De wereld van vandaag is nu de wereld van informatie. Het gemeenschappelijke punt van bedrijven, organisaties, staten, mensen en de samenleving is dat ze in het informatietijdperk leven. In het proces van productie en consumptie van een goed of dienst is informatie het meest onmisbare element van concurrentie en succes geworden. Als zodanig is het onvermijdelijk geworden dat informatie veilig en betrouwbaar is. Ongeacht de aard van het werk of de vorm van het proces, informatiebeveiliging moet effectief, continu en succesvol worden geborgd en beheerst bij het beheersen van alle processen, ook als de technologie niet is aangesloten. Effectief beheer van processen vereist ook effectief beheer van informatiebeveiligingsprocessen.
Als een bedrijf geen informatiebeveiligingsstrategieën en effectieve methoden heeft om deze te beheren, is het onvermijdelijk dat deze organisaties ernstige problemen en financiële verliezen ervaren, niet alleen op het gebied van beveiliging, maar ook op het gebied van het beheer van operationele en alle andere bedrijfsprocessen.
Alle soorten informatie die in het zakenleven wordt gebruikt en voor zakelijke doeleinden wordt gedeeld, is waardevol en moet worden beschermd. Waardevolle informatie van allerlei aard wordt tegenwoordig bewaard in computeromgevingen.
Informatiebeveiliging is van groot belang voor het waarborgen van de continuïteit van elke organisatie en is gericht op het waarborgen van de bescherming van de bedrijfskritische en vertrouwelijke informatie en andere informatiemiddelen in verschillende omgevingen, met name elektronische.
Informatiebeveiligingsproblemen en -risico's bestaan niet alleen voor grote bedrijven, maar ook voor overheidsorganisaties, non-profitorganisaties, scholen en soortgelijke organisaties, zelfs op verschillende niveaus. Deze realiteit wordt elke dag in ons land en over de hele wereld in steeds grotere dimensies ervaren.
Kortom, het onderwerp informatiebeveiligingsbeheer wint tegenwoordig aan groot belang en wordt een van de prioritaire kwesties in de informatica- en zakenwereld, waarbij de steeds veranderende en steeds belangrijker wordende risico's worden afgedekt, parallel met internationale normen, relevante nationale of internationale wettelijke voorschriften, commerciële verplichtingen, meetmethoden, ontwikkelende technologieën en veranderende bedrijfsprocessen.
Door vele binnen- en buitenlandse organisaties worden diverse onderzoeken naar informatiebeveiliging uitgevoerd. Hiervan zijn de resultaten van een studie uitgevoerd in 2005, die alleen ons land bestrijkt, behoorlijk opvallend. Volgens de resultaten van dit onderzoek naar internetbeveiliging, waarbij meer dan duizend internetgebruikers en bijna duizend bedrijven zijn betrokken, is geconstateerd dat 65 procent van de internettoegang geen firewall gebruikt. 43 procent van de webservers loopt het risico dat hun informatie gemakkelijk wordt gestolen, dat hun homepage wordt gewijzigd of dat ze naar een ander adres worden verplaatst. Slechts 30 procent van de bedrijven en internetgebruikers is beschermd tegen spyware. 22 procent van de DNS-servers heeft beveiligingsproblemen en de e-mails die daarop staan kunnen gemakkelijk worden onderschept of de bankwachtwoorden die werknemers via internet gebruiken, kunnen worden gestolen. Kortom, bijna de helft van de deelnemers aan het onderzoek loopt risico op beveiligingsbedreigingen die afkomstig zijn van internet.
ISO 27001 Informatiebeveiligingsbeheersysteem
Als een organisatie, om welke reden dan ook, de veiligheid van de informatie waarover ze beschikt niet kan garanderen, kunnen haar klanten daarvoor en daarna het slachtoffer worden, kunnen de activiteiten van de organisatie vertragen of zelfs stoppen, zullen de middelen onnodig worden verbruikt, kan het bedrijf zijn reputatie verliezen en aansprakelijk worden gesteld tegenover derden. ISO/IEC 27001 Information Security Management System-standaard is ontwikkeld door de International Standards Organization om al deze negativiteiten te voorkomen. Deze norm is opgesteld om organisaties te helpen hun waardevolle informatiemiddelen te beschermen en te beheren. Deze norm, opgesteld door de Joint Technical Committee die is opgericht door de International Standards Organization samen met de International Electrotechnical Commission, is vandaag de enige internationale norm die de noodzakelijke normen definieert die zijn ontworpen om informatiebeveiliging te waarborgen en om adequate en proportionele beveiligingscontroles vast te stellen.
Bedrijven die het ISO 27001-informatiebeveiligingsbeheersysteem in hun bedrijf opzetten en beheren, bepalen hun informatieverwerkingsinfrastructuur, analyseren mogelijke aanvallen en mogelijke risico's voor informatieactiva en beslissen wat ze moeten doen in geval van deze gevaren.
De ISO 27001-norm biedt bedrijven geweldige mogelijkheden om te bepalen wat de risico's zijn voor de bescherming van informatie en om de maatregelen te identificeren die moeten worden genomen om deze risico's te elimineren of te minimaliseren.
Belang van informatiebeveiligingsrisicometing
Er is een grote verscheidenheid aan methoden voor het meten en beoordelen van informatiebeveiligingsrisico's, en een grote verscheidenheid aan software die deze methoden gebruikt. Wel moet vooraf de waarde van de relevante informatiemiddelen worden bepaald die gemeten en geëvalueerd moeten worden. Vervolgens moet worden geanalyseerd met welke waarschijnlijkheid, welke beveiligingskwetsbaarheden of -zwakheden, welke bedreigingen een slecht effect zullen hebben op deze informatieactiva. Op deze manier wordt, als het risico werkelijkheid wordt, de mogelijke schade aan de informatiemiddelen berekend. Nadat alle risico's op deze manier zijn berekend, wordt bepaald welke risico's prioriteit hebben voor de organisatie, in hoeverre deze risico's moeten worden verminderd, welke oplossingen worden toegepast om de risico's tot het gewenste niveau terug te brengen, welke maatregelen worden genomen en welke audits worden uitgevoerd, en worden de kosten van het implementeren van deze oplossingen geanalyseerd. Tijdens deze onderzoeken wordt ook gekeken hoe effectief en effectief de te nemen maatregelen en de toe te passen oplossingen zijn.
informatiemiddelen, Zoals met alle bedrijfsmiddelen, is het een zeer waardevolle hulpbron voor bedrijven en moet het goed worden beschermd. Het meest nauwkeurige beheersysteem om dit te bieden Het is ISO 27001 Informatiebeveiligingsbeheersysteem. Met de implementatie van de ISO 27001-norm in het bedrijf hebben de nodige risicometingen en evaluatiestudies en de bescherming van informatiemiddelen een systeem gekregen. Informatiemiddelen met ISO 27001 Information Security Management System, mogelijke commerciële verliezen te minimaliseren, Het wordt beschermd tegen bedreigingen en risico's om commerciële investeringen en kansen zo goed mogelijk te laten renderen en commerciële continuïteit te waarborgen.
Wat zijn ISO 27000-normen
De ISO 27001-norm is niet de enige. De ISO 27000-normen bestaan eigenlijk uit meer dan één norm. Deze normen kunnen worden geteld als:
- TS ISO/IEC 27001 Informatietechnologie - Beveiligingstechnieken - Informatiebeveiligingsbeheersystemen - Vereisten (Deze norm stelt de voorwaarden voor het opzetten, implementeren en verbeteren van het informatiebeveiligingsbeheersysteem en is de basisstandaard van het systeem)
- TS ISO / IEC 27002 Informatietechnologie - Beveiligingstechnieken - Implementatieprincipes voor informatiebeveiligingscontroles (deze norm is een gids voor bedrijfsinformatiebeveiligingsnormen en informatiebeveiligingsbeheerpraktijken, waaronder de selectie, implementatie en het beheer van controles, rekening houdend met de informatiebeveiligingsrisico-omgeving van de organisatie)
- TS ISO/IEC 27003 Informatietechnologie - Beveiligingstechnieken - Informatiebeveiligingsbeheersysteem Toepassingsgids
- TS ISO/IEC 27004 Informatietechnologie - Beveiligingstechnieken - Informatiebeveiligingsbeheer - Metingen
- TS ISO/IEC 27005 Technologie van belang - Beveiligingstechnieken - Informatiebeveiliging Risicobeheer
- TS ISO/IEC 27006 Informatietechnologie - Beveiligingstechnieken - Vereisten voor organisaties die inspecties en certificeringen van beheersystemen voor informatiebeveiliging uitvoeren
Voor welke organisaties is de ISO 27001-norm?
Om de ISO 27001-standaard vast te stellen, worden bepaalde functies niet gezocht in organisaties. Elke organisatie die actief is in de private of publieke sector, ongeacht de sector waarin ze actief zijn of hun grootte, kan het ISO 27001-beheersysteem voor informatiebeveiliging in hun bedrijf opzetten en kan het ISO 27001-certificaat aanvragen als ze aan de vereisten van de norm voldoen.
Er zijn geen beperkingen op de toepassing van de ISO 27001-norm. Het belangrijkste is dat de organisatie een informatie-asset heeft dat moet worden beschermd. Als we echter naar de toepassing kijken, zien we dat dit systeem vooral wordt gebruikt door banken en financiële instellingen, gezondheidsinstellingen, farmaceutische bedrijven, bedrijven die actief zijn in de auto- en chemische industrie, officiële instellingen en organisaties die voornamelijk informatietechnologieën gebruiken. In deze bedrijfstakken is de bescherming van informatie veel belangrijker.
Waarom informatiebeveiliging
Er zijn drie factoren waarmee rekening moet worden gehouden bij informatiebeveiliging: ervoor zorgen dat informatie vertrouwelijk wordt gehouden, de integriteit van informatie beschermen en ervoor zorgen dat informatie toegankelijk is.
Kortom, informatie moet alleen toegankelijk zijn voor degenen die toegangsrechten hebben gekregen. Personen die gemachtigd zijn om toegang te krijgen tot informatie, moeten toegang tot deze informatie kunnen krijgen wanneer zij deze nodig hebben. De integriteit en nauwkeurigheid van de geraadpleegde informatie moet worden gegarandeerd.
Dankzij het ISO 27001 Information Security Management System wordt de vertrouwelijkheid van informatie-activa beschermd en wordt voorkomen dat informatie wordt gecorrumpeerd of gewijzigd door onbevoegde personen. Toegang tot nauwkeurige en betrouwbare informatie wordt te allen tijde en alleen verleend door geautoriseerde personen. Corruptie, verlies of kwaadwillig gebruik van informatiemiddelen wordt door verschillende controlesystemen voorkomen of de risico's in deze richting worden geminimaliseerd. De bedrijfscontinuïteit van het bedrijf wordt niet onderbroken door de schade aan de informatie. Tegelijkertijd wordt bij alle medewerkers een bewustzijn van informatiebeveiliging gecreëerd.
Wat zijn de basisdoelstellingen van de ISO 27001-norm
Parallel aan de tot nu toe gegeven toelichtingen kunnen de belangrijkste doelstellingen van de ISO 27001-norm als volgt worden uitgelegd:
- Om mogelijke kwetsbaarheden in de informatiebeveiliging van het bedrijf op te sporen
- Systematisch auditen van de risico's die informatieactiva bedreigen
- Om de controles te bepalen om de veiligheid van informatieactiva die risico lopen te waarborgen
- Ervoor zorgen dat de nodige controles worden uitgevoerd
- Mogelijke risico's op een aanvaardbaar niveau houden
- Zorgen voor continuïteit in de door het bedrijf uit te voeren informatiebeveiligingscontroles
- Beheerprocessen bepalen en implementeren om dit alles te realiseren
De ISO 27001-norm heeft betrekking op de organisatiestructuur, het beleid, de activiteiten, verantwoordelijkheden, toepassingsinstructies, bedrijfsprocessen en middelen van het bedrijf dat dit systeem heeft opgezet.
Tegenwoordig wordt informatie met de dag meer en meer krachtig. Naarmate informatietechnologieën zich ontwikkelen, nemen ook de beveiligingsproblemen toe. Het is een feit: de samenleving is een informatiemaatschappij geworden, maar de manier om je tegen risico's te beschermen is niet door meer geld uit te geven aan informatie en meer beveiligingstechnologieën te gebruiken. Organisaties en mensen moeten bewust zijn en de juiste beveiligingsoplossingen en -strategieën moeten op het juiste moment en op de juiste plaats worden gebruikt.
Om te kunnen spreken van een effectief en succesvol informatiebeveiligingsmanagement is het nodig om via diverse trainingen en organisaties het bewustzijn van de medewerkers te vergroten, evenals het eigenaarschap en de ondersteuning van het topmanagement in de bedrijven.
Om het verwachte voordeel uit informatiebeveiligingsonderzoeken te halen, is het noodzakelijk om de prioritaire risico's voor het bedrijf te bepalen, geschikte oplossingen te vinden om deze risico's te verminderen, deze oplossingen correct te implementeren, regelmatig de applicaties te auditen en een continue ontwikkeling te verzekeren door de nodige verbeteringsstudies te maken. De ISO 27001 Information Security Management System-norm is de meest nauwkeurige tool om aan deze verwachting te voldoen. De meest kritische succesfactor in informatiebeveiliging is echter bereidheid, bewustheid en kennis. Het punt dat bereikt moet worden in informatiebeveiligingsonderzoeken zou moeten zijn dat informatiebeveiliging na verloop van tijd een bedrijfscultuur wordt. Omdat het onbewuste, kwaadwillige of onzorgvuldige van de werknemers van het bedrijf veel riskanter en schadelijker is dan de aanvallen die buiten het bedrijf worden uitgevoerd.
27001 Information Security Management System is een systeem dat levend gehouden moet worden binnen het bedrijf, zich moet aanpassen aan veranderingen en open moet staan voor continue ontwikkeling.
onze organisatie TÜRCERT Technical Control and Certification Inc., ISO 27001 Information Security Management System-certificeringsstudies, gebaseerd op de autorisatie ontvangen van nationale en internationale accreditatie-instellingen.