Čo je ISMS
Systém riadenia bezpečnosti informácií (Information Security Management System - ISMS) je dokumentovaný systém, v ktorom sú chránené definované informačné aktíva, sú riadené riziká bezpečnosti informácií a zavedené opatrenia sú kontrolované.
Benefity ISMS
ISMS proaktívne rieši bezpečnostné riziká
A tak tento systém často využívajú organizácie bez ohľadu na veľkosť či odbor činností. Prakticky je možné ho odporučiť všade tam, kde sú využívané informačné technológie pre podporu procesov, správu dát, komunikáciu, atď... Organizácia je schopná na základe analýzy rizík rozhodovať o opatreniach vynaložených na správu rizík tím, že ich
- akceptuje (náklady na prevenciu sú vyššie, než riziko)
- prenesie na 3. subjekt (napr. poisťovňa, outsourcing atď.)
- riadene investuje a strategicky rozvíja systém bezpečnosti organizácie
Dôvody ISMS
Zákon o kybernetickej bezpečnosti
Bezpečnostné štandardy môžu byť v organizácii implementované konzultačnou firmou alebo vlastnými silami. V oboch prípadoch je dôležité, aby vaši zamestnanci disponovali znalosťami na takej úrovni, ktorá sa rovná zodpovednosti, pridelenej nadriadeným manažérom / inštitúciou. Investície do ISMS sú často zmarené práve tým, že vyškolenie ľudských zdrojov je nedostatočne rozvíjané, resp. podceňované.
Zákon o ISVS
Zákon č. 95/2019 Z.z., o informačných technológiách vo verejnej správe a o zmene a doplnení niektorých zákonov, predstavuje pre orgány verejnej správy širokú a zároveň zložitú oblasť časovo náročných činností v sekcii informačnej bezpečnosti. Byť v súlade s požadovanou legislatívou znamená okrem iného spĺňať požiadavky ISMS – ISO/IEC 27001.
GDPR
General Data Protection Regulation - Všeobecné nariadenie o ochrane osobných údajov sa najčastejšie implementuje na základ frameworku ISMS. Viac v sekcii GDPR.
Implementácia
ISMS môže byť zavedená pre organizačnú zložku spoločnosti, informačný systém alebo jeho časť, prípadne môže zahŕňať celú organizáciu. Zavedenie systému riadenia bezpečnosti informácií (ISMS) je strategickým rozhodnutím vedenia spoločnosti.
Môžu ju využiť všetky organizácie bez ohľadu na veľkosť či odbor činnosti, pre ktoré sú informácie a informačné technológie kľúčovou súčasťou podnikateľských procesov, alebo ktoré spravujú citlivé dáta svojich klientov a majú potrebu efektívne a komplexne zaistiť ich bezpečnosť. Systém chráni bezpečnosť informácií tak, že
- sú určené aktíva, ktoré sa majú chrániť
- sú zvolené a riadené možné riziká bezpečnosti informácií
- sú zavedené opatrenia s požadovanou úrovňou záruk a tie sú kontrolované.
