ວິທີການປະຕິບັດ ISO 27001: ຄໍາແນະນໍາສໍາລັບການນໍາໃຊ້

ມື້ນີ້, ບັນຫາຄວາມປອດໄພຂອງຂໍ້ມູນ (ຕໍ່ໄປນີ້ເອີ້ນວ່າຄວາມປອດໄພດ້ານຂໍ້ມູນ) ຂອງບໍລິສັດແມ່ນຫນຶ່ງທີ່ກົດດັນທີ່ສຸດໃນໂລກ. ແລະນີ້ບໍ່ແປກໃຈ, ເພາະວ່າໃນຫຼາຍປະເທດມີການເຄັ່ງຄັດຂອງຂໍ້ກໍານົດສໍາລັບອົງການຈັດຕັ້ງທີ່ເກັບຮັກສາແລະປະມວນຜົນຂໍ້ມູນສ່ວນບຸກຄົນ. ປະຈຸ​ບັນ, ກົດໝາຍ​ລັດ​ເຊຍ​ຮຽກຮ້ອງ​ໃຫ້​ຮັກສາ​ອັດ​ຕາ​ສ່ວນ​ທີ່​ສຳຄັນ​ຂອງ​ການ​ເຄື່ອນ​ໄຫວ​ເອກະສານ​ໃນ​ຮູບ​ແບບ​ເຈ້ຍ. ໃນຂະນະດຽວກັນ, ທ່າອ່ຽງໄປສູ່ການຫັນເປັນດິຈິຕອລແມ່ນເຫັນໄດ້ຊັດເຈນ: ມີຫຼາຍບໍລິສັດເກັບຂໍ້ມູນຄວາມລັບໄວ້ເປັນຈໍານວນຫຼວງຫຼາຍແລ້ວ ທັງໃນຮູບແບບດິຈິຕອລ ແລະໃນຮູບແບບເອກະສານເຈ້ຍ.

ອີງຕາມຜົນໄດ້ຮັບ ການສໍາຫຼວດ ສູນການວິເຄາະຕ້ານ Malware, 86% ຂອງຜູ້ຕອບທີ່ສັງເກດເຫັນວ່າໃນລະຫວ່າງປີພວກເຂົາຢ່າງຫນ້ອຍຫນຶ່ງຄັ້ງທີ່ຈະແກ້ໄຂເຫດການຫຼັງຈາກການໂຈມຕີທາງອິນເຕີເນັດຫຼືເປັນຜົນມາຈາກການລະເມີດຂອງຜູ້ໃຊ້ຂອງກົດລະບຽບທີ່ຖືກສ້າງຕັ້ງຂຶ້ນ. ໃນເລື່ອງນີ້, ການຈັດລໍາດັບຄວາມສໍາຄັນຂອງຄວາມປອດໄພດ້ານຂໍ້ມູນໃນທຸລະກິດໄດ້ກາຍເປັນຄວາມຈໍາເປັນ.

ໃນປັດຈຸບັນ, ຄວາມປອດໄພຂອງຂໍ້ມູນຂອງບໍລິສັດບໍ່ພຽງແຕ່ເປັນຊຸດຂອງວິທີການດ້ານວິຊາການ, ເຊັ່ນ: antiviruses ຫຼື firewalls, ມັນແມ່ນແລ້ວວິທີການປະສົມປະສານໃນການຈັດການຊັບສິນຂອງບໍລິສັດໂດຍທົ່ວໄປແລະຂໍ້ມູນຂ່າວສານໂດຍສະເພາະ. ບໍລິສັດເຂົ້າຫາບັນຫາເຫຼົ່ານີ້ແຕກຕ່າງກັນ. ມື້​ນີ້​ພວກ​ເຮົາ​ຂໍ​ເວົ້າ​ກ່ຽວ​ກັບ​ການ​ປະ​ຕິ​ບັດ​ມາດ​ຕະ​ຖານ​ສາ​ກົນ ISO 27001 ເປັນ​ການ​ແກ້​ໄຂ​ບັນ​ຫາ​ດັ່ງ​ກ່າວ​. ສໍາລັບບໍລິສັດໃນຕະຫຼາດລັດເຊຍ, ການປະກົດຕົວຂອງໃບຢັ້ງຢືນດັ່ງກ່າວງ່າຍການໂຕ້ຕອບກັບລູກຄ້າຕ່າງປະເທດແລະຄູ່ຮ່ວມງານທີ່ມີຄວາມຕ້ອງການສູງໃນເລື່ອງນີ້. ISO 27001 ຖືກນໍາໃຊ້ຢ່າງກວ້າງຂວາງໃນພາກຕາເວັນຕົກແລະກວມເອົາຄວາມຕ້ອງການໃນຂົງເຂດຄວາມປອດໄພຂອງຂໍ້ມູນ, ເຊິ່ງຄວນຈະຖືກຄຸ້ມຄອງໂດຍວິທີແກ້ໄຂດ້ານວິຊາການທີ່ໃຊ້, ແລະຍັງປະກອບສ່ວນເຂົ້າໃນການພັດທະນາຂະບວນການທຸລະກິດ. ດັ່ງນັ້ນ, ມາດຕະຖານນີ້ສາມາດກາຍເປັນປະໂຫຍດດ້ານການແຂ່ງຂັນຂອງທ່ານແລະຈຸດພົວພັນກັບບໍລິສັດຕ່າງປະເທດ.

ການຢັ້ງຢືນຂອງລະບົບການຄຸ້ມຄອງຄວາມປອດໄພຂໍ້ມູນຂ່າວສານ (ຕໍ່ໄປນີ້ເອີ້ນວ່າ ISMS) ໄດ້ເກັບກໍາຂໍ້ປະຕິບັດທີ່ດີທີ່ສຸດສໍາລັບການອອກແບບ ISMS ແລະ, ທີ່ສໍາຄັນ, ສະຫນອງໃຫ້ສໍາລັບຄວາມເປັນໄປໄດ້ຂອງການເລືອກເຄື່ອງມືການຄວບຄຸມເພື່ອຮັບປະກັນການເຮັດວຽກຂອງລະບົບ, ຄວາມຕ້ອງການສະຫນັບສະຫນູນຄວາມປອດໄພທາງດ້ານເຕັກໂນໂລຢີແລະແມ້ກະທັ້ງ. ສໍາລັບຂະບວນການບໍລິຫານບຸກຄະລາກອນໃນບໍລິສັດ. ຫຼັງຈາກທີ່ທັງຫມົດ, ມັນຈໍາເປັນຕ້ອງເຂົ້າໃຈວ່າຄວາມລົ້ມເຫລວທາງດ້ານວິຊາການແມ່ນພຽງແຕ່ສ່ວນຫນຶ່ງຂອງບັນຫາ. ໃນເລື່ອງຄວາມປອດໄພຂອງຂໍ້ມູນ, ປັດໃຈຂອງມະນຸດມີບົດບາດອັນໃຫຍ່ຫຼວງ, ແລະມັນກໍ່ມີຄວາມຫຍຸ້ງຍາກຫຼາຍທີ່ຈະລົບລ້າງຫຼືຫຼຸດຜ່ອນມັນ.

ຖ້າບໍລິສັດຂອງທ່ານກໍາລັງຊອກຫາການຮັບຮອງ ISO 27001, ທ່ານອາດຈະໄດ້ພະຍາຍາມຊອກຫາວິທີງ່າຍໆທີ່ຈະເຮັດມັນ. ພວກເຮົາຕ້ອງເຮັດໃຫ້ເຈົ້າຜິດຫວັງ: ບໍ່ມີວິທີງ່າຍໆຢູ່ທີ່ນີ້. ຢ່າງໃດກໍ່ຕາມ, ມີບາງຂັ້ນຕອນທີ່ຈະຊ່ວຍໃຫ້ການກະກຽມອົງການຈັດຕັ້ງສໍາລັບຄວາມຕ້ອງການຄວາມປອດໄພຂໍ້ມູນສາກົນ:

1. ໄດ້ຮັບການສະຫນັບສະຫນູນຈາກການຄຸ້ມຄອງ

ທ່ານອາດຈະຄິດວ່ານີ້ແມ່ນຈະແຈ້ງ, ແຕ່ໃນທາງປະຕິບັດ, ຈຸດນີ້ມັກຈະຖືກມອງຂ້າມ. ຍິ່ງໄປກວ່ານັ້ນ, ນີ້ແມ່ນ ໜຶ່ງ ໃນເຫດຜົນຕົ້ນຕໍທີ່ໂຄງການຈັດຕັ້ງປະຕິບັດ ISO 27001 ມັກຈະລົ້ມເຫລວ. ຖ້າບໍ່ມີຄວາມເຂົ້າໃຈກ່ຽວກັບຄວາມສໍາຄັນຂອງໂຄງການປະຕິບັດມາດຕະຖານ, ການຄຸ້ມຄອງຈະບໍ່ສະຫນອງຊັບພະຍາກອນມະນຸດທີ່ພຽງພໍຫຼືງົບປະມານພຽງພໍສໍາລັບການຢັ້ງຢືນ.

2. ສ້າງແຜນການກະກຽມການຢັ້ງຢືນ

ການກະກຽມສໍາລັບການຢັ້ງຢືນ ISO 27001 ເປັນວຽກງານທີ່ຊັບຊ້ອນທີ່ກ່ຽວຂ້ອງກັບການເຮັດວຽກຫຼາຍປະເພດ, ຮຽກຮ້ອງໃຫ້ມີການມີສ່ວນຮ່ວມຂອງປະຊາຊົນຈໍານວນຫຼາຍແລະສາມາດໃຊ້ເວລາຫຼາຍເດືອນ (ຫຼືແມ້ກະທັ້ງປີ). ດັ່ງນັ້ນ, ມັນເປັນສິ່ງສໍາຄັນຫຼາຍທີ່ຈະສ້າງແຜນການໂຄງການລາຍລະອຽດ: ຈັດສັນຊັບພະຍາກອນ, ເວລາແລະການມີສ່ວນຮ່ວມຂອງປະຊາຊົນເພື່ອກໍານົດວຽກງານຢ່າງເຂັ້ມງວດແລະຕິດຕາມການປະຕິບັດຕາມກໍານົດເວລາ - ຖ້າບໍ່ດັ່ງນັ້ນທ່ານອາດຈະເຮັດວຽກບໍ່ສໍາເລັດ.

3. ກໍານົດຂອບເຂດການຢັ້ງຢືນ

ຖ້າທ່ານມີອົງການຈັດຕັ້ງຂະຫນາດໃຫຍ່ທີ່ມີກິດຈະກໍາທີ່ມີຄວາມຫຼາກຫຼາຍ, ມັນອາດຈະເຮັດໃຫ້ຄວາມຮູ້ສຶກທີ່ຈະຢັ້ງຢືນພຽງແຕ່ສ່ວນຫນຶ່ງຂອງທຸລະກິດຂອງບໍລິສັດກັບ ISO 27001, ເຊິ່ງຈະຊ່ວຍຫຼຸດຜ່ອນຄວາມສ່ຽງຂອງໂຄງການຂອງທ່ານຢ່າງຫຼວງຫຼາຍ, ເຊັ່ນດຽວກັນກັບເວລາແລະຄ່າໃຊ້ຈ່າຍຂອງມັນ.

4. ສ້າງນະໂຍບາຍຄວາມປອດໄພດ້ານຂໍ້ມູນຂ່າວສານ

ຫນຶ່ງໃນເອກະສານທີ່ສໍາຄັນທີ່ສຸດແມ່ນນະໂຍບາຍຄວາມປອດໄພຂໍ້ມູນຂອງບໍລິສັດ. ມັນຄວນຈະສະທ້ອນເຖິງເປົ້າຫມາຍຄວາມປອດໄພຂອງຂໍ້ມູນຂອງບໍລິສັດຂອງທ່ານແລະຫຼັກການພື້ນຖານຂອງການຄຸ້ມຄອງຄວາມປອດໄພຂອງຂໍ້ມູນ, ເຊິ່ງຈະຕ້ອງປະຕິບັດຕາມໂດຍພະນັກງານທັງຫມົດ. ຈຸດປະສົງຂອງເອກະສານນີ້ແມ່ນເພື່ອກໍານົດສິ່ງທີ່ຜູ້ບໍລິຫານຂອງບໍລິສັດຕ້ອງການບັນລຸໃນດ້ານຄວາມປອດໄພຂອງຂໍ້ມູນ, ເຊັ່ນດຽວກັນກັບວິທີການນີ້ຈະຖືກປະຕິບັດແລະຄວບຄຸມ.

5. ກໍານົດວິທີການປະເມີນຄວາມສ່ຽງ

ຫນຶ່ງໃນວຽກງານທີ່ມີຄວາມຫຍຸ້ງຍາກທີ່ສຸດແມ່ນການກໍານົດກົດລະບຽບສໍາລັບການປະເມີນຄວາມສ່ຽງແລະການຄຸ້ມຄອງ. ມັນເປັນສິ່ງສໍາຄັນທີ່ຈະເຂົ້າໃຈວ່າຄວາມສ່ຽງທີ່ບໍລິສັດອາດຈະຖືວ່າຍອມຮັບໄດ້ແລະທີ່ຕ້ອງການການດໍາເນີນການທັນທີເພື່ອຫຼຸດຜ່ອນພວກມັນ. ຖ້າບໍ່ມີກົດລະບຽບເຫຼົ່ານີ້, ISMS ຈະບໍ່ເຮັດວຽກ.
ໃນເວລາດຽວກັນ, ຄວນຈື່ຈໍາຄວາມພຽງພໍຂອງມາດຕະການທີ່ປະຕິບັດເພື່ອຫຼຸດຜ່ອນຄວາມສ່ຽງ. ແຕ່ທ່ານບໍ່ຄວນປະຕິບັດເກີນໄປກັບຂະບວນການເພີ່ມປະສິດທິພາບ, ເພາະວ່າພວກມັນຍັງຕ້ອງໃຊ້ເວລາຫຼາຍຫຼືຄ່າໃຊ້ຈ່າຍທາງດ້ານການເງິນຫຼືອາດຈະເປັນສິ່ງທີ່ເປັນໄປບໍ່ໄດ້. ພວກເຮົາແນະນໍາໃຫ້ທ່ານໃຊ້ຫຼັກການຂອງ "ຄວາມພຽງພໍຂັ້ນຕ່ໍາ" ເມື່ອພັດທະນາມາດຕະການຫຼຸດຜ່ອນຄວາມສ່ຽງ.

6. ຄຸ້ມຄອງຄວາມສ່ຽງຕາມວິທີການທີ່ໄດ້ຮັບການອະນຸມັດ

ຂັ້ນຕອນຕໍ່ໄປແມ່ນການນໍາໃຊ້ທີ່ສອດຄ່ອງຂອງວິທີການຄຸ້ມຄອງຄວາມສ່ຽງ, ນັ້ນແມ່ນ, ການປະເມີນແລະການປຸງແຕ່ງຂອງພວກເຂົາ. ຂະບວນການນີ້ຕ້ອງໄດ້ຮັບການປະຕິບັດເປັນປົກກະຕິດ້ວຍຄວາມລະມັດລະວັງ. ໂດຍການຮັກສາຄວາມສ່ຽງດ້ານຄວາມປອດໄພຂໍ້ມູນຂ່າວສານລົງທະບຽນເຖິງວັນທີ, ທ່ານຈະສາມາດຈັດສັນຊັບພະຍາກອນຂອງບໍລິສັດຢ່າງມີປະສິດທິພາບແລະປ້ອງກັນເຫດການຮ້າຍແຮງ.

7. ວາງແຜນການປິ່ນປົວຄວາມສ່ຽງ

ຄວາມສ່ຽງທີ່ເກີນລະດັບທີ່ຍອມຮັບໄດ້ສໍາລັບບໍລິສັດຂອງທ່ານຈະຕ້ອງຖືກລວມເຂົ້າໃນແຜນການປິ່ນປົວຄວາມສ່ຽງ. ມັນຄວນຈະບັນທຶກການປະຕິບັດເພື່ອແນໃສ່ຫຼຸດຜ່ອນຄວາມສ່ຽງ, ເຊັ່ນດຽວກັນກັບບຸກຄົນທີ່ຮັບຜິດຊອບສໍາລັບພວກເຂົາແລະກໍານົດເວລາ.

8. ສໍາເລັດການຖະແຫຼງການຂອງການນໍາໃຊ້

ນີ້ແມ່ນເອກະສານທີ່ສໍາຄັນທີ່ຈະໄດ້ຮັບການສຶກສາໂດຍຜູ້ຊ່ຽວຊານຈາກອົງການຢັ້ງຢືນໃນລະຫວ່າງການກວດສອບ. ມັນຄວນຈະອະທິບາຍວ່າການຄວບຄຸມຄວາມປອດໄພຂໍ້ມູນໃດໃຊ້ກັບກິດຈະກໍາຂອງບໍລິສັດຂອງທ່ານ.

9. ກໍານົດວິທີການປະສິດທິພາບຂອງການຄວບຄຸມຄວາມປອດໄພຂໍ້ມູນຂ່າວສານຈະໄດ້ຮັບການວັດແທກ.

ການ​ກະທຳ​ໃດ​ກໍ່​ຕ້ອງ​ໄດ້​ຮັບ​ໝາກຜົນ​ທີ່​ນຳ​ໄປ​ສູ່​ການ​ບັນລຸ​ເປົ້າໝາຍ​ທີ່​ຕັ້ງ​ໄວ້. ດັ່ງນັ້ນ, ມັນເປັນສິ່ງ ສຳ ຄັນທີ່ຈະຕ້ອງ ກຳ ນົດຢ່າງຈະແຈ້ງວ່າຕົວ ກຳ ນົດການບັນລຸເປົ້າ ໝາຍ ໃດຈະຖືກວັດແທກທັງລະບົບການຄຸ້ມຄອງຄວາມປອດໄພຂອງຂໍ້ມູນທັງ ໝົດ ແລະ ສຳ ລັບແຕ່ລະກົນໄກການຄວບຄຸມທີ່ເລືອກຈາກເອກະສານຊ້ອນທ້າຍ Applicability.

10. ປະຕິບັດການຄວບຄຸມຄວາມປອດໄພຂໍ້ມູນຂ່າວສານ

ແລະພຽງແຕ່ຫຼັງຈາກສໍາເລັດຂັ້ນຕອນທີ່ຜ່ານມາທັງຫມົດທ່ານຄວນເລີ່ມຕົ້ນປະຕິບັດການຄວບຄຸມຄວາມປອດໄພຂອງຂໍ້ມູນນໍາໃຊ້ຈາກເອກະສານຊ້ອນທ້າຍ. ສິ່ງທ້າທາຍທີ່ໃຫຍ່ທີ່ສຸດຢູ່ທີ່ນີ້, ແນ່ນອນ, ແມ່ນການນໍາສະເຫນີວິທີການໃຫມ່ທີ່ສົມບູນຂອງການເຮັດສິ່ງຕ່າງໆໃນທົ່ວຫຼາຍຂະບວນການຂອງອົງການຈັດຕັ້ງຂອງທ່ານ. ປະຊາຊົນມີແນວໂນ້ມທີ່ຈະຕໍ່ຕ້ານນະໂຍບາຍແລະຂັ້ນຕອນໃຫມ່, ດັ່ງນັ້ນຈົ່ງເອົາໃຈໃສ່ກັບຈຸດຕໍ່ໄປ.

11. ຈັດຕັ້ງປະຕິບັດໂຄງການຝຶກອົບຮົມໃຫ້ແກ່ພະນັກງານ

ທຸກໆຈຸດທີ່ອະທິບາຍຂ້າງເທິງຈະບໍ່ມີຄວາມຫມາຍຖ້າພະນັກງານຂອງທ່ານບໍ່ເຂົ້າໃຈຄວາມສໍາຄັນຂອງໂຄງການແລະບໍ່ປະຕິບັດຕາມນະໂຍບາຍຄວາມປອດໄພຂອງຂໍ້ມູນ. ຖ້າທ່ານຕ້ອງການໃຫ້ພະນັກງານຂອງທ່ານປະຕິບັດຕາມກົດລະບຽບໃຫມ່ທັງຫມົດ, ທໍາອິດທ່ານຈໍາເປັນຕ້ອງອະທິບາຍໃຫ້ປະຊາຊົນວ່າເປັນຫຍັງພວກເຂົາມີຄວາມຈໍາເປັນ, ແລະຫຼັງຈາກນັ້ນໃຫ້ການຝຶກອົບຮົມກ່ຽວກັບ ISMS, ເນັ້ນຫນັກເຖິງນະໂຍບາຍທີ່ສໍາຄັນທັງຫມົດທີ່ພະນັກງານຕ້ອງຄໍານຶງໃນການເຮັດວຽກປະຈໍາວັນຂອງພວກເຂົາ. ການຂາດການຝຶກອົບຮົມພະນັກງານແມ່ນເຫດຜົນທົ່ວໄປສໍາລັບຄວາມລົ້ມເຫຼວຂອງໂຄງການ ISO 27001.

12. ຮັກສາຂະບວນການ ISMS

ໃນຈຸດນີ້, ISO 27001 ກາຍເປັນວຽກປະຈໍາວັນໃນອົງກອນຂອງທ່ານ. ເພື່ອຢືນຢັນການປະຕິບັດການຄວບຄຸມຄວາມປອດໄພຂອງຂໍ້ມູນຕາມມາດຕະຖານ, ຜູ້ກວດສອບຈະຕ້ອງໃຫ້ບັນທຶກ - ຫຼັກຖານຂອງການປະຕິບັດຕົວຈິງຂອງການຄວບຄຸມ. ແຕ່ສ່ວນໃຫຍ່, ບັນທຶກຄວນຊ່ວຍໃຫ້ທ່ານຕິດຕາມວ່າພະນັກງານຂອງທ່ານ (ແລະຜູ້ສະຫນອງ) ກໍາລັງປະຕິບັດວຽກງານຂອງພວກເຂົາຕາມກົດລະບຽບທີ່ໄດ້ຮັບການອະນຸມັດ.

13. ຕິດຕາມກວດກາ ISMS ຂອງທ່ານ

ເກີດຫຍັງຂຶ້ນກັບ ISMS ຂອງທ່ານ? ເຈົ້າມີເຫດການຫຼາຍປານໃດ, ປະເພດໃດແດ່? ຂັ້ນຕອນທັງຫມົດປະຕິບັດຕາມຢ່າງຖືກຕ້ອງບໍ? ດ້ວຍຄໍາຖາມເຫຼົ່ານີ້, ທ່ານຄວນກວດເບິ່ງວ່າບໍລິສັດກໍາລັງບັນລຸເປົ້າຫມາຍຄວາມປອດໄພຂອງຂໍ້ມູນບໍ? ຖ້າບໍ່, ທ່ານຕ້ອງສ້າງແຜນການແກ້ໄຂສະຖານະການ.

14. ດໍາເນີນການກວດສອບ ISMS ພາຍໃນ

ຈຸດປະສົງຂອງການກວດສອບພາຍໃນແມ່ນເພື່ອກໍານົດຄວາມບໍ່ສອດຄ່ອງລະຫວ່າງຂະບວນການຕົວຈິງໃນບໍລິສັດແລະນະໂຍບາຍຄວາມປອດໄພຂໍ້ມູນທີ່ໄດ້ຮັບການອະນຸມັດ. ສໍາລັບສ່ວນໃຫຍ່, ມັນເປັນການກວດສອບເພື່ອເບິ່ງວ່າພະນັກງານຂອງທ່ານປະຕິບັດຕາມກົດລະບຽບດີເທົ່າໃດ. ນີ້ແມ່ນຈຸດສໍາຄັນຫຼາຍ, ເພາະວ່າຖ້າທ່ານບໍ່ຄວບຄຸມການເຮັດວຽກຂອງພະນັກງານ, ອົງການຈັດຕັ້ງອາດຈະໄດ້ຮັບຄວາມເສຍຫາຍ (ໂດຍເຈດຕະນາຫຼືບໍ່ຕັ້ງໃຈ). ​ແຕ່​ເປົ້າ​ໝາຍ​ຢູ່​ທີ່​ນີ້​ບໍ່​ແມ່ນ​ເພື່ອ​ຊອກ​ຫາ​ຜູ້​ກະທຳ​ຜິດ​ແລະ​ວິ​ໄນ​ຕໍ່​ການ​ບໍ່​ປະຕິບັດ​ນະ​ໂຍບາຍ, ​ແຕ່​ເພື່ອ​ແກ້​ໄຂ​ສະພາບ​ການ​ແລະ​ປ້ອງ​ກັນ​ບໍ່​ໃຫ້​ເກີດ​ບັນຫາ​ໃນ​ອະນາຄົດ.

15. ຈັດຕັ້ງການກວດກາບໍລິຫານ

ການຄຸ້ມຄອງບໍ່ຄວນກໍາຫນົດຄ່າໄຟວໍຂອງທ່ານ, ແຕ່ພວກເຂົາຄວນຈະຮູ້ວ່າສິ່ງທີ່ເກີດຂື້ນໃນ ISMS: ຕົວຢ່າງ, ທຸກໆຄົນກໍາລັງຕອບສະຫນອງຄວາມຮັບຜິດຊອບຂອງພວກເຂົາແລະວ່າ ISMS ກໍາລັງບັນລຸຜົນໄດ້ຮັບເປົ້າຫມາຍຂອງມັນ. ອີງຕາມການນີ້, ການຄຸ້ມຄອງຈະຕ້ອງຕັດສິນໃຈທີ່ສໍາຄັນເພື່ອປັບປຸງ ISMS ແລະຂະບວນການທຸລະກິດພາຍໃນ.

16. ແນະນຳລະບົບການແກ້ໄຂ ແລະ ປ້ອງກັນ

ເຊັ່ນດຽວກັນກັບມາດຕະຖານໃດກໍ່ຕາມ, ISO 27001 ຮຽກຮ້ອງໃຫ້ມີ "ການປັບປຸງຢ່າງຕໍ່ເນື່ອງ": ການແກ້ໄຂລະບົບແລະການປ້ອງກັນຄວາມບໍ່ສອດຄ່ອງໃນລະບົບການຄຸ້ມຄອງຄວາມປອດໄພຂອງຂໍ້ມູນ. ຜ່ານ​ການ​ແກ້​ໄຂ​ແລະ​ການ​ປ້ອງ​ກັນ, ຄວາມ​ບໍ່​ສອດຄ່ອງ​ສາມາດ​ແກ້​ໄຂ ​ແລະ ສະກັດ​ກັ້ນ​ບໍ່​ໃຫ້​ເກີດ​ຂຶ້ນ​ອີກ​ໃນ​ອະນາຄົດ.

ສະຫຼຸບແລ້ວ, ຂ້າພະເຈົ້າຢາກເວົ້າວ່າໃນຄວາມເປັນຈິງ, ການໄດ້ຮັບການຢັ້ງຢືນແມ່ນມີຄວາມຫຍຸ້ງຍາກຫຼາຍກ່ວາການອະທິບາຍໃນແຫຼ່ງຕ່າງໆ. ນີ້ແມ່ນຢືນຢັນໂດຍຄວາມຈິງທີ່ວ່າໃນລັດເຊຍໃນມື້ນີ້ມີພຽງແຕ່ 78 ບໍລິສັດ ໄດ້ຮັບການຢັ້ງຢືນສໍາລັບການປະຕິບັດຕາມ. ພ້ອມກັນນັ້ນ, ນີ້ແມ່ນໜຶ່ງໃນບັນດາມາດຕະຖານທີ່ພົ້ນເດັ່ນຢູ່ຕ່າງປະເທດ, ຕອບສະໜອງຄວາມຮຽກຮ້ອງຕ້ອງການຂອງທຸລະກິດດ້ານຄວາມປອດໄພຂໍ້ມູນຂ່າວສານທີ່ນັບມື້ນັບເພີ່ມຂຶ້ນ. ຄວາມຕ້ອງການສໍາລັບການປະຕິບັດນີ້ແມ່ນເນື່ອງມາຈາກບໍ່ພຽງແຕ່ການຂະຫຍາຍຕົວແລະຄວາມສັບສົນຂອງປະເພດຂອງການຂົ່ມຂູ່, ແຕ່ຍັງຄວາມຕ້ອງການຂອງນິຕິກໍາ, ເຊັ່ນດຽວກັນກັບລູກຄ້າທີ່ຕ້ອງການຮັກສາຄວາມລັບຄົບຖ້ວນສົມບູນຂອງຂໍ້ມູນຂອງເຂົາເຈົ້າ.

ເຖິງວ່າຈະມີຄວາມຈິງທີ່ວ່າການຢັ້ງຢືນ ISMS ບໍ່ແມ່ນວຽກທີ່ງ່າຍ, ຄວາມເປັນຈິງຂອງການຕອບສະຫນອງຂໍ້ກໍານົດຂອງມາດຕະຖານສາກົນ ISO / IEC 27001 ສາມາດສະຫນອງຜົນປະໂຫຍດດ້ານການແຂ່ງຂັນທີ່ຮ້າຍແຮງໃນຕະຫຼາດໂລກ. ພວກເຮົາຫວັງວ່າບົດຄວາມຂອງພວກເຮົາໄດ້ສະຫນອງຄວາມເຂົ້າໃຈເບື້ອງຕົ້ນກ່ຽວກັບຂັ້ນຕອນທີ່ສໍາຄັນໃນການກະກຽມບໍລິສັດສໍາລັບການຢັ້ງຢືນ.

ແຫຼ່ງຂໍ້ມູນ: www.habr.com