متن فارسی استاندارد ایزو 27001:2013 ( متن فارسی استاندارد  ISO/IEC27001:2013 ) سیستم مدیریت امنیت اطلاعات

متن فارسی استاندارد ایزو 27001:2013 الزامات سیستم مدیریت امنیت اطلاعات را تشریح میکند.

در عصر فناوری اطلاعات امروز ، امنیت اطلاعات و پیاده سازی یک سیستم اثر بخش امنیتی ، امری لازم و ضروری برای هر مجموعه ای است.

سیستم مدیریت امنیت اطلاعات یکی از سیستمهای مدیریتی بسیار مفید برای تمامی سازمانهای فعال در زمینه IT و سازمانهایی که با اطلاعات و داده ها سر و کار دارند مفید است.

ایزو 27001 و اهداف

هدف از پیاده سازی سیستم مدیریت امنیت اطلاعات ISO/IEC 27001:2013 ، ایجاد قابلیت اعتماد، یکپارچه سازی و ایجاد قابلیت دسترسی است. ایجاد قابلیت اعتماد به این معنی میباشد که این سیستم تضمین میکند، اطلاعات موجود تنها در اختیار افراد و پرسنل مجاز و مورد تایید جهت دسترسی قرار میگیرد. یکپارچه سازی نیز به حفاظت از دقت و کامل بودن اطلاعات و روشهای پردازش اطلاعات می پردازد. سیستم مدیریت امنیت اطلاعات با ایجاد قابلیت دسترسی نیز این اطمینان را به سازمان و مدیران میدهد که اطلاعات و خدمات حیاتی ، تنها در صورت نیاز در اختیار کاربران مجاز قرار میگیرد.

از مزایای پیاده سازی سیستم مدیریت امنیت اطلاعات ISO/IEC 27001:2013 میتوان موارد زیر را اشاره کرد:

• جلوگیری ازخارج شدن اطلاعات و داده های تکنولوژی درساخت محصولات یاخدمات به خارج ازمجموعه
• مدیریت صحیح و اصولی ریسکها و هزینه ها
• ایجاد محیط امن اطلاعاتی برای پرسنل و کاربران
• کاهش نقصهای امنیتی
• افزایش اعتماد و اطمینان مشتریان و کارفرمایان
• و…

گواهینامه ایزو 27001

گواهینامه ایزو 27001 گواهینامه ISO/IEC27001:2013 همچون خیلی گواهینامه های ایزو دیگر قابلیت صدور دارد. مرکز اطلاع رسانی سیستم کاران باکادری متخصص و مجرب بهترین راهنمای شما درخصوص گرفتن گواهینامه های سیستم مدیریت امنیت اطلاعات ISO27001 متناسب بانوع زمینه فعالیت ، نیاز واقعی و بودجه تعریف شده خودتان میباشد.

لازم بذکر است برای پیاده سازی این سیستم بهتر است ، ابتدا ویا همزمان سیستم مدیریت کیفیت ISO9001 نیز پیاده سازی و اجرا گردد. جهت کسب اطلاعات بیشتر درمورد استاندارد سیستم مدیریت کیفیت لطفا اینجا را کلیک بفرمایید.

متن فارسی استاندارد ایزو 27001 با ویرایش 2013 به شرح زیر می باشد.

پیشگفتار

سازمان بین المللی استاندارد ( ISO ) و کمیسیون بین المللی الکتروتکنیک (IEC) ، سیستمی تخصصی را جهت استانداردسازی در سطح دنیا ایجاد نموده اند. نهادهای ملی عضو ISO یا IEC، توسط کمیته های فنی تدوین شده از سوی سازمان مربوطه شان ، در تدوین استانداردهای بین المللی مشارکت می کنند و به زمینه های خاص فعالیت های فنی می پردازند. کمیته های فنی ISO و IEC، در زمینه هایی با منافع مشترک، با همدیگر همکاری میکنند. سایر سازمان های بین المللی ، دولتی یا غیردولتی وابسته به ISO و IEC نیز در این زمینه مشارکت دارند. ISO و IEC ، کمیته فنی مشترکی را در حوزه فناوری اطلاعات تحت عنوان ISO/IEC JTC 1 تشکیل داده اند .

پیش نویس استانداردهای بین المللی ،  مطابق با قوانین مندرج در بخش 2 دستورالعمل های ISO/IEC تهیه شده است. وظیفه اصلی کمیته فنی مشترک ، آماده سازی استانداردهای بین المللی است. پیشنویس استانداردهای بین المللی مورد تأیید کمیته فنی مشترک، برای رأی گیری در اختیار نهادهای ملی قرار می گیرد. انتشار به عنوان استاندارد بین المللی منوط به تأیید حداقل75% نهادهای ملی رأی دهنده است.

به این احتمال که ممکن است برخی عناصر این سند، تحت حقوق ثبت اختراع باشند هم توجه شده است. ISO وIEC مسئولیتی در قبال شناسایی هر یک یا همه این حقوق ندارند.

ISO/IEC 27001 توسط کمیته فرعی SC 27، فنون امنیتی فناوری اطلاعات، زیر مجموعه کمیته فنی مشترک ISO/IEC JTC 1، فناوری اطلاعات، تهیه شده است.

این ویرایش دوم، جایگزین و  باطل کننده ویرایش اول (ISO/IEC 27001:2005) است که از نظر فنی مورد بازنگری قرار گرفته است.

0 – مقدمه

1-0-کلیات

این استاندارد بین المللی ، به منظور ارائه الزاماتی برای استقرار ، پیاده سازی ، نگهداری و بهبود مستمر یک سیستم مدیریت امنیت اطلاعات تهیه شده است. پذیرش یک سیستم مدیریت امنیت اطلاعات ، یک تصمیم استراتژیک برای یک سازمان است. استقرار و پیاده سازی سیستم مدیریت امنیت اطلاعات در یک سازمان، تحت تأثیر نیازها و اهداف سازمان، الزامات امنیتی، فرایندهای سازمانی به کار گرفته شده و اندازه و ساختار سازمان قرار دارد. انتظار می رود تمامی این عوامل اثرگذار، در طول زمان دچار تغییر شوند.

سیستم مدیریت امنیت اطلاعات ، با به کارگیری یک فرایند مدیریت مخاطرات، از محرمانگی، صحت و دسترس پذیری اطلاعات محافظت می کند و به طرف های ذینفع این اطمینان را می دهد که مخاطرات، به میزان کافی مدیریت می شوند.

توجه داشته باشید که سیستم مدیریت امنیت اطلاعات ، با فرایندهای سازمان و ساختار مدیریتی کلان، یکپارچه بوده و بخشی از آنها است و همچنین امنیت اطلاعات در طراحی، فرایندها، سیستم های اطلاعاتی و کنترل ها لحاظ می شود. انتظار می رود که پیاده سازی یک سیستم مدیریت امنیت اطلاعات ، منطبق با نیازهای سازمان باشد.

این استاندارد بین المللی می تواند توسط طرفهای درونی و بیرونی، به منظور ارزیابی توانایی یک سازمان در فراهم آوری الزامات امنیت اطلاعات خود، مورد استفاده قرار گیرد.

ترتیب ارایه الزامات در این استاندارد بین المللی ، بیان کننده اهمیت یا ترتیب پیاده سازی آنها نیست. موارد فهرست شده، به منظور ارجاع های بعدی ذکر شده اند.

استاندارد ISO/IEC 27000، نمای کلی و واژگان سیستم های مدیریت امنیت اطلاعات را توصیف نموده و مرجع خانواده استاندارد سیستم مدیریت امنیت اطلاعات ( شامل ISO/IEC 27003²، ISO/IEC 27004³  و ⁴ISO/IEC 27005 ) به همراه اصطلاحات و تعاریف مرتبط با آن است .

2-0-سازگاری با سایر استانداردهای سیستم مدیریت

این استاندارد بین المللی از ساختار سطح بالا، عناوین یکسان در بندهای فرعی، متن یکسان، اصطاحات مشترک و تعاریف اصلی موجود در پیوست SL بخش 1 دستورالعمل های ISO/IEC ، مکمل های تلفیقی ISO استفاده می کند و در نتیجه با سایر استانداردهای سیستم مدیریت که پیوست SL را پذیرفته اند، سازگار است.

این رویکرد مشترک که در پیوست SL تعریف شده است، برای آن دسته از سازمان هایی که در نظر دارند یک سیستم مدیریت واحد را در راستای فراهم آوری الزامات دو یا چند استاندارد سیستم مدیریت اجرا کنند، مفید خواهد بود.

فناوری اطلاعات – فنون امنیتی – سیستم های مدیریت امنیت اطلاعات – الزامات

1- هدف و دامنه کاربرد

این استاندارد بین المللی ، الزاماتی را برای استقرار، پیاده سازی، نگهداری و بهبود مستمر یک سیستم مدیریت امنیت اطلاعات در چارچوب سازمان، مشخص می کند. این استاندارد بین المللی ، همچنین شامل الزاماتی برای ارزیابی و برطرف سازی مخاطرات امنیت اطلاعات ، متناسب با نیازهای سازمان است. الزامات تعیین شده در این استاندارد بین المللی ، عمومی بوده و در تمام سازمان ها، صرفنظر از نوع ، اندازه یا ماهیت آنها ، قابل اعمال است. کنارگذاری هر یک از الزامات مشخص شده در بندهای 4 تا 10، چنانچه یک سازمان ادعای تطابق با این استاندارد بین المللی را داشته باشد، مورد پذیرش نخواهد بود.

2- مراجع الزامی

مدارک الزامی زیر حاوی مقرراتی است که در متن این استاندارد ملی ایران به آنها ارجاع داده شده است. بدین ترتیب آن مقررات جزئی از این استاندارد محسوب می شوند .

در صورتی که به مدرکی با ذکر تاریخ انتشار ارجاع داده شده باشد، اصلاحیه ها و تجدید نظر های بعدی آن مورد نظر این استاندارد ملی ایران نیست. در مورد مدارکی که بدون ذکر تاریخ انتشار به آن ها ارجاع شده است، همواره آخرین تجدید نظر و اصلاحیه های بعدی آنها مورد نظر است.

استفاده از مراجع زیر برای این استاندارد الزامی است:

2-1-Iso/Iec 27000 , Information Technology – Security Techingues – Information Security Management Systems – Overview And Vocabulary

3- اصطلاحات و تعاریف

در راستای اهداف این سند ، اصطلاحات و تعاریف ذکر شده در ISO/IEC 27000 به کار می روند.

4- زمینه ی سازمان

1-4- درک سازمان و زمینه آن

سازمان باید موضوعات درونی و بیرونی که مرتبط با مقصود خود است و بر قابلیت آن ، جهت حصول نتایج تعیین شده سیستم مدیریت امنیت اطلاعات تاثیر گذار است را تعیین کند.

نکته : تعیین این مسایل به استقرار زمینه بیرونی و درونی سازمان که در بند 5-3 از استاندارد⁵ ISO 31000:2009 مطرح شده است، اشاره دارد.

2-4- درک نیازها و انتظارات طرف های علاقمند

سازمان باید موارد زیر را مشخص کند :

الف ) طرف های علاقمند مرتبط با سیستم مدیریت امنیت اطلاعات

ب )  الزامات این طرف های علاقمند در خصوص امنیت اطلاعات

یادآوری : الزامات طرف های علاقمند، ممکن است شامل الزامات قانونی ، مقررات تنظیمی و تعهدات قراردادی شود.

3-4- تعیین محدوده  سیستم مدیریت امنیت اطلاعات

سازمان باید مرزها و کاربردپذیری سیستم مدیریت امنیت اطلاعات را به منظور استقرار محدوه خود، تعیین کند.

سازمان باید هنگام تعیین این محدوده، موارد زیر را درنظر بگیرد:

الف) مسایل بیرونی و درونی اشاره شده در بند 4-1 ؛

ب) الزامات اشاره شده در بند 4-2؛

ج) واسط ها و وابستگی های بین فعالیت هایی که توسط سازمان انجام میشوند و فعالیت هایی که توسط سازمان های دیگر انجام می شوند.

محدوه باید به صورت اطلاعات مستند ، در دسترس باشد.

4-4- سیستم مدیریت امنیت اطلاعات

سازمان باید یک سیستم مدیریت امنیت اطلاعات را مطابق با الزامات این استاندارد بین المللی استقرار ، پیاده سازی ، نگهداری و به طور مستمر بهبود بخشد.

5- رهبری

1-5- رهبری و تعهد

مدیریت ارشد باید رهبری و تعهد در رابطه با سیستم مدیریت امنیت اطلاعات را توسط موارد زیر نشان دهد:

الف) اطمینان از اینکه خط مشی امنیت اطلاعات و اهداف امنیت اطلاعات ، مستقر شده و سازگار با جهت گیری راهبردی سازمان است.

ب) اطمینان از یکپارچه شدن الزامات سیستم مدیریت امنیت اطلاعات در فرایندهای سازمان

ج) اطمینان از اینکه منابع مورد نیاز سیستم مدیریت امنیت اطلاعات ، در دسترس است.

د) ابلاغ اهمیت مدیریت امنیت اطلاعات اثربخش و اهمیت انطباق با الزامات سیستم مدیریت امنیت اطلاعات؛

ه) اطمینان از اینکه سیستم مدیریت امنیت اطلاعات نتیجه (های) مورد نظر خود را به دست می آورد.

و) هدایت و پشتیبانی افراد به منظور مشارکت در اثر بخشی سیستم مدیریت امنیت اطلاعات ؛

ز) بهبود مستمر ؛

ح) پشتیبانی از سایر نقش های مدیریتی مرتبط جهت نشان دادن رهبری آنها، به نحوی که در حوزه های مسئولیتی مرتبط اعمال گردد.

2-5- خط مشی

مدیریت ارشد باید یک خط مشی امنیت اطلاعات ایجاد کند که:

الف) متناسب با هدف سازمان باشد.

ب) شامل اهداف امنیت اطلاعات باشد ( به بند 6-2 مراجعه شود ) یا چارچوبی را برای تعیین اهداف امنیت اطلاعات فراهم کند.

ج) شامل تعهد به برآورده سازی الزامات کاربرد پذیر مرتبط با امنیت اطلاعات باشد.

د) شامل تعهد به بهبود مستمر سیستم مدیریت امنیت اطلاعات باشد.

خط مشی امنیت اطلاعات باید:

ه) به صورت اطلاعات مستند ، در دسترس  باشد.

و) در داخل سازمان ابلاغ شده باشد.

ز) به طور مناسب، در دسترس طرف های علاقمند باشد.

3-5- نقش ها ، مسئولیت ها و  اختیارات سازمانی

مدیریت ارشد باید اطمینان حاصل کند که مسئولیت ها و اختیارات برای نقش های مرتبط با امنیت اطلاعات ، اختصاص یافته و ابلاغ شده است.

مدیریت ارشد باید مسئولیت و اختیارات را برای موارد زیر اختصاص دهد:

الف) حصول اطمینان از انطباق سیستم مدیریت امنیت اطلاعات با الزامات این استاندارد بین المللی؛

ب) گزارش عملکرد سیستم مدیریت امنیت اطلاعات به مدیریت ارشد.

یادآوری: مدیریت ارشد میتواند مسئولیت ها و اختیاراتی را برای گزارش دهی عملکرد سیستم مدیریت امنیت اطلاعات در سازمان اختصاص دهد.

6- طرح ریزی

1-6- اقدامات جهت پرداختن به مخاطرات و فرصت ها

1-1-6- کلیات

هنگام طراحی سیستم مدیریت امنیت اطلاعات ، سازمان باید موارد اشاره شده در بند 4-1 و الزامات اشاره شده در بند 4-2 را مدنظر قرار داده و مخاطرات و فرصت هایی را با لحاظ کردن موارد زیر تعیین کند:

الف) حصول اطمینان از اینکه سیستم مدیریت امنیت اطلاعات می تواند به نتایج مورد نظر دست یابد .

ب) اجتناب یا کاهش تاثیرات نامطلوب ؛

ج) دستیابی به بهبود مستمر.

سازمان باید موارد زیر را طرح ریزی کند:

د) اقداماتی برای پرداختن به این مخاطرات و فرصت ها ؛

ه) چگونه:

1. یکپارچه سازی و پیاده سازی این اقدامات را در فرایندهای سیستم مدیریت امنیت اطلاعات انجام دهد؛ و
2. اثربخشی این اقدامات را ارزشیابی کند.

2-1-6- ارزیابی مخاطرات امنیت اطلاعات

سازمان باید فرایند ارزیابی مخاطرات را تعریف نموده و به کار گیرد که:

الف) معیارهای مخاطرات امنیت اطلاعات را تعیین و نگهداری کند که شامل موارد زیر است:

1. معیارهای پذیرش مخاطرات ؛
2. معیارهایی برای انجام ارزیابی مخاطرات امنیت اطلاعات .

ب) تضمین کند که تکرار ارزیابی مخاطرات امنیت اطلاعات ، نتایج سازگار، معتبر و مقایسه پذیر تولید می کند.

ج) مخاطرات امنیت اطلاعات را شناسایی کند:

1. اعمال فرایند ارزیابی مخاطرات امنیت اطلاعات برای شناسایی مخاطرات مرتبط با از دست دادن محرمانگی ، یکپارچگی و دسترس پذیری و اطلاعات در محدوده سیستم مدیریت امنیت اطلاعات ؛ و
2. شناسایی مالکان مخاطره .

د) مخاطرات امنیت اطلاعات را تحلیل کند:

1. ارزیابی پیامدهای بالقوه که ممکن است در صورت تحقق مخاطرات شناسایی شده در بند 6-1-2 رخ دهد؛
2. ارزیابی واقع بینانه فرصت وقوع مخاطرات شناسایی شده در بند ج 6-1-2
3. تعیین سطوح مخاطرات

ه) مخاطرات امنیت اطلاعات را ارزشیابی کند:

1. مقایسه نتایج تحلیل مخاطرات با معیار معین شده مخاطرات در بند الف 6-1-2
2. اولویت بندی مخاطرات تحلیل شده برای برطرف سازی مخاطرات.

سازمان باید اطلاعاتی مستند درباره فرایند ارزیابی مخاطرات امنیت اطلاعات نگهداری کند.

3-1-6- برطرف سازی مخاطرات امنیت اطلاعات

سازمان باید یک فرایند برطرف سازی مخاطرات امنیت اطلاعات را برای موارد زیر تعریف کرده و به کار گیرد:

الف) انتخاب گزینه های مناسب برطرف سازی مخاطرات امنیت اطلاعات با در نظر گرفتن نتایج ارزیابی مخاطرات ؛

ب) تعیین همه کنترل هایی که برای پیاده سازی گزینه ( های ) انتخاب شده جهت برطرف سازی مخاطرات امنیت اطلاعات لازم هستند؛

یادرآوری: سازمان ها می توانند کنترل های مورد نیاز را طراحی کرده یا آن ها را از هر منبعی شناسایی کند.

ج) مقایسه کنترل های تعیین شده در بالا ( بند ب 6-1-3 ) با آن هایی که در پیوست الف هستند و اطمینان از اینکه هیچ کنترل مورد نیازی حذف نشده است.

یادآوری 1: پیوست الف شامل فهرست جامعی از اهداف کنترلی و کنترل ها است. استفاده کنندگان از این استاندارد بین المللی برای حصول اطمینان از اینکه هیچ یک از کنترل های ضروری نادیده گرفته نشده است، به پیوست الف ارجاع داده می شوند.

یادآوری 2 : کنترل های انتخاب شده به طور ضمنی شامل اهداف کنترلی هستند. اهداف کنترلی و کنترل های فهرست شده در پیوست الف ، جامع نبوده و ممکن است اهداف کنترلی و کنترل های اضافی هم مورد نیاز باشد.

د) تهیه بیانیه کاربردپذیری که شامل کنترل های ضروری ( به زیر بند ب و ج بند 6-1-3 مراجعه شود ) و دلیل استفاده از آنها بدون در نظر گرفتن اینکه پیاده سازی شده یا نشده اند و توجیه کنارگذاری کنترل های پیوست الف باشد، ایجاد نماید.

ه) یک طرح برطرف سازی مخاطرات امنیت اطلاعات را تدوین نماید؛

و)دریافت تایید مالکان مخاطرات برای طرح برطرف سازی مخاطرات امنیت اطلاعات و پذیرش مخاطرات امنیت اطلاعات باقیمانده؛

سازمان باید اطلاعاتی مستند درباره فرایند برطرف سازی مخاطرات امنیت اطلاعات ، نگهداری کند.

یادآوری: فرایند ارزیابی و برطرف سازی مخاطرات امنیت اطلاعات در این استاندارد بین المللی ، با اصول و رهنمودهای کلی / عمومی موجود در ⁵ISO 31000 مطابقت دارد.

2-6- اهداف امنیت اطلاعات و طرحریزی برای دستیابی به آنها

سازمان باید اهداف امنیت اطلاعات را برای کارکردها و سطوح مرتبط ایجاد کند.

اهداف امنیت اطلاعات باید:

الف) با خط مشی امنیت اطلاعات ، سازگار باشند.

ب) قابل اندازه گیری باشند (در صورت عملی بودن)؛

ج) الزامات قابل اجرای امنیت اطلاعات ، و نتایج ارزیابی مخاطرات و نتایج برطرف سازی مخاطرات را درنظر بگیرند.

د) ابلاغ شوند؛

ه) در صورت نیاز، به روز رسانی شوند.

سازمان باید اطلاعاتی مستند را درباره اهداف امنیت اطلاعات ، نگهداری کند.

سازمان باید هنگام طرح ریزی نحوه دستیابی به اهداف امنیت اطلاعات ، موارد زیر را تعیین کند:

و) چه کارهایی انجام خواهد شد.

ز) چه منابعی مورد نیاز خواهند بود.

ح) چه افرادی پاسخگو خواهند بود.

ط) چه زمانی تکمیل خواهد شد.

ی) نتایج ، چگونه ارزشیابی خواهند شد.

7- پشتیبانی

1-7- منابع

سازمان باید منابع مورد نیاز به منظور استقرار ، پیاده سازی ، نگهداری و بهبود مستمر سیستم مدیریت امنیت اطلاعات را تعیین و فراهم کند.

2-7- صلاحیت

سازمان باید:

الف) صلاحیت های مورد نیاز افرادی که تحت کنترل سازمان کار می کنند و بر روی عملکرد امنیت اطلاعات تأثیرگذار هستند را تعیین کند.

ب) اطمینان حاصل کند که این افراد، بر اساس  تحصیلات، آموزش ها یا تجربیات مناسب، صلاحیت دارند.

ج) هر جا که امکانپذیر است، اقدام هایی را به منظور کسب صلاحیت لازم انجام داده و اثربخشی اقدام های انجام شده را ارزشیابی کند.

د) اطلاعات مستند مناسب را به عنوان مدرکی مبنی بر صلاحیت ، نگهداری کند.

نکته: اقدامات امکانپذیر، به طور مثال می توانند شامل تامین آموزش ها، مربی گری، یا جابه جایی کارکنان موجود، یا اشتغال یا برون سپاری به افراد شایسته، باشد.

3-7- آگاه سازی

افرادی که تحت کنترل سازمان فعالیت می کنند باید نسبت به موارد زیر آگاه باشند:

الف) خط مشی امنیت اطلاعات ؛

ب) سهم آنها در اثربخشی سیستم مدیریت امنیت اطلاعات ، شامل منافع حاصل از بهبود عملکرد امنیت اطلاعات ؛

ج) پیامدهای عدم انطباق با الزامات سیستم مدیریت امنیت اطلاعات .

4-7- ارتباطات

سازمان باید نیاز به ارتباطات درونی و بیرونی را در رابطه با سیستم مدیریت امنیت اطلاعات تعیین کند که شامل موارد زیر میشود:

الف) در مورد چه موضوعاتی ارتباط برقرار شود.

ب) چه مواقعی ارتباط برقرار شود.

ج) با چه کسانی ارتباط برقرار شود.

د) چه کسانی باید ارتباط را برقرار کنند؛

ه) فرایندهایی که به واسطه آنها باید ارتباطات برقرار شود.

5-7- اطلاعات مستند

1-5-7- کلیات

سیستم مدیریت امنیت اطلاعات سازمان باید شامل این موارد باشد:

الف) اطلاعات مستند مورد نیاز این استاندارد بین المللی؛

ب) اطلاعات مستندی که از سوی سازمان برای اثر بخشی سیستم مدیریت امنیت اطلاعات ، ضروری تشخیص داده شده است.

یادآوری: گستره مستندسازی سیستم مدیریت امنیت اطلاعات می تواند به دلایل زیر برای هر سازمان متفاوت باشد:

1. اندازه سازمان و نوع فعالیت ها، فرایندها، محصولات و خدمات آن؛
2. پیچیدگی فرایندها و تعاملات آنها؛
3. صلاحیت کارکنان.

2-5-7- ایجاد و به روزرسانی

هنگام ایجاد و به روزرسانی اطلاعات مستند ، سازمان باید از مناسب بودن موارد زیر اطمینان حاصل کند:

الف) شناسایی و توصیف ( مثلاً یک عنوان، تاریخ، نویسنده یا شماره ارجاع )

ب) قالب ( مثلاً زبان ، نسخه نرم افزار ، گرافیک ) و رسانه ( مثلاً کاغذی ، الکترونیکی )

ج) بازنگری و تایید مناسب بودن و کفایت آنها.

3-5-7- کنترل اطلاعات مستند

اطلاعات مستند مورد نیاز سیستم مدیریت امنیت اطلاعات و این استاندارد بین المللی باید کنترل شوند تا اطمینان حاصل شود:

الف) این اطلاعات در زمان و مکانی که به آن احتیاج است در دسترس و مناسب برای استفاده هستند؛

ب) به میزان کافی حفاظت می شوند ( به عنوان مثال در برابر فقدان محرمانگی ، استفاده نادرست یا فقدان یکپارچگی).

به منظور کنترل اطلاعات مستند ، سازمان باید در صورت قابلیت اجرا، به فعالیت های زیر بپردازد:

ج) توزیع، دسترسی، بازیابی و استفاده؛

د) ذخیره سازی و محافظت، شامل حفظ خوانایی؛

ه) کنترل تغییرات ( برای مثال کنترل نسخه )؛

و) نگهداری و امحا.

اطلاعات مستند با منشأ بیرونی که سازمان برای طرح ریزی و اجرای سیستم مدیریت امنیت اطلاعات ضروری تشخیص داده است باید به نحوی مناسب، شناسایی و کنترل شوند.

یادآوری: دسترسی، به صورت ضمنی، بیانگر تصمیمی مرتبط با مجوز فقط برای مشاهده اطلاعات، یا مجوز و اختیاردهی جهت مشاهده و تغییر اطلاعات مستند و مواردی مانند آن می شود.

8- عملیات

1-8- طرح ریزی و کنترل عملیات

سازمان باید فرایندهای مورد نیاز برای برآورده سازی الزامات امنیت اطلاعات را طرح ریزی ، پیاده سازی و کنترل نموده و اقدام های مشخص شده در بند 6-1 را پیاده سازی کند. سازمان همچنین باید طرح هایی را برای دستیابی به اهداف امنیت اطلاعات مشخص شده در بند 6-2 پیاده سازی نماید.

شرکت باید اطلاعات مستند را در حد لازم برای حصول اطمینان از اینکه فرایند ها به همان صورت که طرح ریزی شده اند انجام می شود، نگهداری کند.

سازمان باید در صورت لزوم، اقدام هایی را برای کاهش هرگونه عوارض جانبی انجام دهد تا تغییرات طرح ریزی شده را کنترل و پیامدهای تغییرات ناخواسته را بازنگری نماید.

 سازمان باید اطمینان حاصل کند که فرایندهای برون سپاری شده، تعیین شده و تحت کنترل هستند.

2-8- ارزیابی مخاطرات امنیت اطلاعات

سازمان باید ارزیابی مخاطرات امنیت اطلاعات را در بازه های زمانی طرح ریزی شده یا هنگام وقوع تغییرات مهم یا تغییرات پیشنهاد شده، با درنظر گرفتن معیار تعیین  شده در بند الف – 6-2- 1 ، انجام دهد.

سازمان باید اطلاعاتی مستند را درباره نتایج ارزیابی های مخاطرات امنیت اطلاعات ، نگهداری کند.

3-8- برطرف سازی مخاطرات امنیت اطلاعات

سازمان باید طرح برطرف سازی مخاطرات امنیت اطلاعات را پیاده سازی کند.

سازمان باید اطلاعاتی مستند را درباره نتایج برطرف سازی مخاطرات امنیت اطلاعات ، نگهداری کند.

9- ارزشیابی عملکرد

1-9- پایش ، اندازه گیری ، تحلیل و ارزشیابی

سازمان باید عملکرد امنیت اطلاعات و اثربخشی سیستم مدیریت امنیت اطلاعات را ارزشیابی کند.

سازمان باید موارد زیر را مشخص کند:

الف) چه چیزهایی به پایش و اندازه گیری نیاز دارند، از جمله فرایندها و کنترل های امنیت اطلاعات ؛

ب) روش های پایش ، اندازه گیری ، تحلیل و ارزشیابی ، به صورت کاربرد پذیر، به منظور حصول اطمینان از معتبر بودن

نتایج؛

یادآوری: روش های انتخابی باید نتایج قابل قیاس  و تکرارپذیر تولید کنند تا معتبر شناخته شوند.

ج) چه زمانی باید پایش و اندازه گیری انجام شود.

د) چه کسی باید پایش و اندازه گیری را انجام دهد.

ه) چه زمانی نتایج حاصل از پایش و اندازه گیری باید مورد تحلیل و ارزشیابی قرار گیرند؛

و) چه کسی باید این نتایج را تحلیل و ارزشیابی کند.

سازمان باید اطلاعات مستند مناسب را به عنوان مدرک پایش و اندازه گیری نتایج ، نگهداری کند.

2-9- ممیزی داخلی

سازمان باید ممیزی های داخلی را در فاصله های زمانی طرح ریزی شده انجام دهد تا اطلاع حاصل شود که آیا سیستم مدیریت

امنیت اطلاعات:

الف) با موارد زیر انطباق دارد:

1. الزامات خود سازمان برای سیستم مدیریت امنیت اطلاعات؛
2. الزامات این استاندارد بین المللی؛

ب) به طور اثربخش ، پیاده سازی و نگهداری می شود.

سازمان باید:

ج) برنامه ( های ) ممیزی شامل دفعات تکرار، روش ها، مسئولیت ها، الزامات طرح ریزی و گزارش دهی را طرح ریزی ، مستقر، پیاده سازی و نگهداری کند. برنامه ( های ) ممیزی باید اهمیت فرایندهای مورد نظر و نتایج ممیزی های قبلی را درنظر بگیرند.

د)معیارهای ممیزی و قلمرو هر ممیزی را تعریف کند.

ه) در انتخاب ممیزان و انجام ممیزی ها ، از واقع بینی و بی طرفی فرایند ممیزی اطمینان حاصل نماید.

و) اطمینان حاصل کند که نتایج ممیزی ها به مدیریت مربوطه گزارش گردند؛

ز) اطلاعات مستند را به عنوان مدرک برنامه ( های ) ممیزی و نتایج ممیزی ، نگهداری کند.

3-9- بازنگری مدیریت

مدیریت ارشد باید سیستم مدیریت امنیت اطلاعات سازمان را در فاصله های زمانی طرحریزی و بازنگری کند تا از تداوم سازگاری، کفایت و اثربخشی آن اطمینان حاصل نماید.

در بازنگری مدیریت ، باید موارد زیر را در نظر بگیرید:

الف) وضعیت اقدامات در بازنگری های قبلی مدیریت؛

ب) تغییرات در مسایل بیرونی و درونی مرتبط با سیستم مدیریت امنیت اطلاعات ؛

ج) بازخوردها درباره عملکرد امنیت اطلاعات ، شامل روند:

1. عدم انطباقها و اقدام های اصلاحی ؛
2. نتایج پایش و اندازه گیری ؛
3. نتایج ممیزی ؛
4. تحقق اهداف امنیت اطلاعات .

د) بازخورد از طرف های ذینفع؛

ه) نتایج ارزیابی مخاطرات و وضعیت طرح برطرف سازی مخاطرات؛

و) فرصت ها برای بهبود مستمر .

خروجی های بازنگری مدیریت باید در برگیرنده تصمیمات مربوط به فرصت های بهبود مستمر و هر گونه نیاز به تغییر در سیستم مدیریت امنیت اطلاعات باشد.

سازمان باید اطلاعات مستند را به عنوان مدرک نتایج بازنگری های مدیریت ، نگهداری کند.

10- بهبود

1-10- عدم انطباق و اقدام اصالحی

هنگام وقوع یک عدم انطباق ، سازمان باید:

الف) نسبت به عدم انطباق ، واکنش نشان داده و در صورت مقتضی:

1. برای کنترل و اصلاح آن اقدام کند.
2. به پیامد ها رسیدگی کند.

ب) نیاز به اقدام برای رفع علل عدم انطباق را به منظور جلوگیری از تکرار یا بروز آن در جای دیگر، از طریق موارد زیر تعیین کند.

1. بازنگری عدم انطباق ؛
2. تعیین علل عدم انطباق ؛
3. شناسایی وجود عدم انطباق های مشابه یا احتمال وقوع آنها.

ج) اقدام های مورد نیاز را پیاده سازی کند.

د) اثربخشی تمام اقدام های اصلاحی اجرایی را بازنگری کند.

ه) در صورت لزوم ، تغییراتی را در سیستم مدیریت امنیت اطلاعات ایجاد کند.

اقدام های اصلاحی باید متناسب با اثرات عدم انطباق های قابل مشاهده باشند.

سازمان باید اطلاعات مستند را به عنوان مدرک برای موارد زیر نگهداری کند:

و) ماهیت عدم انطباق ها و تمام اقدام های اجرایی متعاقب آن؛

ز) نتایج هر یک از اقدام های اصلاحی .

2-10- بهبود مستمر

سازمان باید به طور مستمر، سازگاری، کفایت و اثربخشی سیستم مدیریت امنیت اطلاعات را بهبود بخشد.

پیوست الف (الزامی)

کنترل ها و اهداف کنترلی مرجع

اهداف کنترلی و کنترل های فهرستی در جدول الف.1 ،  به طور مستقیم از بندهای 5 تا 18 استاندارد ¹ ISO/IEC

27002:2013 و منطبق با آنها برمی گیرند و در چارچوب بند 6-1-3 مورد استفاده قرار می گیرند.

جدول الف.7 – اهداف کنترلی و کنترلها

متن فارسی استاندارد ایزو 27001 توسط سیستم کاران – سازمان مرکزی با شماره 79165-021 منتشر گردید. در صورت وجود هر گونه سوال یا ابهامی با مرکز تماس حاصل فرمایید. توصیه میگردد که استاندارد ایزو 27001 بهمراه استاندارد ایزو 9001 طراحی و پیاده سازی گردد. اکثر کارشناسان و مشاوران ایزو از محتوای استاندارد ISO/IEC27001 اطلاعات کاملی ندارند. داشتن مهارت در حوزه IT باعث درک بهتر این استاندارد میگردد.

اخذ فوری و ارزان ایزو 27001 را با سیستم کاران 79165-021 تجربه کنید. از خدمات رایگان سیستم کاران در حوزه طراحی و پیاده سازی سیستم مدیریت امنیت اطلاعات نیز استفاده نمایید.

بامادرارتباط باشید . . .

لینک دانلود رایگان متن فارسی استاندارد ISO/IEC 27001:2013 با فرمت PDF فارسی

برای مشاهده متن فارسی و انگلیسی سایر استانداردهای ایزو می توانید اینجا کلیک نمایید.