Yêu cầu 7.5 – Thông tin được ghi chép

Điều khoản 7.5 bao gồm những gì?

Do đó, một trong những yêu cầu chính đối với ISO 27001 là mô tả hệ thống quản lý bảo mật thông tin của bạn và sau đó chứng minh cách thức đạt được các kết quả mong muốn cho tổ chức. Điều cực kỳ quan trọng là mọi thứ liên quan đến ISMS đều được ghi chép, bảo trì tốt và dễ tìm nếu tổ chức muốn đạt được chứng nhận ISO 27001 độc lập từ một tổ chức như UKAS.

Điều khoản 7.5 của ISO 27001 được chia nhỏ như sau:

Mục 7.5.1 – Tài liệu chung cho ISO 27001

ISMS cần phải bao gồm rõ ràng:

• Mô tả cách giải quyết các yêu cầu cốt lõi từ 4.1 đến 10.2, bao gồm đánh giá và xử lý rủi ro dẫn đến việc lựa chọn các biện pháp kiểm soát trong Phụ lục A.
• Các biện pháp kiểm soát Phụ lục A có liên quan là một phần của tuyên bố về khả năng áp dụng – về cơ bản có nghĩa là bạn cần phải liệt kê tất cả các biện pháp kiểm soát. Ngay cả khi một tổ chức quyết định rằng một biện pháp kiểm soát không liên quan, tổ chức đó vẫn phải ghi lại ví dụ nếu tổ chức đó không cần khu vực giao hàng và khu vực bốc xếp trong Phụ lục A 11.1.6 vì đây là một doanh nghiệp hoàn toàn kỹ thuật số, thì tổ chức đó cần phải chứng minh với kiểm toán viên rằng tổ chức đó đã cân nhắc rằng không có rủi ro và không cần biện pháp kiểm soát đó.

Mục 7.5.2 – Tạo và cập nhật thông tin được ghi chép cho ISO 27001

ISO 27001 muốn có sự rõ ràng trong tài liệu, tìm kiếm sự nhận dạng và mô tả, định dạng, đánh giá và phê duyệt về tính phù hợp và đầy đủ để phục vụ mục đích của nó. Thật dễ dàng để bỏ qua các sắc thái của các yêu cầu này nhưng trên thực tế, điều này có nghĩa là xem xét tác giả, ngày, tiêu đề, tài liệu tham khảo, v.v. và quy trình phê duyệt cũng rất quan trọng để phù hợp với Phụ lục A 5.1.2 như được mô tả bên dưới.

Điều khoản 7.5.3 – Kiểm soát thông tin được ghi chép cho ISO 27001

Cốt lõi của ISMS là nguyên tắc Bảo mật, Toàn vẹn và Sẵn sàng cho thông tin. Cũng giống như bản thân ISMS, thông tin cần phải sẵn sàng khi cần và được bảo vệ đầy đủ khỏi việc mất tính bảo mật, sử dụng trái phép hoặc khả năng xâm phạm tính toàn vẹn.

Chỉ cần đổ nội dung ISMS vào ổ đĩa chia sẻ của nhóm và để nó không được kiểm soát hoặc không có quyền truy cập hiệu quả thì gần như chắc chắn sẽ dẫn đến các vấn đề cho tổ chức trong quá trình kiểm toán. Tương tự như vậy, để nó trên ổ đĩa cá nhân mà những người cần biết về ISMS không thể truy cập cũng sẽ là một vấn đề, do đó cần cân nhắc đến nhiều lĩnh vực để kiểm soát hiệu quả. ISO tìm kiếm một tổ chức giải quyết các khía cạnh sau:

• chia sẻ và phân phối rõ ràng, kiểm soát quyền truy cập vào một số hoặc toàn bộ ISMS – lưu ý rằng quyền truy cập để đọc, cập nhật, phê duyệt, xóa, v.v. có thể cần khác nhau tùy theo vai trò của bên liên quan
• lưu trữ và bảo quản, bao gồm kiểm soát các thay đổi (hiển thị các phiên bản cũ hơn, phê duyệt lịch sử, v.v.)
• việc giữ lại và xử lý cũng cần được xem xét

Yêu cầu này cũng phù hợp với việc xem xét thường xuyên các chính sách được nêu trong Phụ lục A.5.1.2 cũng được đề cập bên dưới.