定义信息安全管理体系的范围

信息安全管理计划工作的第一步就是设定工作范围。

划定范围的要求在信息安全管理体系标准的条文中。具体的要求是,该组织将“依据在商业方面的特点、组织、位置、资产和技术,定义ISMS的范围和界限,并包括从范围中排除的所有细节和理由。”通常来讲,要划在范围内部的都是些核心的信息资产。对此,昆明亭长朗然科技有限公司信息安全管理意识培训专员董志军说:当然,也存在为了方便通过认证,而特意将范围划小的情形。不过,这种情况非常之少,对商业企业来讲,搞信息安全管理体系建设,是要投入巨大的人力物力,以换取信息安全水平提升方面的回报。因此,没必要搞些表面工作。

标准的第1章节(范围)中也明确提到这点。它强调,标准中“商业”的广义解释是以该组织的生存为目的的主要活动。

第1章节给出决定ISMS项目范围的四个准则如下:
1.哪个法律或管理机构将为ISMS负责?
2.上述机构将拥有、经营和依赖哪些信息资产?
3.生成、存储和共享信息相关的流程都有哪些?
4.有什么法律和规章的规定要求适用于该信息?

范围界定实践
范围界定实践应当确定什么在ISMS的范围内,什么是范围之外。ISMS于是在内外之间设定了一个边界。ISMS的开发要求内、外部之间有一个联系点,这个联系点将被当做一个潜在的风险点,需要具体和适当的应对处理。

小型组织
在小组织里,所有的东西都应该在ISMS的范围内。这符合标准规定的期望,简单的情形适用简单的方案。ISO 27001特别强调从范围内排除的要求,并特别指出,所有的信息资产,或者和信息资产有关的任何东西,都应在信息安全管理体系的范围内。

大型组织
在较大的组织里,特别是那些有多个部门、多个经营场所和单位的组织里,范围的划定将更为复杂。上述的四个准则将有助于我们做出适当的决定。通常情况下,简 单地列出所有的信息资产和信息流的行为有助于明确确定ISMS的范围。要对在范围内的资产分别进行风险评估,所以尽早地识别出来它们有利于整个项目的进 展。
要注意,如流程一类的信息资产,不能一半在ISMS中,一半不在;它们要么整个全在范围内,要么就全部都不在。

法律和监管框架
对较大组织来讲,法律和监管框架对ISMS的范围有具体的要求。很显然,属于任何一个单一的法规或其他法律要求的范围内的信息和信息管理流程,必需在ISMS的范围内。

附加的话
总之,信息安全管理体系的工作范围应该有一个划定,特别是对于大型机构,不然工作起来没有一个边界,就难以衡量成功与否。关于对此的认识,很多计划实施信息安全管理系统的组织机构,需加强内部人员沟通,以免产生误解。毕竟,对于所有组织机构来讲,各个部门的人员几乎都为认为自己的工作岗位很重要,相关部门的信息资产和流程应该被列进范围之类。实际上并非如此,尽管高管们清楚核心的信息资产所在,要让员工们认识到这点,才能真正让其投入到后期的信息安全控管工作之中。

当然,除了防范推诿扯皮,从强化风险治理及法规遵循的角度来讲,将相关信息资产与商业流程划入信息安全管理体系工作的范围之内,也是需要进行沟通协调的,这种沟通协调工作虽然不多,不过也算是整体信息安全意识沟通工作中的一部分。

针对各种规模的组织机构,包括大、中、小型,昆明亭长朗然科技有限公司都有适用的信息安全意识沟通与宣教资源素材,欢迎有兴趣、有需要的客户及合作伙伴联系我们,洽谈业务合作。

昆明亭长朗然科技有限公司

  • 电话:0871-67122372
  • 手机:18206751343
  • 微信:18206751343
  • 邮箱:info@securemymind.com
  • QQ:1767022898

信息安全管理体系ISMS实施课程

昆明亭长朗然科技有限公司在成立之前设计制作了“九章信安”课程,目的是帮助信息安全从业人员成功实施基于ISO 27001标准的信息安全管理体系。由于它有九个主要章节,所以叫“九章”。我们不敢奢求达到《九章算术》的学术高度和对人类历史的卓越贡献,只求能够教学相长,在帮助信息安全人员的同时,自身也能够温习安全管理方法和提升动画课件的创作水平。

本课程的指导框架基于信息安全管理体系实施指南ISO 27003,由于有24段ISMS课程视频,俗称“信息安全二十四史”,取这个名字很有需要胆量吧?

课程讨论了信息安全基础、差距分析、资产管理、风险管理、安全审计等话题,生动有趣地展示了信息安全经理阿朗在信安超女的帮助下逐渐成长的故事,丰富的案例研究让学员轻松掌握信息安全管理体系相关内容。

同时,它有188分钟之多,即使中间不休息,也要学习半天呢。不过对于想快速了解信息安全管理体系知识的人员,这些时间花的肯定是值得的。

如果您有兴趣浏览这个课程,请联系我们,以获得网络链接。