ISO 27007 forklart: En strategisk tilnærming til revisjon av informasjonssikkerhet
I dag er de fleste organisasjoner avhengige av informasjonsteknologi for å støtte alle viktige forretningsfunksjoner. Denne avhengigheten har resultert i økende fare for elektronisk sikkerhetsrisiko som hacking, tap av data, konfidensialitetsbrudd og til og med terrorisme. Enkeltpersoner, forretningsorganisasjoner kan starte disse mer sofistikerte overgrepene.
Når disse angrepene resulterer i tap av informasjon, tyveri av personopplysninger eller forstyrrelser i viktige systemer og dokumenter, kan bedrifter møte alvorlige konsekvenser, inkludert økonomisk tap og omdømmeskade.
Det er her behovet for et pålitelig ISMS kommer inn i bildet. Et ISMS er imidlertid bare effektivt hvis det følger et nøyaktig sett med aksepterte retningslinjer . For å sikre at ISMS-et ditt oppfyller standardkravene i de aksepterte standardene , er det viktig at du utfører regelmessige revisjoner av ISMS-et ditt. ISO 27007 fastsetter de aksepterte internasjonale retningslinjene for revisjon av ISMS-systemer for informasjonssikkerhet.
Hva er ISO/IEC 27007?
ISO/IEC 27007 er standard for informasjonssikkerhet, cybersikkerhet og personvern som inkluderer anbefalinger om administrasjon av et revisjonsprogram for informasjonssikkerhetsstyringssystem (ISMS), utførelse av revisjoner og vurdering av kompetansen til ISMS-revisorer.
Denne standarden gjelder for de som trenger å forstå eller utføre interne eller eksterne revisjoner av et ISMS, samt de som administrerer et ISMS-revisjonsprogram. Den ble opprinnelig publisert 14. november 2011, og deretter oppdatert 21. januar 2020.
ISO 27007 er medlem av ISO/IEC 27000-familien av standarder for styringssystemer for informasjonssikkerhet (ISMS), som er en systematisk metode for å beskytte sensitiv informasjon. Den etablerer prinsipper for en sterk tilnærming til styring av informasjonssikkerhet og utvikling av motstandskraft.
Administrer all samsvarskontroll, alt på ett sted
ISMS.online støtter over 100 standarder og forskrifter, og gir deg én enkelt plattform for alle dine samsvarsbehov.
Hvorfor er ISO 27007 viktig?
Bedrifter vil i økende grad måtte håndtere enorme datamengder for å kunne fortsette å tilby produktene og tjenestene som forbrukerne etterspør. Sikkerheten til sensitive data er en stor bekymring for bedrifter og forbrukere, forverret av flere profilerte sikkerhetsbrudd.
Kaoset som disse overgrepene har forårsaket spenner fra kjendiser som blir ydmyket av tankeløse fotografier til tap av personlig informasjon og krav om løsepenger i millionklassen, som har rammet selv de mektigste bedriftene.
Der slike data inneholder personlig identifiserbar, finansiell eller medisinsk informasjon, har virksomheter en moralsk og juridisk plikt til å beskytte dem mot nettkriminelle.
Det er der internasjonale standarder som ISO 27000-familien kommer inn i bildet, og hjelper bedrifter med å administrere sikkerheten til eiendeler som finansielle data, åndsverk, ansattes informasjon og informasjon betrodd dem av tredjeparter.
Denne nåværende tilstanden betyr at alle som har i oppgave å revidere ISMS-en til en organisasjon sannsynligvis vil få arbeidet sitt avskåret for dem. På samme måte krever forberedelse til en jevn revisjon planlegging og oppmerksomhet på detaljer. Det er derfor ISO 27007 ble opprettet. Det letter full forberedelse for begge parter ved å gi eksplisitt veiledning.
Hva er omfanget av ISO 27007?
I standarden beskriver rammeverket en rekke revisjonskriterier som kan brukes individuelt eller i kombinasjon for en revisjon av styringssystem for informasjonssikkerhet inkludert, men ikke begrenset til:
- Definere kravene til ISO / IEC 27001
- Retningslinjer og krav gitt av relevante parter
- Regulatoriske og lovpålagte krav
- Organisasjonens ISMS-prosesser og kontroller
Den identifiserer og beskriver styringssystemplanen(e) knyttet til resultatene av en ISMS, (for eksempel en plan for å håndtere risikoer og muligheter ved etablering av et ISMS, en plan for å oppnå informasjonssikkerhetsmål, en plan for behandling av risikoer) .
I tillegg til å være relevant for alle organisasjoner uavhengig av størrelse, dekker denne standarden også ISO-revisjoner av ulikt omfang og skala, inkludert de som utføres av store revisjonsteam ofte tilknyttet større organisasjoner, samt de som utføres av individuelle revisorer, enten de er i store eller små selskaper.
Spesifikt dekker ISO 27007 ISMS-revisjoner utført av selskaper på deres interne systemer (førstepart) og av deres eksterne tjenesteleverandører og andre eksterne interessenter (andrepart). Den kan også brukes i revisjoner som gjennomføres for andre formål enn en tredjepartssertifisering av styringssystemer.
Hvilke andre standarder fungerer ISO 27007 med?
ISO 27007 er relevant for personer som trenger å forstå eller utføre interne eller eksterne revisjoner av et styringssystem for informasjonssikkerhet, samt de som administrerer et revisjonsprogram for styringssystem for informasjonssikkerhet.
ISO 19011 ble opprettet for å standardisere prosessen med å gjennomføre interne og eksterne revisjoner for styringssystemer generelt.
ISO 27007 legger til ISO 19011-retningslinjene ved å komme med flere forslag. Mens ISO 19011 spesifiserer at bevis for samsvar må søkes, foreslår ISO 27007 spesifikke bevis og vurderinger for ISO 27001-klausuler og kontroller i vedlegg A.
Dette betyr at ISO 27007 er mer foreslått i en spesifikk ISO 27001-kontekst. ISO 19011 på den annen side er et å foretrekke hvis du også trenger å revidere andre ISO-styringssystemer, som ISO 9001 og ISO 14001.
Hva er ISO 19011?
ISO 19011 er en samling av revisjonsprinsipper for styringssystemer.
Det er en global standard som hjelper bedrifter med å gjennomføre disse revisjonene.
ISO 19011 er ment å gi veiledning til organisasjoner om hvordan de kan utvikle revisjonsprogrammer for deres styringssystemer, for eksempel risikostyringssystemer, kvalitetsstyringssystemer og miljøstyringssystemer.
ISO 19011 er ikke en serie standarder som må følges sekvensielt av en organisasjon, ettersom ingen organisasjoner kan bli ISO 19011-sertifisert. I stedet for det bør en organisasjon skreddersy ISO 19011-anbefalingene til de spesifikke behovene og kravene til revisjonsprogrammet.
ISO 19011 er forskjellig fra den internasjonale standarden ISO 9001, som etablerer standarder for kvalitetsstyringssystemer. ISO 9001 er den eneste standarden i ISO 9000- serien som organisasjoner kan sertifisere seg mot.
Hva er forskjellen mellom ISO 27007 og ISO 27008?
ISO 27008 vil gi anbefalinger for revisjon av ISM-systemer (informasjonssikkerhetsstyring) for sikkerhetskontroller.
Dette er forskjellig fra ISO 27007, som er mer opptatt av styringssystemet (ISMS) som helhet, snarere enn av spesifikke kontroller.
Frigjør deg fra et fjell av regneark
Bygg inn, utvid og skaler samsvarsstyringen din uten rot. IO gir deg robustheten og selvtilliten til å vokse sikkert.
Hvorfor er revisjon av informasjonsstyringssystem viktig?
Det er ikke tilstrekkelig å ha retningslinjer og prosesser for informasjonssikkerhet på plass for å sikre beskyttelsen av en organisasjons informasjonsressurser.
Retningslinjer kan være utilstrekkelige eller overholdelse av retningslinjer kan være utilstrekkelig. En revisjon må gjennomføres for å sikre at de lykkes med å nå sine mål.
En revisjon av informasjonssystemer fastslår hvor effektiv kontrollene i et informasjonssystem er.
En revisjon er utformet for å avgjøre om en organisasjons informasjonssystemer sikrer forretningsaktiva tilstrekkelig, bevarer integriteten til lagrede og overførte data, støtter organisasjonens mål på en vellykket måte og yter effektivt.
En revisjon av et informasjonsstyringssystem er en metodisk, kvantifiserbar teknisk undersøkelse av hvordan en organisasjons informasjonssikkerhetspolicy implementeres. Det er en nødvendig del av den pågående prosessen med å utvikle og implementere gode sikkerhetspolicyer . Sikkerhetsrevisjoner er en transparent og kvantifiserbar metode for å avgjøre hvor sikkert et nettsted faktisk er.
Denne revisjonen utføres for å:
- Etabler en informasjonssikkerhetsbaselinje for organisasjonen din.
- Identifiser nåtiden informasjonssikkerhetsprosedyrer' styrker og mangler.
- Prioriter de mest risikofylte eksponeringene.
- Gi forslag til risikoreduksjon som er i samsvar med gjeldende regler, beste praksis i bransjen i sikkerhetssektoren, beste praksis for klientbransjen og forretningsmål for kunder.
Informasjonen som samles inn under en informasjonssikkerhetsrevisjon, gjør det mulig for organisasjonen å ta bedre informerte beslutninger om hvordan de skal bruke økonomi og ressurser for å håndtere risiko mest mulig effektivt.
Hvordan ISMS.online kan gjøre implementering av ISO 27007 enkelt
Hos ISMS.online gjør vi det enkelt for deg å dokumentere din informasjonssikkerhetsstyring slik at den er i tråd med ISO 27007-standarden. Vi gir deg et logisk, brukbart, skybasert informasjonsadministrasjonsgrensesnitt som vil hjelpe organisasjonen din med å sjekke sine infosec-styringsprosesser og fremgang mot ISO 27007-standarden.
Vår skybaserte plattform gir deg tilgang til alle ISMS-ressursene dine på ett sted. Vi har et internt team av informasjonssikkerhetseksperter som kan gi veiledning og svare på spørsmål for å hjelpe deg på veien mot ISO 27007-implementering, slik at du kan demonstrere din dedikasjon til beste praksis for informasjonssikkerhetsstyring. Ring ISMS.online på +44 (0)1273 041140 for å finne ut mer om hvordan vi kan hjelpe deg med å bli ISO 27001-sertifisert.
