Yêu cầu 5.2 – Chính sách bảo mật thông tin

Điều khoản 5.2 bao gồm những gì?

Ban quản lý cấp cao phải thực hiện nhiều việc xung quanh chính sách đó để đưa nó vào cuộc sống – không chỉ chuẩn bị chính sách để chia sẻ như một phần của phản hồi đấu thầu! Trong quá khứ gần đây, khi một khách hàng yêu cầu một nhà cung cấp tiềm năng cung cấp một bản sao chính sách bảo mật thông tin của họ, tài liệu đó có thể nêu một số điều hay ho và nhẹ nhàng xung quanh quản lý bảo mật thông tin, quản lý rủi ro và đảm bảo thông tin để đáp ứng bài tập đánh dấu vào ô của một người mua sắm trong bộ phận mua hàng.

Không còn như vậy nữa (nói chung). Những người mua thông minh sẽ không chỉ muốn xem một chính sách bảo mật, họ có thể muốn nó được hỗ trợ bởi bằng chứng về chính sách đang hoạt động trong thực tế – tất nhiên là được hỗ trợ bởi một tổ chức chứng nhận bảo mật thông tin độc lập như UKAS hỗ trợ và một ISMS hợp lý đằng sau nó.

Một số việc khác mà ban quản lý cấp cao cần thực hiện xung quanh điều khoản này ngoài việc thiết lập chính sách bao gồm:

• Đảm bảo rằng nó có liên quan đến mục đích của tổ chức (không phải chỉ sao chép từ Google;)
• Làm rõ các mục tiêu bảo mật thông tin (được đề cập nhiều hơn trong mục 6.2) hoặc ít nhất là đặt ra các điều kiện cho chúng – mẹo, điều này phải bao gồm các khía cạnh có liên quan và có thể đo lường được về việc bảo vệ tính bảo mật, tính toàn vẹn và tính khả dụng xung quanh các tài sản thông tin được xác định trong mục 4.1 và được duy trì theo A8.1
• Cam kết đáp ứng các yêu cầu hiện hành về nhu cầu bảo mật thông tin của tổ chức (tức là các yêu cầu cốt lõi của ISO 27001 và các biện pháp kiểm soát của Phụ lục A)
• Đảm bảo cải tiến liên tục đang diễn ra – ISMS là hệ thống trọn đời và với các cuộc kiểm toán giám sát hàng năm, điều này sẽ dễ dàng nhận thấy (hoặc không)
• Chia sẻ và truyền đạt thông tin này với tổ chức và các bên quan tâm khi cần thiết