Yêu cầu 9.3 – Đánh giá của ban quản lý

Đánh giá quản lý ISO 27001 cần bao gồm những gì?

Đánh giá của ban quản lý ít nhất phải tuân theo một định dạng chuẩn xem xét các yêu cầu của 9.3 đối với ISO 27001:2103. Những yêu cầu này được nêu dưới đây. Ngoài ra, tổ chức cũng có thể muốn đưa các chế độ tuân thủ khác vào đánh giá, chẳng hạn như Cyber ​​Essentials, ISO 9001 và các thông lệ tốt khác, để tạo điều kiện cho các đánh giá hiệu quả và đưa ra quyết định sáng suốt. Thậm chí có thể liên kết các khía cạnh bảo mật thông tin 9.3 đối với 9.3 vào các cuộc họp quản lý cấp cao rộng hơn hoặc các cuộc họp Hội đồng quản trị chính thức. Dù bằng cách nào, tổ chức cũng cần ghi lại kết quả và hành động từ các cuộc đánh giá.

Đối với các tổ chức đang trong giai đoạn triển khai ISMS, chúng tôi cũng khuyến nghị họ tiến hành đánh giá quản lý hàng tuần như một phần của thói quen xây dựng thực hành tốt và bao gồm các bài học triển khai, mục tiêu và vấn đề của giai đoạn tiếp theo cùng với các yếu tố của chương trình nghị sự quản lý chính thức có thể được đề cập. Các kiểm toán viên bên ngoài thực sự muốn thấy tổ chức nắm bắt tinh thần của đánh giá quản lý và muốn thấy hiệu quả từ công tác lập kế hoạch và triển khai, điều này cũng phù hợp với các yêu cầu của điều khoản 7.5 và điều khoản 8 về hoạt động.

Chương trình nghị sự chính thức của đợt đánh giá quản lý ISO 27001 9.3 phải bao gồm việc xem xét:

• Tình trạng của các hành động từ các đợt đánh giá quản lý trước đó
• Những thay đổi trong các vấn đề bên ngoài và bên trong có liên quan đến hệ thống quản lý an ninh thông tin
• Phản hồi về hiệu suất bảo mật thông tin, bao gồm các xu hướng trong:
  • Sự không phù hợp và hành động khắc phục;
  • Kết quả giám sát và đo lường;
  • Kết quả kiểm toán; và
  • Thực hiện các mục tiêu bảo mật thông tin.
• Phản hồi từ các bên quan tâm
• Kết quả đánh giá rủi ro và tình trạng của kế hoạch xử lý rủi ro; và
• Cơ hội cải tiến liên tục.

Bạn cũng có thể muốn thêm một điểm nữa:

• Thống nhất về Trọng tâm Kiểm toán cho Kỳ tới. Điều này là tùy chọn nếu bạn là một tổ chức nhanh nhẹn và không thể chỉ định đầy đủ toàn bộ chương trình kiểm toán và lập kế hoạch quá xa trước. Tuy nhiên, hãy lưu ý rằng một số kiểm toán viên bên ngoài muốn có sự rõ ràng hơn về toàn bộ chương trình cho chu kỳ chứng nhận!

Đầu ra của quá trình đánh giá của ban quản lý phải bao gồm các quyết định liên quan đến các cơ hội cải tiến liên tục và mọi nhu cầu thay đổi đối với hệ thống quản lý bảo mật thông tin.