ISO 27001 – 9: Ytelsesevaluering

ISO 27001 Seksjon 9.1 – Overvåking, måling, analyse og evaluering

De ISO 27001 krever at organisasjoner evaluerer hvordan ISMS presterer og hvordan styringssystemet for informasjonssikkerhet er effektivt.

For dette må du:

1. bestemme hva som må overvåkes;
2. bli enige om metodene du vil bruke for overvåking og analyse;
3. når du skal utføre overvåking og måling;
4. bestemme hvem som skal utføre målingen;
5. bestemme når du skal analysere resultatene av målingen; og
6. som skal være ansvarlig for å evaluere resultatene.

ISO 27001 Seksjon 9.3 – Ledelsens gjennomgang

Det er toppledelsens ansvar å gjennomføre ledelsesgjennomgang for ISO 27001. Disse vurderingene bør være forhåndsplanlagt og ofte nok til å sikre at informasjonssikkerheten styringssystemet fortsetter å være effektivt og oppnår virksomhetens mål.

Ledelsesvurderinger bør inkludere:

• Detaljer om tidligere ledelsesvurderinger med oppdaterte handlinger
• Eventuelle endringer internt og eksternt saker som angår informasjonssikkerhet
• Tilbakemelding på eventuelle korrigerende handlinger, revisjons- og måleresultater
• Interesserte parter
• Risikovurdering resultater
• Kontinuerlige forbedringer muligheter for ISMS