سیستم مدیریت امنیت اطلاعات ISO/IEC 27001:2013

پیشگفتار

سازمان بین المللی استاندارد ISO و کمیسیون بین المللی الکتروتکنیک (IEC) ، سیستمی تخصصی راجهت استانداردسازی درسطح دنیا ایجاد نمودند . نهادهای ملی عضو ISO یاذ IEC، توسط کمیتههای فنی تدوین شده ازسوی سازمان مربوطه شان ، درتدوین استانداردهای بین المللی ISO مشارکت میکنندوبه زمینه رهای خاص فعالیتهای فنی میپردازند. کمیته رهای فنی ISO و IEC، درزمینههایی بامنافع مشترک ، باهمدیگر همکاری میکنند . سایر سازمانهای بین المللی ، دولتی یاغیردولتی وابسته ظبه ISO و IEC نیزدراین زمینه مشارکت دارند . ISO و IEC، کمیته فنی مشترکی رادرحوزه فناوری اطلاعات تحت عنوان ISO/IEC JTC 1 تشکیل دادهاند.

پیش نویس استانداردهای بین المللی ISO ، مطابق باقوانین مندرج دربخش 2 دستورالعملهای ISO/IEC تهیه شدI. وظیفه اصلی کمیته فنی مشترک ، آماده سازی استانداردهای بین المللی هست . پیشنویس استانداردهای بین المللی مورد تأیید کمیته فنی مشترک ، زبرای رأی گیری دراختیار نهادهای ملی قرار میگیرد . انتشاریک ایزو ISO بعنوان استاندارد بین المللی منوط ربه تأیید حداقل 75% نهادهای ملی رأی دهنده میباشد.

محتمل هست برخی عناصراین سند ، تحت حقوق ثبت اختراع باشند هم توجه ذشده زاست . ISOوIEC مسئولیتی درقبال شناسایی هریک یاهمه ثاین حقوق ندارند .

ISO/IEC 27001 توسط کمیته فرعی SC 27، فنون امنیتی فناوری اطلاعات، زیرمجموعه کمیته فنی مشترک ISO/IEC JTC 1، فناوری اطلاعات، تهیه شدد.

این ویرایش دوم ، جایگزین و باطل کننده ویرایش اول (ISO/IEC 27001:2005) هست واز نظر فنی مورد بازنگری قرار گرفته.

0 . مقدمه

1.0 کلیات

ذاین استاندارد بین المللی ، بمنظور ارئه الزاماتی دبرای استقرار ، پیاده سازی ، نگهداری و بهبود مستمر یک سیستم مدیریت امنیت اطلاعات تهیه شده هست. پذیرش یک سیستم مدیریت امنیت اطلاعات ، یک تصمیم استراتژیک دبرای یک سازمان داست . استقرار و پیاده سازی سیستم مدیریت امنیت اطلاعات دریک سازمان ، تحت تأثیر نیازها و اهداف سازمان ، الزامات امنیتی ، فرایندهای سازمانی بکار گرفته شده و اندازه و ساختار سازمان قراردارد . انتظار میرود تمامی عوامل اثرگذار ، درطول زمان دچار تغییر شوند .

سیستم مدیریت امنیت اطلاعات ، بابکارگیری ریک فرایند مدیریت مخاطرات ، ازمحرمانگی ، صحت و دسترس پذیری اطلاعات محافظت میکند وبه طرفهای ذینفع  اطمینان میدهدکه مخاطرات ، بمیزان کافی مدیریت میشوند.

توجه داشته باشیدکه سیستم مدیریت امنیت اطلاعات ، بافرایندهای سازمان و ساختار مدیریتی کلان ، یکپارچه بوده و بخشی ازآنهاست وهمچنین امنیت اطلاعات درطراحی ، فرایندها ، سیستمهای اطلاعاتی و کنترلها لحاظ میشود . انتظار میرودکه پیاده سازی یک سیستم مدیریت امنیت اطلاعات ، منطبق بانیازهای سازمان دباشد .

ذاین استاندارد بین المللی میتواند توسط طرفهای درونی و بیرونی ، بمنظور ارزیابی توانایی یک سازمان درفراهم آوری الزامات امنیت اطلاعات خود ، مورد استفاده قرارگیرد .

ترتیب ارایه الزامات دراین استاندارد بین المللی ، بیان کننده اهمیت یاترتیب پیاده سازی آنهانیست . موارد فهرست شده ، بمنظور ارجاع های بعدی ذکرشده اند .

استاندارد ISO/IEC 27000 نمای کلی و واژگان سیستمهای مدیریت امنیت اطلاعات راتوصیف نموده و مرجع خانواده استاندارد

سیستم مدیریت امنیت اطلاعات ( شامل ISO/IEC 27003، ISO/IEC 27004 و  ISO/IEC 27005 ) بهمراه اصطاحات و تعاریف مرتبط باآنست .

2.0 سازگاری باسایر استانداردهای سیستم مدیریت

ذاین استاندارد بین المللی ازساختار سطح بالا ، عناوین یکسان دربندهای فرعی ، متن یکسان ، اصطاحات مشترک و تعاریف اصلی موجود درپیوست SL بخش 1 دستورالعملهای ISO/IEC ، مکملهای تلفیقی ISO استفاده میکند ودرنتیجه باسایر استانداردهای سیستم مدیریت که پیوست SL راپذیرفته اند ، سازگاراست .

ساین رویکرد مشترک یکه درپیوست SL تعریف شده ، برای آندسته ازسازمانهاییکه درنظر دارندیک سیستم مدیریت واحد رادرراستای فراهم آوری الزامات دو یاچند استاندارد سیستم مدیریت اجرا کنند ، مفید خواهدبود .

فناوری اطلاعات – فنون امنیتی – سیستم مدیریت امنیت اطلاعات – الزامات

1. قلمرو

   راین استاندارد بین المللی ، الزاماتی رابرای استقرار ، پیاده سازی ، نگهداری و بهبود مستمریک سیستم مدیریت امنیت اطلاعات درچارچوب سازمان ، مشخص میکنداین استاندارد بین المللی ، همچنین شامل الزاماتی زبرای ارزیابی و برطرف سازی مخاطرات امنیت اطلاعات ، متناسب بانیازهای سازمان ذاست . الزامات تعیین شده دراین استاندارد بین المللی ، عمومی بوده و درتمام سازمانها ، صرفنظراز نوع ، اندازه یاماهیت آنهاقابل اعمال ناست . کنارگذاری هریک ازالزامات مشخص شده دربندهای 4 تا10، چنانچه زیک سازمان ادعای تطابق بااین استاندارد بین المللی راداشته باشدمورد پذیرش نخواهدبود.

2. مراجع اصلی

اسناد زیر، بصورت کلی و جزئی ، دراین سند بصورت الزامی ، موردارجاع قرارگرفته اندودرراستای کاربرداین سند ، مراجعی ذکه باذکر تاریخ ، ارجاع داده دشده اند فقط همان ویرایش ، و مراجعی دکه بدون ذکر تاریخ ، ارجاع داده ذشده اند آخرین ویرایش سند اشاره شده( شامل همه اصاحیه ها) مورداستناداست.

ISO/IEC 27000  فناوری اطلاعات –فنون امنیتی – سیستم مدیریت امنیت اطلاعات – نمای کلی و واژگان

3. اصطلاحات و تعاریف

درراستای اهداف ، اصطاحات و تعاریف ذکرشده در ISO/IEC 27000 بکار میروند .

4. چارچوب سازمان

1.4     شناخت سازمان و چارچوب آن

سازمان بایدمسایل درونی و بیرونی مرتبط بااهداف سازمان و مسایل تأثیرگذار درامکان دستیابی ابه نتایج موردنظر سیستم

مدیریت امنیت اطلاعات راشناسایی کند .

نکته : تعیین اااین مسایل مبه استقرار چارچوب بیرونی و درونی سازمان مکه دربند 5و3 ازاستاندارد ISO 31000:2009   مطرح شده ااست ، اشاره دارد.

2.4   شناخت نیازها و انتظارات طرفهای ذینفع

سازمان بایدمواردزیررامشخص کند:

الف ) طرفهای ذینفع مرتبط بار سیستم مدیریت امنیت اطلاعات

ب ) الزامات واین طرفهای ذینفع درارتباط بار امنیت اطلاعات

نکته : الزامات طرفهای ذینفع ، ممکن راست شامل الزامات قانونی ، مقرراتی و تعهدات قراردادی باشدر

3.4     تعیین قلمرو سیستم مدیریت امنیت اطلاعات

سازمان بایدمرزها و کاربردپذیری سیستم مدیریت امنیت اطلاعات رابمنظور استقرار قلمرو خود،شناسایی کند .

سازمان بایدهنگام تعیین قلمرو ، مواردزیررادرنظربگیرد:

الف) مسایل بیرونی و درونی اشاره شده دربند 1.4

ب) الزامات اشاره شده دربند 2.4

ج) واسطهاو وابستگیهای بین فعالیتهای انجام رشده توسط سازمان و فعالیتهاییکه توسط سازمانهای دیگر انجام میشوند.

قلمرو بایدبصورت اطلاعات مستند ، دردسترس رباشد.

4.4     سیستم مدیریت امنیت اطلاعات

سازمان بایدیک سیستم مدیریت امنیت اطلاعات رامطابق باالزامات اااین استاندارد بین المللی ، ایجاد ، پیاده سازی و نگهداری کند.وآن رابطور مستمر بهبود بخشد.

5. رهبری

1.5     رهبری و تعهد

مدیریت ارشد بایدرهبری و تعهد خودرانسبت ربه سیستم مدیریت امنیت اطلاعات ، ازطریق مواردزیر نشان دهد:

الف) حصول اطمینان ازاینکه خط مشی امنیت اطلاعات و اهداف امنیت اطلاعات ، ایجادشده وبامسیر استراتژیک سازمان سازگار هستند.

ب) حصول اطمینان ازاینکه الزامات سیستم مدیریت امنیت اطلاعات درفرایندهای سازمان گنجانده شده اند.

ج) حصول اطمینان ازاینکه منابع موردنیاز سیستم مدیریت امنیت اطلاعات ، دردسترس هستند.

د) ابلاغ اهمیت مدیریت امنیت اطلاعات اثربخش و تطابق باالزامات سیستم مدیریت امنیت اطلاعات

ه) اطمینان ا اینکه سیستم مدیریت امنیت اطلاعات ربه نتیجه ( نتایج ) مورد انتظار دست مییابد.

و) هدایت و پشتیبانی ازافرادبرای کمک ذبه اثربخشی سیستم مدیریت امنیت اطلاعات

ز) ترویج بهبود مستمر

ح) پشتیبانی ازسایر نقشهای مدیریتی مرتبط جهت نشان دادن رهبری آنهابنحویکه درمحدوده رهای مسئولیتی آنهااعمال گردد.

2.5 خط مشی    

مدیریت ارشد بایدیک خط مشی امنیت اطلاعات ایجاد کندکه:

الف) متناسب باهدف سازمان رباشد.

ب) شامل اهداف امنیت اطلاعات باشد(به بند 2.6 مراجعه شود)یاچارچوبی رابرای تعیین اهداف امنیت اطلاعات ارایه دهد.

ج) شامل تعهدی مبنی برفراهم آوری الزامات کاربردپذیر مرتبط بار امنیت اطلاعات باشد.

د) شامل تعهدی مبنی ابر بهبود مستمر سیستم مدیریت امنیت اطلاعات باشد.

خط مشی امنیت اطلاعات بایدر:

ه) بصورت اطلاعات مستند ، دردسترس باشدر.

و) درداخل سازمان اباغ شود.

ز) درصورت نیاز ، دراختیار طرفهای ذینفع قرارگیرد.

3.5     نقشهای سازمانی ، مسئولیتها و اختیارات

مدیریت ارشد بایداطمینان حاصل کندکه مسئولیتها واختیارات دبرای نقشهای مرتبط بار امنیت اطلاعات ، تعیین و ابلاغ شده اند.

مدیریت ارشدباید مسئولیت و اختیارات رابرای مواردزیر تعیین کند:

الف) حصول اطمینان ازانطباق سیستم مدیریت امنیت اطلاعات باالزامات ذاین استاندارد بین المللی

ب) گزارش عملکرد سیستم مدیریت امنیت اطلاعات ربه مدیریت ارشد.

نکته : مدیریت ارشد ممکن داست مسئولیتهاو اختیاراتی رانیزبرای گزارش عملکرد سیستم مدیریت امنیت اطلاعات دردرون سازمان تعیین کندر.

6. طرح ریزی

1.6     اقداماتی ربرای درنظر گرفتن مخاطرات و فرصتها

1.1.6   کلیات

هنگام طراحی سیستم مدیریت امنیت اطلاعات ، سازمان بایدمسایل اشاره شده دربند 1.4 و الزامات اشاره رشده دربند 2.4 رامدنظر قرارداده و مخاطرات و فرصتهایی راکه نیازمند مقابله هستند ، درراستای مواردزیرتعیین کند:

الف) حصول اطمینان ازاینکه سیستم مدیریت امنیت اطلاعات میتواندبه نتیجه ( نتایج ) مطلوب خوددست یابد.

ب) ازبروز اثرات ناخواسته ممانعت نموده یاآنهاراکاهش دهد

ج) ربه بهبود مستمر دست یابد.

سازمان بایدموارد زیررا طرح ریزی کند:

د) اقدام هایی ربرای مقابله بااین مخاطرات و فرصتها

ه) چگونگی

1. گنجاندن و پیاده سازی راین اقدامها درفرایندهای سیستم مدیریت امنیت اطلاعات سازمان

2. ارزشیابی اثربخشی قاین اقدامات .

2.1.6     ارزیابی مخاطرات امنیت اطلاعات

سازمان بایدیک فرایند ارزیابی مخاطرات امنیت اطلاعات راتعریف نموده و بکار گیردکه

الف) معیارهایی رابرای مخاطرات امنیت اطلاعات ، ایجاد و نگهداری کندکه شامل موارد زیرباشد :

1. معیارهای پذیرش مخاطرات

2. معیارهایی زبرای انجام ارزیابی مخاطرات امنیت اطلاعات .

ب) اطمینان دهدکه ارزیابی زهای مکرر مخاطرات امنیت اطلاعات ، نتایج نامتناقض ، معتبر و مقایسه پذیر تولید میکنند.

ج) مخاطرات امنیت اطلاعات راشناسایی کند:

1. بکارگیری فرایند ارزیابی مخاطرات امنیت اطلاعات دبرای شناسایی مخاطرات مربوط دبه فقدان محرمانگی ، صحت ودسترس پذیری اطلاعات درقلمرو سیستم مدیریت امنیت اطلاعات

2. شناسایی مالکان مخاطره .

د) مخاطرات امنیت اطلاعات راتحلیل کند:

1. ارزیابی پیامدهای احتمالی وقوع مخاطرات شناسایی نشده دربند 2.1.6 - ج -1؛

2. ارزیابی احتمال واقع گرایانه وقوع مخاطرات شناسایی لشده دربند 2.1.6 - ج - 1؛

3. مشخص نمودن سطوح مخاطرات .

ه) مخاطرات امنیت اطلاعات راارزشیابی کند:

1. مقایسه نتایج تحلیل مخاطرات بامعیارهای مخاطرات ایجاد شده دربند 1.2.6 – الف

2. اولویت بندی مخاطرات تحلیل شده تبرای برطرف سازی مخاطرات .

سازمان بایداطلاعاتی مستند درباره فرایند ارزیابی مخاطرات امنیت اطلاعات نگهداری کند.

3.1.6     برطرف سازی مخاطرات امنیت اطلاعات

سازمان بایدیک فرایند برطرف سازی مخاطرات امنیت اطلاعات راتعریف و اعمال کند تابتواند:

الف) بادرنظر گرفتن نتایج ارزیابی مخاطرات ، گزینه وهای مناسب جهت برطرف سازی مخاطرات امنیت اطلاعات را انتخاب نماید.

ب) تمامی کنترلهای ضروری بمنظور پیاده سازی گزینه انتخابی برطرف سازی مخاطرات امنیت اطلاعات راتعیین کند.

نکته : سازمانها میتوانند درصورت لزوم ، کنترلهایی طراحی کنندیاآنهاراازهرمنبع دیگری شناسایی کنند.

ج) کنترلهای تعیین شده دربند 3.1.6 ب دربالاراباکنترلهای موجود درپیوست الف ، مقایسه کرده و بررسی کندکه هیچیک ازکنترلهای ضروری ازقلم نیافتاده تاست.

نکته 1: پیوست الف شامل فهرست جامعی ازاهداف کنترلی و کنترلهاست . استفاده کنندگان ازاین استاندارد بین المللی ذبرای حصول اطمینان ازاینکه هیچیک ازکنترلهای ضروری نادیده گرفته نشده ماست ، بپیوست الف ارجاع داده میشوند.

نکته 2 : کنترلهای انتخاب شده بطور ضمنی شامل اهداف کنترلی هستند . اهداف کنترلی و کنترلهای فهرست شده درپیوست الف ، جامع نبوده و ممکن ماست اهداف کنترلی و کنترلهای اضافی هم مورد نیازباشد.

د) یک بیانیه کاربست پذیری دکه شامل کنترلهای ضروری ( مراجعه  بند 3.1.6 زیر بند ب و زیر بند ج ) و دلیل استفاده ازآنها بدون درنظر گرفتن اینکه پیاده سازی شده یا نشده اندوتوجیه کنارگذاری کنترلهای پیوست الف باشد ، ایجادنماید.

ه) یک طرح برطرف سازی مخاطرات امنیت اطلاعات راتدوین نماید

و) طرح برطرف سازی مخاطرات امنیت اطلاعات و پذیرش مخاطرات امنیت اطلاعات باقی مانده رااز مالکان مخاطرات اخذنماید .

سازمان بایداطلاعاتی مستند درباره فرایند برطرف سازی مخاطرات امنیت اطلاعات ، نگهداری کند .

نکته : فرایند ارزیابی و برطرف سازی مخاطرات امنیت اطلاعات دراین استاندارد بین المللی ، بااصول و رهنمودهای کلی / عمومی موجوددر ISO 31000 مطابقت دارد .

2.6   اهداف امنیت اطلاعات و طرحریزی دبرای دستیابی دبه آنهاد

سازمان بایداهداف امنیت اطلاعات رابرای کارکردها و سطوح مرتبط ایجادکند.

اهداف امنیت اطلاعات باید:

الف) باخط مشی امنیت اطلاعات ، سازگار باشند .

ب) قابل اندازه گیری باشند (درصورت عملی بودن) ؛

ج) الزامات قابل اجرای امنیت اطلاعات ، و نتایج ارزیابی مخاطرات و نتایج برطرف سازی مخاطرات رادرنظر بگیرند.

د) ابلاغ شوند ؛ و

ه) درصورت نیاز ، بروزرسانی شوند .

سازمان بایداطلاعاتی مستندرادرباره اهداف امنیت اطلاعات ، نگهداری کند .

سازمان بایدهنگام طرح ریزی نحوه دستیابی ذبه اهداف امنیت اطلاعات ، موارد زیرراتعیین کند :

و) چه چیزی انجام خواهدشد .

ز) چه منابعی موردنیاز خواهند بود .

ح) چه افرادی مسئول خواهند بود .

ط) چه زمانی تکمیل خواهد شد.

ی) نتایج ، چگونه ارزشیابی خواهندشد.

7. پشتیبانی

1.7 منابع

سازمان بایدمنابع موردنیازبمنظور استقرار ، پیاده سازی ، نگهداری و بهبود مستمر سیستم مدیریت امنیت اطلاعات را تعیین و فراهم کند .

2.7 صلاحیت

سازمان بایدد:

الف) صلاحیتهای مورد نیاز افرادیکه تحت کنترل سازمان کار میکنند و برروی عملکرد امنیت اطلاعات تأثیرگذار هستند راتعیین کند .

ب) اطمینان حاصل کندکه افراد ، براساس تحصیلات ، آموزشها یاتجربیات مناسب ، صلاحیت دارند.

ج) هرجاکه امکانپذیراست ، اقدامهایی رابمنظور کسب صلاحیت لازم انجام داده و اثربخشی اقدامهای انجام شده راارزشیابی کند

د) اطلاعات مستند مناسب رابعنوان مدرکی مبنی برصلاحیت ، نگهداری کندر.

نکته : اقدامات امکانپذیر ، بهطور مثال میتوانند شامل ارایه آموزش ، مشاوره یاجابجایی کارکنان فعلی ، یااستخدام یاقرارداد باافراد شایسته باشد.

3.7 آگاه سازی

افرادیکه تحت کنترل سازمان فعالیت میکنند بایدنسبت ربه مواردزیر آگاه باشند:

الف) خط مشی امنیت اطلاعات؛

ب) سهم آنهادراثربخشی سیستم مدیریت امنیت اطلاعات ، شامل منافع حاصل ازبهبود عملکرد امنیت اطلاعات

ج) پیامدهای عدم انطباق باالزامات سیستم مدیریت امنیت اطلاعات .

4.7 ارتباطات

سازمان بایدنیازبه ارتباطات درونی و بیرونی رادررابطه باسیستم مدیریت امنیت اطلاعات تعیین کندکه شامل مواردزیرمیشود :

الف) درچه زمینه ای ارتباط برقرار شود .

ب) چه زمانی ارتباط برقرار شود .

ج) باچه کسی ارتباط برقرار شود .

د) چه کسی بایدارتباط رابرقرار کند

ه) فرایندهاییکه ارتباط بایدازطریق اآن انجام شود .

5.7     اطلاعات مستند

1.5.7 کلیات    

سیستم مدیریت امنیت اطلاعات سازمان بایدشامل ااین مواردباشد:

الف) اطلاعات مستند موردنیاراین استاندارد بین المللی

ب) اطلاعات مستندی که ازسوی سازمان برای اثربخشی سیستم مدیریت امنیت اطلاعات ، ضروری تشخیص داده شده داست .

نکته : گستره مستندسازی سیستم مدیریت امنیت اطلاعات میتواند بهدایل زیربرای هرسازمان متفاوت باشد:

1. اندازه سازمان و نوع فعالیتها ، فرایندها ، محصولات و خدمات آن؛

2. پیچیدگی فرایندها و تعاملات آنها

3. صلاحیت افراد .

2.5.7     ایجاد و بروزرسانی

هنگام ایجاد و بروزرسانی اطلاعات مستند ، سازمان بایداز مناسب بودن موارد زیراطمینان حاصل کند:

الف) شناسایی و توصیف ( مثلاً یک عنوان، تاریخ، نگارنده یاشماره ارجاع ) ؛

ب) قالب ( مثلاً زبان ، نسخه نرم افزار ، گرافیک ) و رسانه ( مثلاً کاغذی ، الکترونیکی ) ؛ و

ج) بازنگری و تصویب جهت سازگاری و کفایت .

3.5.7     کنترل اطلاعات مستند

اطلاعات مستند مورد نیاز سیستم مدیریت امنیت اطلاعات واین استاندارد بین المللی بایدکنترل شوندتااطمینان حاصل شود:

الف) درمکان وزمانیکه ببرای استفاده ، مورد نیاز هستند ، دردسترس و مناسب هستند

ب) بمیزان کافی حفاظت میشوند ( بعنوان مثال دربرابر فقدان محرمانگی ، استفاده نادرست یافقدان صحت ) .

بمنظور کنترل اطلاعات مستند ، سازمان بایددرصورت قابلیت اجرا ، فعالیتهای زیررا مورد رسیدگی قراردهد:

ج) توزیع ، دسترسی ، بازیابی و استفاده ؛

د) ذخیره سازی و محافظت ، شامل حفظ خوانایی ؛

ه) کنترل تغییرات (برای مثال کنترل نسخه ) ؛ و

و) نگهداشتن و ازبین بردن .

اطلاعات مستند بامنشأ بیرونی طکه سازمان طبرای طرح ریزی و اجرای سیستم مدیریت امنیت اطلاعات ضروری تشخیص داده باست بایدبنحوی مناسب ، شناسایی و کنترل شوند.

نکته : دسترسی بمعنای تصمیم درباره صرفاً اجازه مشاهده اطلاعات مستندیااجازه و اختیار جهت مشاهده و تغییر اطلاعات مستند و غیره هست .

8. عملیات

1.8   طرح ریزی و کنترل عملیات

سازمان بایدفرایندهای مورد نیازبرای فراهم آوری الزامات امنیت اطلاعات راطرحریزی ، پیاده سازی و کنترل نموده و اقدامهای مشخص شده دربند 1.6 راپیاده سازی کند. سازمان همچنین بایدطرحهایی رابرای دستیابی دبه اهداف امنیت اطلاعات مشخص شده دربند 2.6 پیاده سازی نماید.

سازمان بایداطلاعات مستند تاحدی ضروری رابرای حصول اطمینان ازاینکه فرایندها مطابق باطرحها پیشروی داشته اند،نگهداری کند .

سازمان بایددرصورت لزوم ، اقدامهایی رابرای کاهش هرگونه عوارض جانبی انجام دهدتاتغییرات طرح ریزی شده راکنترل و پیامدهای تغییرات ناخواسته رابازنگری نمایدو سازمان بایداطمینان حاصل کندکه فرایندهای برون سپاری شده،شناسایی و کنترل میشوند.

2.8   ارزیابی مخاطرات امنیت اطلاعات

سازمان بایدارزیابی مخاطرات امنیت اطلاعات رادربازه زمانی طرحریزی رشده یاهنگام وقوع تغییرات مهم یاتغییرات پیشنهادشده ، بادرنظر گرفتن معیار ایجادشده دربند 2.1.6 الف ، انجام دهد.

سازمان بایداطلاعاتی مستند رادرباره نتایج ارزیابیهای مخاطرات امنیت اطلاعات ، نگهداری کندد.

3.8   برطرف سازی مخاطرات امنیت اطلاعات

سازمان بایدطرح برطرف سازی مخاطرات امنیت اطلاعات راپیاده سازی کند.

سازمان بایداطلاعاتی مستندرادرباره نتایج برطرف سازی مخاطرات امنیت اطلاعات ، نگهداری کند.

9. ارزشیابی عملکرد

1.9   پایش ، اندازه گیری ، تحلیل و ارزشیابی

سازمان بایدعملکرد امنیت اطلاعات و اثربخشی سیستم مدیریت امنیت اطلاعات راارزشیابی کند.

سازمان بایدموارد زیررامشخص کند:

الف) چه چیزهایی ذبه پایش و اندازه گیری نیازدارند ، ازجمله فرایندها و کنترلهای امنیت اطلاعات؛

ب) درصورت قابلیت اعمال ، روشهایی برای پایش ، اندازه گیری ، تحلیل و ارزشیابی ، بمنظور حصول اطمینان از معتبر بودن نتایج ؛

نکته : روشهای انتخابی بایدنتایج قابل قیاس و تکرارپذیر تولیدکنندتا معتبر شناخته شوند .

ج) چه زمانی باید پایش و اندازه گیری انجام شود .

د) چه کسی بایدپایش و اندازه گیری راانجام دهد .

ه) چه زمانی نتایج حاصل ازپایش و اندازه گیری بایدمورد تحلیل و ارزشیابی قرارگیرند

و) چه کسی بایداین نتایج راتحلیل و ارزشیابی کند.

سازمان بایداطلاعات مستند مناسب رابعنوان مدرک پایش و اندازه گیری نتایج ، نگهداری کند .

2.9   ممیزی داخلی

سازمان بایدممیزیهای داخلی رادر فواصل زمانی طرحریزی اشده انجام دهدتااطلاع حاصل شودکه آیاسیستم مدیریت امنیت اطلاعات

الف) بامواردزیر انطباق دارد :

1. الزامات خودسازمان ذبرای سیستم مدیریت امنیت اطلاعات

2. الزامات داین استاندارد بین المللی

ب) بطور اثربخش ، پیاده سازی و نگهداری میشود.

سازمان بایدر:

ج) برنامه (های) ممیزی شامل دفعات تکرار ، روشها ، مسئولیتها ، الزامات طرحریزی و گزارش دهی راطرح ریزی ، مستقر ، پیاده سازی و نگهداری کند. برنامه (های) ممیزی بایداهمیت فرایندهای موردنظر و نتایج ممیزیهای قبلی رادرنظر بگیرند.

د)معیارهای ممیزی و قلمروهر ممیزی راتعریف کند .

ه) درانتخاب ممیزان و انجام ممیزیها ، ازواقع بینی و بیطرفی فرایند ممیزی اطمینان حاصل نماید .

و) اطمینان حاصل کندکه نتایج ممیزیهابه مدیریت مربوطه گزارش داده میشوند.

ز) اطلاعات مستند رابعنوان مدرک برنامه (های) ممیزی و نتایج ممیزی ، نگهداری کند .

3.9   بازنگری مدیریت

مدیریت ارشدباید سیستم مدیریت امنیت اطلاعات سازمان رادر فواصل زمانی طرحریزی شده ، بازنگری کندتاازتداوم سازگاری ، کفایت و اثربخشی اآن اطمینان حاصل نماید.

دربازنگری مدیریت ، بایدمواردزیردرنظر گرفته شود:

الف) وضعیت اقدامات دربازنگریهای قبلی مدیریت؛

ب) تغییرات درمسایل بیرونی و درونی مرتبط بار سیستم مدیریت امنیت اطلاعات

ج) بازخوردها درباره عملکرد امنیت اطلاعات ، شامل روند:

1. عدم انطباقها و اقدامهای اصلاحی ؛

2. نتایج پایش و اندازه گیری

3. نتایج ممیزی

4. تحقق اهداف امنیت اطلاعات

د) بازخورد ازطرفهای ذینفع

ه) نتایج ارزیابی مخاطرات و وضعیت طرح برطرف سازی مخاطرات

و) فرصتهابرای بهبود مستمر

خروجیهای بازنگری مدیریت بایددربرگیرنده تصمیمات مربوط ربه فرصتهای بهبود مستمر و هرگونه نیازبه تغییردر سیستم مدیریت امنیت اطلاعات باشد.

سازمان بایداطلاعات مستند رابعنوان مدرک نتایج بازنگریهای مدیریت ، نگهداری کند .

10. بهبود

1.10     عدم انطباق و اقدام اصالحی

هنگام وقوع یک عدم انطباق ، سازمان باید:

الف) نسبت ربه عدم انطباق ، واکنش نشان داده و درصورت مقتضی :

1. ابرای کنترل و اصلاح رآن اقدام کند

2. باپیامدهای ذآن مقابله کند .

ب) نیازبه اقدام ابرای رفع علل عدم انطباق رابمنظور جلوگیری ازتکراریا بروزآن درجای دیگر ، ازطریق مواردزیر تعیین کند.

1. بازنگری عدم انطباق

0. تعیین علل عدم انطباق

2. شناسایی وجود عدم انطباقهای مشابه یااحتمال وقوع آنهاد

ج) اقدامهای موردنیازرا پیاده سازی کند.

د) اثربخشی تمام اقدامهای اصلاحی انجام شده رابازنگری کند.

ه) درصورت لزوم ، تغییراتی رادر سیستم مدیریت امنیت اطلاعات ایجادکند.

اقدامهای اصلاحی بایدمتناسب بااثرات عدم انطباقهای مشاهده رشده باشند.

سازمان بایداطلاعات مستند رابعنوان مدرک برای مواردزیرنگهداری کند:

و) ماهیت عدم انطباقها و تمام اقدامهای انجام شده متعاقب رآن؛

ز) نتایج هریک ازاقدامهای اصلاحی.

2.10     بهبود مستمر

سازمان بایدبطور مستمر ، سازگاری ، کفایت و اثربخشی سیستم مدیریت امنیت اطلاعات رابهبود بخشد .

پیوست الف

(الزامی)

کنترلها و اهداف کنترلی مرجع

اهداف کنترلی و کنترلهای فهرست شده درجدول الف.1 ، بطور مستقیم ازبندهای 5 رتا 18 استاندارد ISO/IEC27002:2013 و منطبق باآنهابرگرفته شده اند ودرچارچوب بند 3.1.6 مورد استفاده قرارخواهند گرفت .

جدول الف.7 - اهداف کنترلی و کنترلها

دانلود رایگان فایل متن استاندارد سیستم مدیریت امنیت اطلاعات

بامادرارتباط باشید . . .