Impementarea sistemului de management al securitatii informatiei ISO 27001 presupune realizarea a 4 etape si anume:
1. Etapa de planificare
2. Etapa de executie
3. Etapa de verificare
4. Etapa de actiune
Mai jos va prezentam detaliat ce presupun ultimele doua etape ale implementarii ISO 27001:
Etapa de verificare
Etapa de verificare cuprinde urmatoarele actiuni:
• Implementarea de proceduri si alte tipuri de mijloace de control pentru monitorizare si analiza in vederea identificarii procesarii incorecte a datelor, violarii confidentialitatii precum si pentru evaluarea modalitatii in care sunt derulate activitatile de securitate
• Analize regulate a eficacitatii sistemului de management al securitatii informatiei
• Masurarea eficacitatii mijloacelor de control
• Analiza rezultatelor evaluarii riscurilor, la intervale regulate
• Audituri interne la intervale planificate
• Analize efectuate de managemement pentru a asigura ca sistemul de management al securitatii informatiei este functional si pentru a identifica oportunitatile de imbunatatire
• Actualizarea planurilor de securitate in urma activitatilor de analiza si monitorizare
• Tinerea de inregistrari cu privire la activitati si incidente care pot afecta eficacitatea sistemului de management al securitatii informatiei
Etapa de actiune
In cadrul acestei etape se deruleaza urmatoarele actiuni in implementarea ISO 27001:
• Implementarea in cadrul sistemului de management al securitatii informatice a imbunatatirilor identificate
• Luarea de actiuni corective si preventive; aplicarea concreta a propriei experiente in domeniul securitatii sau a experientei altora
• Comunicarea catre toate partile implicate a activitatilor si imbunatatirilor
• Asigurarea ca imbunatatirile obtinute ajuta la indeplinirea obiectivelor
In plus fata de ISO 27001 (anteriorul BS 7799-2) mai exista si ISO 27002, un standard “auxiliar’ care ofera mai multe detalii cu privire la modalitatea de a implementa mijloace de control de securitate specificate in cadrul ISO 27001.
Alte standarde care pot fi utile sunt ISO 27005, care descrie in detaliu procedurile de evaluare a riscurilor si BS 25999-2 care ofera o descriere detaliata a managementului continuitatii afacerii.