Tổng quan

Tổng quan về tiêu chuẩn ISO/IEC 27002

ISO/IEC 27002 là một tiêu chuẩn quốc tế thuộc bộ tiêu chuẩn ISO/IEC 27000 về lĩnh vực ATTT. Tiêu chuẩn này có nguồn gốc xuất phát từ một tài liệu có tên “PD 0003 A Code of Practice for Information Security Management” được Viện Tiêu chuẩn Anh Quốc (British Standards Institute - BSI) xuất bản. Đến năm 1995, Viện Tiêu chuẩn Anh Quốc đã thông qua tài liệu này và ban hành thành tiêu chuẩn BS 7799-1 “IT - Security techniques - Code of practice for information security management”. Tiêu chuẩn này được phát triển thành Tiêu chuẩn Quốc tế mã hiệu ISO/IEC 17799:2000 và phát triển vào tháng 6/2005 thành tiêu chuẩn ISO/IEC 17799:2005. Đến tháng 11/2005, tiêu chuẩn này được sửa đổi thành ISO/IEC 27002: 2005 “Công nghệ thông tin (CNTT) - Các kỹ thuật an ninh - Quy tắc thực hành quản lý ATTT” (Information technology - Security techniques - Code of practice for infomation security management).

Nội dung ISO/IEC 17799:2005 được phát triển thành tiêu chuẩn ISO 27002:2005 bao gồm 134 biện pháp cho an ninh thông tin và được nhóm thành 39 phân loại, thuộc 11 điều khoản như sau:

- Chính sách an ninh thông tin (Information security policy): chỉ thị và hướng dẫn về an ninh thông tin;

- Tổ chức an ninh thông tin (Organization of information security): tổ chức biện pháp an ninh và qui trình quản lý;

- Quản lý tài sản (Asset management): trách nhiệm và phân loại giá trị thông tin;

- An ninh nguồn nhân lực (Human resource security) : bảo đảm an toàn thông tin;

- An ninh vật lý và môi trường (Physical and environmental security);

- Quản lý vận hành và trao đổi thông tin (Communications and operations management);

- Kiểm soát truy cập (Access control);

- Tiếp nhận, phát triển và duy trì các hệ thống thông tin (Information systems acquisition, development and maintenance);

- Quản lý sự cố mất an ninh thông tin (Information security incident management);

- Quản lý duy trì khả năng tồn tại của doanh nghiệp (Business continuity management);

- Tuân thủ các quy định (Compliance).

Đến tháng 9.2013, tiêu chuẩn ISO/IEC 27002 được cập nhật lên phiên bản mới ISO/IEC 27002:2013. Phiên bản cập nhật năm 2013 này có nhiều thay đổi so với phiên bản năm 2005 để cập nhật các yêu cầu về ATTT đáp ứng với sự phát triển và bùng nổ của ngành CNTT sau gần một thập kỷ. Tiêu chuẩn ISO/IEC 27002:2013 giữ lại một số phần nội dung chính về đề mục và biện pháp kiểm soát theo phiên bản ISO/IEC 27002:2005, ngoài ra cũng thay đổi bổ sung các biện pháp kiểm soát mới và cập nhật lại các biện pháp kiểm soát cho phù hợp. Nội dung tiêu chuẩn ISO/IEC 27002:2013 bao gồm 114 biện pháp kiểm soát nhóm lại trong 35 phân loại, thuộc 14 điều khoản (nhóm mục tiêu) như sau: Chính sách ATTT; Tổ chức đảm bảo ATTT; Đảm bảo ATTT từ nguồn lực; Quản lý tài sản; Quản lý truy cập; Mật mã hóa; Đảm bảo an toàn vật lý và môi trường; An toàn vận hành; An toàn truyền thông; Tiếp nhận, phát triển và duy trì các hệ thống thông tin; Quan hệ với nhà cung cấp; Quản lý sự cố ATTT; Các khía cạnh ATTT trong quản lý sự liên tục của hoạt động nghiệp vụ; Sự tuân thủ.

Tiêu chuẩn quốc tế ISO 27001, cung cấp mô hình chuẩn để thiết lập, triển khai, vận hành, theo dõi, đánh giá, duy trì, cải tiến hệ thống quản lý an ninh thông tin. Còn tiêu chuẩn ISO 27002 là một hệ thống các biện pháp, các khuyến cáo để đảm bảo cho an toàn thông tin, đảm bảo cho các yêu cầu đặt ra trong ISO 27001 được thực hiện.

Tiêu chuẩn ISO/IEC 27002 được ban hành như một bản hướng dẫn chi tiết thực hiện các biện pháp kiểm soát cho quy trình quản lý hệ thống ATTT đưa ra trong tiêu chuẩn ISO/IEC 27002 từ việc khởi đầu, thiết lập, quản lý và duy trì ATTT trong tổ chức. Phiên bản ISO/IEC 27001:2013 và ISO/IEC 27002:2013 ban hành để cập nhật các nội dung để phù hợp với tình hình ATTT hiện nay trên thế giới. 

Lợi ích khi áp dụng ISO 27002:

Xác định rủi ro và thiết lập kiểm soát trong doanh nghiệp để quản lý rủi ro và loại bỏ rủi ro.

 Linh động trong việc thực hiện kiểm soát đối với tất cả các khu vực được chọn trong doanh nghiệp của bạn.

Có được niềm tin của bên hữu quan và khách hàng về việc dữ liệu của họ được bảo mật

 Chứng minh sự tuân thủ và có được sự ưu ái của nhà cung cấp

Đáp ứng nhiều hơn kỳ vọng đấu thầu bằng việc chứng minh việc tuân thủ