ISO/IEC 27014 Informationssicherheits-Governance

Was ist Informationssicherheits-Governance?

• Informationssicherheits-Governance ist die Lebenszyklus von Richtlinien, Kontrollen und Verfahren zur Gewährleistung der Informationssicherheit für eine Organisation.
• Die Governance der Informationssicherheit bietet einen integrierten Ansatz für die allgemeine Informationssicherheit.
• Es gewährleistet, dass der Informationssicherheitsansatz der Organisation mit den Gesamtzielen der Organisation übereinstimmt. Dies ermöglicht es dem Leitungsorgan, Entscheidungen über die strategischen Ziele der Organisation zu treffen, indem es Informationen über potenzielle Bedrohungen der Informationssicherheit präsentiert.
• Die Implementierung eines wirksamen Programms zur Informationssicherheits-Governance trägt dazu bei, Risiken zu reduzieren, Vertrauen in alle Aktivitäten zu schaffen und unangemessene Maßnahmen zu verhindern.

Was ist ein Leitungsgremium?

Ein Leitungsgremium ist ein Kollektiv von Einzelpersonen, die das haben Autorität und Verantwortung, Richtlinien zu formulieren und eine Organisation zu leiten allgemeine Flugbahn. Das kollektive Gremium ist für die Entscheidungsfindung und Umsetzung im Namen seiner Mitarbeiter, Stakeholder und der Organisation verantwortlich.

Die Hauptaufgabe des Leitungsgremiums besteht darin, die Privilegien und Interessen der Organisation sowie aller Personen zu schützen, die im Rahmen der Organisation arbeiten. Dieses Gremium erreicht dies, indem es sicherstellt, dass die Organisation effizient arbeitet und in der Lage ist, die Ziele und Prioritäten zu erreichen, denen sie sich verpflichtet hat. Darüber hinaus ist das Leitungsgremium für die Finanzen, das Personal und das Vermögen der Organisation verantwortlich. Eine wichtige Aufgabe des Leitungsgremiums in jeder Organisation besteht darin, Entscheidungen zu treffen Entscheidungen, die die Informationssicherheit innerhalb der Organisation fördern.

Implementierung der Governance-Prozesse für Informationssicherheit (ISO/IEC 27014)

Governance-Prozesse für Informationssicherheit wurden entwickelt, um Organisationen bei der Überwachung und Verwaltung ihrer Informationssicherheitsbemühungen zu unterstützen. Sie existieren jedoch nicht im luftleeren Raum – sie müssen es sein in die Gesamtbetriebsführung integriert Prozesse, wenn sie effektiv sein sollen (und das gilt für viele damit verbundene Sicherheitsaktivitäten, wie zum Beispiel das Risikomanagement). Gemäß ISO/IEC 27014:2020 sind das Leitungsorgan und das Top-Management für die Umsetzung von vier Governance-Systemen verantwortlich.

Bewerten

Einer der Governance-Prozesse der Informationssicherheit ist die Bewertung. Die Bewertung ist ein wichtiger Prozess, bei dem der aktuelle Zustand eines Prozesses oder einer Komponente innerhalb einer Organisation untersucht wird. Dies hilft dabei, festzustellen, was an diesem bestimmten Prozess oder dieser bestimmten Komponente richtig und was falsch ist.

Direkt

Die Richtung ist einer der Governance-Prozesse der Informationssicherheit. Dazu gehört die Planung, Festlegung und Überprüfung von Richtlinienstandards und -verfahren sowie die Bewertung der Einhaltung festgelegter Einschränkungen durch das Personal.

Überwachen

Die Überwachung ist einer der Informationssicherheitsprozesse. Es sind Managementaktivitäten, die die Verfügbarkeit, Integrität, Authentifizierung und Vertraulichkeit der Systeme und Netzwerke sicherstellen und überprüfen, ob Mitarbeiter diese Systeme und Netzwerke ordnungsgemäß und auf eine Art und Weise nutzen befolgt Sicherheitsrichtlinien.

Kommunizieren

Kommunikation ist der Schlüssel zu Informationssicherheits-Governance-Prozessen. Sie sind damit betraut, Ihr Unternehmen und seine verschiedenen Vermögenswerte zu schützen, aber das darf kein isolierter Prozess sein.

Was sind die Ziele der Information Security Governance?

Die Governance der Informationssicherheit sollte sicherstellen, dass die Maßnahmen zur Informationssicherheit robust und integriert sind. Der Standard legt sechs hochrangige „handlungsorientierte“ Prinzipien für die Informationssicherheits-Governance fest. Dazu gehört Folgendes:

Schaffen Sie organisationsweite Informationssicherheit

Bedenken hinsichtlich der Informationstechnologie oder Cybersicherheit können in den Rahmen und die Funktionen der Organisation eindringen. Auf allen Führungsebenen Informationssicherheit sollten mit Informationstechnologie (IT) und anderen Funktionen kombiniert werden. Das Top-Management sollte sicherstellen, dass die Informationssicherheit den allgemeinen strategischen Interessen des Unternehmens entspricht, und Verantwortlichkeit und Verantwortung in der gesamten Organisation schaffen.

Treffen Sie Entscheidungen mit einem risikobasierten Ansatz

Die Sicherheitsverwaltung, einschließlich Ressourcenverteilung und Budgetierung, sollte sich an der Risikobereitschaft einer Organisation orientieren, die wiederum durch einen risikobasierten Ansatz beeinflusst werden sollte, der Folgendes berücksichtigt: Verlust von Wettbewerbsvorteilen, regulatorische und haftungsrechtliche Bedenken, betriebliche Verzögerungen, Reputationsschäden, und finanzieller Verlust.

Geben Sie die Richtung Ihrer Investitionsentscheidungen vor

Stellen Sie sicher, dass Informationssicherheitsrisiken werden ordnungsgemäß analysiert bevor neue Geschäftstätigkeiten wie Investitionen, Übernahmen, Fusionen, die Einführung neuer Technologien, Outsourcing-Vereinbarungen und Verträge mit externen Lieferanten aufgenommen werden. Zusätzlich, Informationssicherheit integrieren in interne Agenturprozesse wie Projektmanagement, Beschaffung, Finanzmanagement, Einhaltung gesetzlicher und behördlicher Vorschriften sowie organisatorisches Risikomanagement. Das Top-Management sollte einen Informationssicherheitsansatz entwickeln, der auf die Ziele der Organisation abgestimmt ist, was bedeutet, dass die Informationssicherheitsanforderungen von Behörden und Organisationen konsistent sind.

Stellen Sie die Konformität mit internen und externen Anforderungen sicher

Zu den externen Anforderungen zählen erforderliche Gesetze und Vorschriften, Zertifizierungsstandards und vertragliche Verpflichtungen. Interne Kriterien sind Teilmengen der Gesamtziele und Prioritäten einer größeren Organisation. Unabhängige Sicherheitsbewertungen sind die allgemein anerkannte Methode zur Feststellung und Verfolgung der Konformität. Das Top-Management muss durch eine Prüfung sicherstellen, dass die Informationssicherheitspraktiken den internen und externen Standards zufriedenstellend entsprechen unabhängige Sicherheitsüberprüfungen.

Fördern Sie eine sicherheitspositive Kultur

Es sollte eine Koordination und Abstimmung zwischen den verschiedenen Stakeholdern im ISMS stattfinden. Um einen kohärenten Kurs zur Informationssicherheit zu erreichen, muss das Top-Management die Zusammenarbeit der Aufgaben und Aktivitäten aller vom ISMS Betroffenen fördern und erleichtern. Zusätzlich Nachweis der Sicherheitsunterweisung, -vorbereitung, und Sensibilisierungsprogramme solte gegeben sein. Verantwortlichkeiten für die Informationssicherheit sollten in die Positionen des Personals und anderer Interessengruppen integriert werden, und alle sollten ihre Verantwortung wahrnehmen, um zur Wirksamkeit des ISMS beizutragen.

Stellen Sie sicher, dass die Sicherheitsleistung den aktuellen und zukünftigen Anforderungen des Unternehmens entspricht

Der Sicherheitserfolg wird nicht nur an der Wirksamkeit und Zuverlässigkeit gemessen, sondern auch an seinen Auswirkungen auf die allgemeinen Unternehmensziele. Das für die Governance zuständige Top-Management sollte regelmäßige Überprüfungen eines Leistungsmesssystems zur Nachverfolgung, Prüfung und Verbesserung einbeziehen, das die Informationssicherheit in eine optimale Geschäftsleistung umsetzt.

Umfang und Zweck der Norm ISO 27014

Das ISO 27014-Dokument enthält Richtlinien zu Grundsätzen, Zielen und Verfahren der Informationssicherheits-Governance, die Organisationen verwenden sollten, um informationssicherheitsbezogene Prozesse innerhalb der Organisation zu bewerten, zu steuern, zu überwachen und zu kommunizieren.

Wie die anderen ISO27k-Standards ist es „für alle Arten und Größen von Organisationen geeignet“, insbesondere für solche, bei denen das ISMS die gesamte Organisation oder nur einen Teil davon abdeckt oder bei denen sich ein einzelnes ISMS auf mehrere Unternehmen erstreckt (z. B. innerhalb eines Unternehmens). Unternehmensstruktur).

Eine ordnungsgemäße Informationssicherheits-Governance garantiert, dass sie mit den in Strategien und Richtlinien festgelegten Unternehmenszielen übereinstimmt und diese unterstützt.

ISO 27014 legt großen Wert auf die Governance-Komponenten von ISO/IEC 27001 und legt innerhalb dieses Rahmens Governance-Ziele fest. Es umfasst die Integration von Governance-Aktivitäten im Bereich der Informationssicherheit mit anderen Governance-Funktionen und -Zielen. ISO 27014 spezifiziert weiter die Anforderungen und Erwartungen des Leitungsgremiums an ein ISO27k-ISMS.

Wer sollte ISO 27014 implementieren?

ISO/IEC 27014:2020 richtet sich an folgende Zielgruppen:

• Das Leitungsgremium und die oberste Leitung einer Organisation.
• Diejenigen, die für die Bewertung, Leitung und Verfolgung eines ISO/IEC 27001-konformen Informationssicherheits-Managementsystems (ISMS) verantwortlich sind.
• Diejenigen, die für das Informationssicherheitsmanagement verantwortlich sind, das außerhalb der Reichweite eines erfolgt ISO/IEC 27001-basiertes Informationssicherheits-Managementsystem (ISMS), aber im Kontext der Governance.

Dieses Dokument gilt für alle Arten und Größen von Organisationen.

Wie ISMS.online die Implementierung von ISO 27014 einfach machen kann

Auf ISMS.onlineWir machen es Ihnen leicht, Ihre Informationssicherheits-Governance so zu dokumentieren, dass sie dem ISO 27014-Standard entspricht. Wir stellen Ihnen eine logische, benutzerfreundliche, cloudbasierte Informationsverwaltungsschnittstelle zur Verfügung, die Ihrem Unternehmen dabei hilft, seine Infosec-Governance-Prozesse zu überprüfen und Fortschritte im Vergleich zum ISO 27014-Standard zu erzielen.

Unsere cloudbasierte Plattform ermöglicht Ihnen den Zugriff auf alle Ihre ISMS-Ressourcen an einem Ort. Wir verfügen über ein internes Team von Informationssicherheitsexperten, die Ihnen mit Rat und Tat zur Seite stehen und Fragen beantworten können, um Sie auf Ihrem Weg zur ISO 27014-Implementierung zu unterstützen, damit Sie Ihr Engagement für Best Practices für die Informationssicherheits-Governance unter Beweis stellen können. Rufen Sie ISMS.online an +44 (0)1273 041140 Erfahren Sie mehr darüber, wie wir Ihnen bei der Zertifizierung nach ISO 27001 helfen können.