发动信息安全管理体系项目

admin

科技创新是当下的主旋律，建立信息安全管理体系，对于很多成长中的科技企业来讲，是一条必走的路。从外部来讲，市场、客户、监管机关都会有网络信息安全方面的要求，从内部来讲，核心部门和关键人员都有保护知识产权、商业秘密和竞争力的要求。

准备工作

如何发动信息安全管理体系项目呢？通常来讲，是急不来的，实施的前期预备应至少包括以下四个阶段：

  • 提升认知——开发并取得包括董事会、高级管理层和关键职能经理之间的理解，关于为什么需要信息安全管理体系，以及哪些需要参与进来。
  • 加强学习——建立并深度开发信息安全管理体系工作项目组和需要直接参加项目的人员的技能和知识。
  • 确定范围——制定哪些在信息安全管理体系范围内，哪些在信息安全管理体系范围之外。
  • 制定策略——为组织开发并发布信息安全政策。这项政策规定了在业务目标范围内的信息安全管理体系的方向。

意识认知

注意：信息安全管理体系的部署是一个商业项目，而不是技术或IT项目。因此，除非获得会对业务的成功有重要影响力的董事会、高层管理及高阶业务和职能经理们的积极支持，否则项目会失败。

ISO 27001标准明确规定，管理层“应当提供其承诺的建立，实施，运行，监督，审查，维护和改进信息安全管理体系的证据。”在此，标准中明确要求了相关的控制和持续改进，任何制定和实施信息安全管理体系的组织必需得到高阶管理层的充分参与。该标准支持的论点是，如果没有高层管理者的支持，组织根本无法实现一个有用的信息安全管理体系，更不用说取得被认可的认证证书。

认知工具箱

最常用的开发意识认知的方法包括：

  • 采购和分发信息安全管理体系标准
  • 邀请内部或外部专家进行关于标准和实施要求的演讲和研讨会
  • 使用电子屏幕播放信息安全知识动画视频
  • 使用在线电子学习或其他内部沟通和培训工具
  • 大规模人员的集中讲解和培训学习班

重要的是，所有的意识建设活动需集中体现该组织从信息安全管理体系实施中可获得的具体利益，以及该组织面临具体的威胁及风险，因为这样做有助于建立参与这一进程的所有工作人员的理解和承诺。对此，昆明亭长朗然科技有限公司信息安全意识专员董志军表示：商业组织对此的认知越来越强烈，在人力资源越来越高企，时间就是金钱的当下，信息安全意识活动应该更为精准和高效。使用工作环境中根本不能出现的安全意识场景，让员工学习对工作安全威胁没用的教学片，简直就是在白白浪费金钱。

欢迎信息安全管理人员联系我们，预览我们的作品，然后选择适用的，即不浪费采购费用，也不浪费职员们的学习时间。

昆明亭长朗然科技有限公司