến kết quả ISMS

Thông tin nào được tạo, xử lý, lưu trữ, quản lý và có giá trị thực đối với tổ chức và các bên quan tâm (theo phân tích bên liên quan mà bạn sẽ thực hiện cho phần 4.2 tiếp theo)? Dữ liệu cá nhân, ý tưởng nhạy cảm của khách hàng và IPR, thông tin tài chính, thương hiệu, cơ sở mã, v.v.?

Đây chính là cốt lõi của ISMS, nơi tài sản thông tin là nền tảng cho mọi thứ khác – việc xác định sớm các tài sản này cũng giúp A8.1 quản lý kho tài sản thông tin dễ dàng hơn.

Sau đó, hãy xem xét các vấn đề tiềm ẩn xung quanh thông tin đó – đặc biệt là tính bảo mật, tính toàn vẹn và tính khả dụng, đồng thời lưu ý đến các lĩnh vực khác bên dưới khi bạn đưa ra ý tưởng về nơi có thể tìm thấy các vấn đề.

Các vấn đề nội bộ liên quan đến con người có thể ảnh hưởng đến kết quả mong muốn của ISMS
Không có gì ngạc nhiên khi an ninh nguồn nhân lực là một phần quan trọng của ISMS, thực tế Phụ lục A 7 dành riêng cho vấn đề này và tất cả các chính sách, biện pháp kiểm soát và quản lý tiếp theo có thể đều hướng đến con người, bao gồm cả nhân viên nội bộ cũng như các nguồn lực bên ngoài như nhà cung cấp.

Do đó hãy xem xét bất kỳ vấn đề hiện có nào sau đây:

• tuyển dụng – ví dụ như thách thức trong việc tuyển dụng những người có năng lực, tỷ lệ luân chuyển nhân viên cao/thấp
• quá trình hướng dẫn – ví dụ họ có được đào tạo về an ninh thông tin ngay bây giờ không, nó có hiệu quả không
• trong quản lý cuộc sống – ví dụ như giữ cho họ tham gia và thể hiện sự tuân thủ của họ đối với các chính sách và biện pháp kiểm soát, – liệu nhân viên có thực sự thấy bảo mật thông tin hấp dẫn và thú vị hay đó là một thách thức về mặt văn hóa khi yêu cầu ai đó khóa máy tính xách tay của họ khi đi vệ sinh
• thay đổi vai trò và thoát – ví dụ việc truy cập và xóa tài sản thông tin và dịch vụ được thực hiện

Các vấn đề nội bộ của tổ chức ảnh hưởng đến kết quả ISMS

Những vấn đề nào mà tổ chức đang phải đối mặt có thể ảnh hưởng đến kết quả của ISMS? Ví dụ, tăng trưởng nhanh kéo theo các vấn đề về nhân sự và cơ cấu có thể ảnh hưởng đến sự hiểu biết và kiến ​​thức về các chính sách, hoặc mọi thứ thay đổi quá nhanh khiến bạn không thể dễ dàng đưa ra các quy trình chi tiết và nhất quán.

Có áp lực từ ban lãnh đạo tổ chức và hội đồng quản trị hoặc cổ đông nào gây ra vấn đề không (có thể là tích cực cũng như tiêu cực)? Hoạt động quốc tế sẽ có các chuẩn mực văn hóa khác nhau đối với những người liên quan.

Một vấn đề nội bộ khác liên quan đến con người và tổ chức có thể là về thực tế là bạn không muốn nhiều người trong số họ được tuyển dụng hoặc phải vật lộn để tìm được người giỏi nên thay vào đó hãy dựa vào việc thuê ngoài. Điều đó dẫn đến nhu cầu về nhà cung cấp (và nhân viên trong nhà cung cấp) vì vậy đó là vấn đề liên quan đến phân tích các bên quan tâm mà bạn sẽ thực hiện trong 4.2 tiếp theo.

Các vấn đề nội bộ về Sản phẩm & Dịch vụ có thể ảnh hưởng đến kết quả ISMS

Các sản phẩm và dịch vụ do tổ chức cung cấp là gì và những vấn đề nào phát sinh xung quanh đó có thể gây ra rủi ro thông tin? Ví dụ, nếu tổ chức là một đơn vị đổi mới và bảo vệ IPR là quan trọng đối với việc lãnh đạo sản phẩm, thì đó là vấn đề cần được xem xét trong ISMS.

Nếu tổ chức dựa vào tài sản vật chất lớn, ví dụ như nhà sản xuất, điều này có thể gây ra nhiều vấn đề về bảo mật vật lý hơn, trong khi nhà cung cấp phần mềm đám mây nhỏ có thể tập trung nhiều hơn vào các vấn đề như bảo vệ quyền sở hữu trí tuệ khỏi tin tặc kỹ thuật số và các vấn đề liên quan đến sự phụ thuộc vào thành công của sản phẩm và sự đảm bảo của nhà cung cấp dịch vụ lưu trữ, v.v.

Hệ thống và Quy trình là những vấn đề nội bộ ảnh hưởng đến kết quả mong muốn của ISMS

Mọi người thường nghĩ đến máy tính và công nghệ số khi từ “hệ thống” được sử dụng. Tuy nhiên, hệ thống thủ công và hệ thống giấy cũng là những lĩnh vực chính để phát sinh vấn đề nên hãy nhớ cân nhắc đến những vấn đề đó nữa.

Mỗi lĩnh vực được phân loại ở trên sẽ có các hệ thống và quy trình liên quan – có thể là ngầm định (chúng tôi luôn thực hiện theo cách đó và không bao giờ ghi lại) hoặc có thể được gói gọn trong một khối tài liệu mà không ai có thể theo dõi được…….sau khi xem xét các lĩnh vực IPOP ở trên, hãy nghĩ về các vấn đề nội bộ về hệ thống và quy trình xung quanh chúng – ví dụ, nếu bạn tuyển dụng nhân viên thường xuyên nhưng không có quy trình và hệ thống chính thức thể hiện quá trình đánh giá và sàng lọc theo quan điểm bảo mật thông tin, thì bạn đang gặp vấn đề (đặc biệt là vì Phụ lục A7 của ISO 27001).

Một vấn đề là bạn có thể đang tuyển dụng những người sẽ trở thành kẻ thù bên trong, hoặc là do thiếu hiểu biết về bảo mật thông tin hoặc vì họ là kẻ phá hoại và bạn chưa bao giờ cân nhắc đến điều đó. Tương tự với tất cả các hệ thống và quy trình trên toàn tổ chức nằm trong phạm vi bảo đảm thông tin – loại vấn đề nào phát sinh khi tính bảo mật, tính toàn vẹn hoặc tính khả dụng của thông tin có thể bị đe dọa?