ISO/IEC 27001

Информацията е един от основните бизнес ресурси, който обезпечава добавената стойност на организацията и вследствие на това се нуждае от защита. Слабите места в защитата на информацията могат да доведат до финансови загуби и да нанесе вреда на търговските операции. Затова въпросът за разработването на система за управление на информационната безопасност и внедряването й в организацията се явява концептуален.

Международният стандарт ISO/IEC 27001 "Информационни технологии - Методи на обезпечаване на безопасността - Системи за управление на информационната безопасност - Изисквания" е разработен от Международната организация по стандартизация (ISO) и Международната електротехническа комисия (IEC) въз основа на британския стандарт BS 7799. Този нов стандарт представлява допълнение към стандарта ISO/IES17799 "Информационни технологии - Методи на обезпечаване на безопасността - Практически правила на управлението на информационната безопасност".

Стандартът ISO 27001 определя информационната безопасност като: "запазване на конфиденциалността, целостта и достъпността на информацията; освен това могат да бъдат включени и други свойства, като автентичност, невьзможност за отказ от авторство, достоверност".

Конфиденциалност - обезпечаване на достъп до информацията само за тези, които имат съответните правомощия за това (оторизирани ползватели);

Цялост - обезпечаване на точността и пълнотата на информацията и методите за нейната обработка;

Достъпност - обезпечаване на достъпа до информацията за оторизирани ползватели когато това е необходимо (по заявка).

ISO/IEC 27001 представлява списък с изискванията към системата за управление на информационната безопасност, задължителни за сертификация, а стандартът ISO/IEC 17799:2005 се явява ръководство по внедряването, което може да се използва при проектирането на механизмите за контрол, избрани от организацията за намаляване рисковете на информационната безопасност.

Стандартът ISO 27001 определя процесите, които дават възможност на бизнеса да определя, използва, променя, контролира и поддържа ефективна система на управление на информационната безопасност; определят се изискванията към разработването, внедряването, функционирането, мониторинга, анализа, поддържането и усъвършенстването на документираната система за управление на информационната безопасност в контекста на съществуващите за бизнеса рискове.

Системата за управление на информационната безопасност според стандарта ISO 27001 позволява:

• Повечето информационни активи да станат разбираеми за ръководството на компанията;
• Да се определят основните заплахи за безопасността на съществуващите бизнес процеси;
• Да се оцени риска и да се вземат решения въз основа на бизнес целите на компанията;
• Да се обезпечи ефективно управление на системата в критични ситуации;
• Да се изпълнява политика по безопасност (откриване и отстраняване на слабите места в информационната безопасност);
• Да се определи ясно личната отговорност;
• Да се снижат и оптимизират разходите по поддръжката на системата за безопасност;
• Да се облекчи интегрирането на подсистемата за безопасност в бизнес процесите и със системата за управление на качеството според ISO 9001;
• Да се демонстрира на клиентите, партньорите, собствениците отговорността към информационната безопасност;
• Да се получи международно признание и да се повиши авторитета на компанията, както на вътрешния, така и външните пазари;

Наред с елементите на управлението на компютрите и компютърните мрежи, стандартът отделя голямо внимание на въпросите от политиката на безопасност, работата с персонала (назначаване, обучение, освобождаване), обезпечаването на непрекъснатостта на производствения процес, на юридическите изисквания. Изискванията на стандарта имат общ характер и могат да бъдат използвани от широк кръг организации - малки, средни и големи - от търговския и индустриалния сектор на пазара, финансови и застрахователни фирми, фирми от сферата на комуникациите, комуналните услуги, други услуги, транспорт, органи на властта и много други.

Стандартът ISO 27001 е хармонизиран със стандартите на системите за управление на качеството ISO 9001 и на околната среда ISO 14001 и се основава на техните основни принципи. Нещо повече, задължителните процедури на стандарта ISO 9001 се изискват и от стандарта ISO 27001. Структурата на документацията по изискванията на ISO 27001 е аналогична по структура на изискванията на ISO 9001. Голямата част от документацията по ISO 27001, вече е разработена и се използва в рамките на ISO 9001. По този начин ако организацията има система за управление в съответствие с ISO 9001 или ISO 14001), то е препоръчително изпълнението на изискванията на стандарта ISO 27001 да се обезпечава в рамките на вече съществуващите системи.

По стандарта ISO/IEC 27001 може да се проведе официална сертификация на системата за управление на информационната безопасност.

Сертификация по този стандарт позволява нагледно да се покаже на деловите партнъори, че в компанията защитата на информацията е поставена на високо ниво и е внедрено ефективно управление на информационната безопасност.