Hur funkar Information Security Management System?

Vad är ISMS?

Ett ISMS är ett ramverk som tillhandahåller en övergripande plan för hantering av informationstillgångar. Den beskriver en organisations policy och praxis för informationshantering och inkluderar en specifikation för styrning och kontroll av informationstillgångar. En organisation måste ta hänsyn till de typer av tillgångar den förvaltar, värdet på dessa tillgångar och riskerna med dessa tillgångar.

ISMS är ett ramverk utformat för att tillhandahålla ett riskbaserat tillvägagångssätt för att hantera tillgångar, vilket ger ett flexibelt ramverk som kan skräddarsys för att passa en organisations behov och resurser. Enkelt uttryckt är ett ISMS ett tillvägagångssätt för att skydda informationstillgångar som är baserat på en bedömning av risker och en specifikation för hur en organisation ska reagera på dessa risker.

Hur fungerar ISMS?

ISMS har fyra kärnkomponenter: kapitalförvaltning, informationsriskhantering, tillgångsstyrning och informationsriskrespons. Låt oss ta en närmare titt på var och en.

• Asset management – Detta är processen för att identifiera de tillgångar som en organisation förvaltar. Dessa kan vara hårdvara, mjukvara, människor eller informationstillgångar av något slag.
• Informationsriskhantering – Detta är processen för att bedöma de risker som en organisation står inför med tillgångar. Detta inkluderar att identifiera tillgångar, bestämma deras värde för organisationen och bestämma sannolikheten för hot som påverkar dessa tillgångar.
• Asset governance – Detta är hanteringen av relationerna mellan tillgångar och organisationen. Detta inkluderar identifiering av ägare och bidragsgivare till tillgångar, såväl som styrningen av förhållandet mellan tillgångar och deras ägare.
• Informationsriskrespons – Detta är specifikationen av åtgärder som organisationer kommer att vidta när de identifierar en risk. Dessa åtgärder bör dokumenteras i en informationssäkerhetspolicy.

Fördelar med ISMS

• Flexibel: ISMS är ett flexibelt tillvägagångssätt eftersom det är baserat på bedömning av risker. Detta möjliggör ett skräddarsytt tillvägagångssätt som kan anpassas för att passa en organisations behov.
• Konsekvent: ISMS är konsekvent eftersom det bygger på en bedömning av riskerna. Detta är förenligt med principerna för riskhantering och ger grunden för ett konsekvent tillvägagångssätt för att hantera informationstillgångar.
• Konsekvent policy: ISMS-policy ger en grund för konsekventa metoder för att hantera informationstillgångar. Detta möjliggör konsekvens i hur policyer och procedurer tillämpas i hela organisationen.
• Effektiv: Genom att bedöma risker är ISMS ett effektivt sätt att hantera information. Genom att bestämma vilka tillgångar som behöver skydd och genom att göra det effektivt kan en organisation maximera sin effektivitet.
• Tydlig: ISMS är ett tydligt tillvägagångssätt eftersom det bygger på en bedömning av riskerna. Detta ger en grund för tydlig policy och konsekvent praxis.

Nackdelar med ISMS

• Riskorienterad: En organisations ISMS måste vara förankrat i en bedömning av risker. Därför är det ett riskorienterat tillvägagångssätt. Även om detta är bra, kan det också leda till ett riskfyllt tillvägagångssätt.
• Behovsvalidering: Genom att bedöma risker är ISMS en process som kräver validering. Därför är det ett valideringsorienterat tillvägagångssätt och organisationer måste validera ISMS.
• Implementeringsinsatser: Implementeringsinsatserna för ett ISMS är betydande. Därför är det en process som kräver betydande ansträngningar.
• Specialiserad personal: Som ett tillvägagångssätt är ISMS en specialiserad process som kräver specialistpersonal för att implementera.
• Revisionsinriktad: ISMS bygger på riskbedömning och en process för revisionspolicyer för att validera ISMS. Därför är det ett revisionsinriktat tillvägagångssätt.
• Svarsorienterad: En organisations ISMS måste innehålla en specifikation av åtgärder som ska vidtas när risker hittas och verifieras. Därför är det ett svarsorienterat tillvägagångssätt.

Hur implementerar man ett ISMS?

När du implementerar ett ISMS måste du ta en riskbedömningsmetod för att hantera tillgångar. Detta beror på att en riskbedömningsmodell möjliggör ett flexibelt tillvägagångssätt för att hantera tillgångar som kan skräddarsys för att passa en organisations behov. För att ta en riskbedömningsmetod för att hantera tillgångar, följ dessa steg:

• Identifiera tillgångar: Detta steg innebär att identifiera de tillgångar som en organisation hanterar. Dessa tillgångar kan inkludera hårdvara, mjukvara, människor eller informationstillgångar av något slag.
• Värdetillgångar: Detta steg innebär att bestämma värdet på tillgångar. Detta görs genom en bedömning som identifierar de risker som en organisation står inför om dessa tillgångar försvinner eller blir stulna.
• Identifiera risker: Detta steg innebär att identifiera risker som en organisation står inför med tillgångar. Genom detta kategoriseras och prioriteras risker.
• Grafisk riskbedömning: Det här steget innefattar att fylla i en graf, eller diagram, för att visuellt representera bedömningen av risker. Det här diagrammet ska fyllas i för varje tillgång som en organisation hanterar.
• Implementera policyer: Detta steg innebär att dokumentera policyer som kommer att användas för att validera riskbedömningen för varje risk. Dessa policyer bör innehålla valideringskriterier och en beskrivning av hur de kommer att användas för att validera bedömningen av risker.
• Revisionspolicyer: Detta steg innefattar revisionspolicyer för att validera deras genomförande. Detta inkluderar att verifiera att policyer implementeras enligt specifikation och valideras genom en riskbedömning.
• Svara på hot: Det här steget innebär att reagera på hot som hittas och verifieras. Detta bör dokumenteras genom policyer som inkluderar åtgärder som ska vidtas när risker verifieras.
• Ersättningsstrategi: Detta steg innebär att bestämma hur tillgångar ska ersättas när de försvinner eller blir stulna. Detta bör ske genom policyer som inkluderar en ersättningsstrategi för tillgångar.
• Utbildningsstrategi: Detta steg innebär att bestämma hur man ska utbilda anställda i hur de ska använda sina nya roller. Detta bör ske genom policyer som inkluderar utbildningsstrategier.
• Incidentstrategi: Detta steg innebär att bestämma hur incidenter som hittas och verifieras ska hanteras. Detta bör ske genom policyer som inkluderar incidentstrategier.