תקן ISO/IEC 27001

מה זה ISO/IEC 27001?

ISO/IEC 27001 הוא תקן בינלאומי לניהול אבטחת מידע, שפותח על ידי הארגון הבינלאומי לתקינה והוועדה הבינלאומית לאלקטרוטכנית. התקן מגדיר דרישות להקמה, יישום, תחזוקה ושיפור מתמיד של מערכת ניהול אבטחת מידע (ISMS – Information Security Management System).

התקן מבוסס על גישת ניהול סיכונים, וארגונים לזהות נכסים, להעריך איומים ופגיעויות, ולהטמיע בקרות מציות לרמת הסיכון. ISO/IEC 27001 כולל גם נספח בקרות (נספח א') הספק רשימת בקרות אבטחה, אך הדגש הוא על תהליך ניהולי שיטתי ולא רק על יישום טכנולוגי.

למה משתמשים בISO/IEC 27001?

ISO/IEC 27001 משמש ארגונים לבניית מסגרת ניהול אבטחת מידע מקיפה, להבטחת עמידה בדרישות רגולטוריות, ולחיזוק אמון לקוחות ושותפים. הוא יכול לממש את רמת האבטחה לאורך זמן.

בפועל, שימוש בתקן: הקמה וניהול של ISMS מבוסס סיכונים, יישום בקרות אבטחה בהתאם להערכת סיכונים, שיפור מתמיד באמצעות תהליכי ביקורת ובקרה, השגת הסמכה (אישור) המוכרת בינלאומית.

בנוסף, התקן משתלב עם מסגרות כמו NIST CSF 2.0, COBIT ו-SABSA, ומהווה בסיס לתהליכי ממשל, סיכונים וציות (GRC).