نسخه جدید استاندارد ISO/IEC 27001 برای مواجه بهتر با ریسک های امنیتی فناوری اطلاعاتی

 استاندارد ISO/IEC 27001، که استانداردی برای سیستم های مدیریت امنیت اطلاعات عمومی است، در حال بازنگری بوده و انتظار می رود نسخه جدید آن در اکتبر ۲۰۱۳ منتشر شود.

در مصاحبه ای، مسئول بخش ارتباطات و راهبردهای ایزو با Edward Humphreys، مشاور گروه کاری مسئول تدوین و نگهداری ISO/IEC 27001، در مورد اینکه چگونه بازنگری این استاندارد بر استفاده کنندگان آن تاثیر دارد، سوالاتی را مطرح کرده است:

مزایای اصلی این نسخه جدید کدامند؟

ما نسخه جدید را به روز کرده، تجربیات کاربرانی را که آنرا اجرا نموده یا در پی اخذ گواهی ISO/IEC 27001:2005 بوده اند را در نظر گرفته ایم. همچنین در فهرست کنترل های امنیتی که در در پیوست A ذکر شده بودند، اطلاحاتی را به منظور به روز نگه داشتن استاندارد و در بر گرفتن ریسک های امروزی مانند دزدی هویت، ریسک های مرتبط با تجهیزات موبایل و دیگر آسیب پذیری های آنلاین، انجام داده ایم. در انتها، استاندارد جدید ISO/IEC 27001 به این دلیل اصلاح شده که با زیرساخت سطح بالای استفاده شده در کلیه استانداردهای سیستم مدیریت منطبق باشد و پیوستگی و انسجام خود را با دیگر سیستم های مدیریت به صورت ساده و راحت حفظ کند.

مزایای اصلاح استاندارد جدید ISO/IEC 27001  به منظور انطباق با زیرساخت های سطح بالای استانداردهای سیستم مدیریت کدامند؟

انطباق ISO/IEC 27001 با ساختار جدید، به سازمان هایی که در انتظار اعمال بیش از یک سیستم مدیریت در یک زمان هستند، کمک می کند. این تشابه ساختاری بین استانداردها، ضمن صرفه جویی در پول و زمان سازمان ها، به آنان این امکان را می دهد که خط مشی ها و فرایندهای مختلط را بپذیرند. برای مثال، ممکن است یک سازمان بخواهد سیستم های امنیت اطلاعات (ISO/IEC 27001) خود را با دیگر سیستم های مدیریت همچون مدیریت پیوسته کسب و کار (ISO/IEC 22301)، مدیرت خدمات IT (ISO/IEC 20000-1) یا مدیریت کیفیت (ISO 9001) ادغام نماید.

گام بعدی در فرایند بازنگری کدام است؟

بازنگری نسخه سال ۲۰۰۵ اکنون درمرحله پیش نویس نهایی(FDIS) است و پس از انجام ویرایش های چاپی، تا اواخر سپتامبر، انتظار می رود در اکتبر سال جاری منتشر شود. در این مرحله، نسخه جدید ISO/IEC 27001 برای خرید در دسترس بوده و نسخه ۲۰۰۵ منسوخ خواهد شد.

این بازنگری برای سازمان هایی که براساس ISO 27001:2005 گواهی اخذ نموده اند، به چه معنا خواهد بود؟

سازمان هایی که براساس نسخه ۲۰۰۵ گواهی اخذ نموده اند، باید سیستم مدیریت امنیت اطلاعات خود را برای مطابقت با الزامات نسخه جدید این استاندارد، ارتقا دهند. هنوز تصمیمی در مورد دوره انتقال به نسخه جدید گرفته نشده ولی به نظر می رسد این زمان، دو سال از زمان انتشار نسخه جدید باشد.

برای انتقال از نسخه قدیمی به نسخه جدید، چقدر باید تلاش کرد؟

به نظر نمی رسد ارتقا براساس نسخه جدید ISO/IEC 27001 مشکل ساز باشد. دوره انتقال، کمک کننده خواهد بود و همزمان به این معناست که تلاش های لازم می توانند بخشی از یک مرحله کار و همراه با فعالیت های بهبود مستمر و ارزیابی های نظارتی برنامه ریزی شده باشند.  

منبع: سایتISO

 مترجم:‌ پریسا فقیهی (ISIRI.org)

ویراستار:‌ کیواندخت پیرمحمدی