بله
برای پیاده‌سازی چارچوب‌های مدیریت اطلاعات باید بر اساس متن استاندارد ایزو 27001 پیش بروید. کتاب کنترلهای ایزو 27001، متن این استاندارد و شیوه‌های پیاده‌سازی آن را تشریح داده است. بریجیت کنیون، با تکیه بر سال‌ها تجربه در حوزه‌ی امنیت اطلاعات، استانداردهای لازم را با زبانی ساده و توضیحاتی کاربردی مطرح کرده است. شیوه‌های طبقه‌بندی اطلاعات، مدیریت هویت، حقوق مالکیت فکری و امنیت شبکه، از مفاهیم مهمی است که در این کتاب ایزو 27001 قرار دارد.
درباره‌ی کتاب کنترلهای ایزو 27001
اجرای ضوابط بین‌المللی مدیریت اطلاعات، نیازمند راهنمایی جامع است. این راهنما در کتاب کنترلهای ایزو 27001 (ISO 27001 Controls: A Guide to Implementing and Auditing, Second edition) با توضیحات کامل مطرح شده است. بریجیت کنیون (Bridget Kenyon)، متخصص برجسته‌ی حوزه‌ی امنیت اطلاعات، تمامی کنترلهای استاندارد ایزو 27001 را به همراه شیوه‌ی پیاده‌سازی آن‌ها با روشی گامبهگام آموزش داده است.
استانداردهای ایزو، بین‌المللی و به‌روز هستند. در نتیجه کتاب کنترلهای ایزو 27001، بر اساس جدیدترین معیارهای این استاندارد نگاشته شده تا با اطمینان از به‌روز بودنِ محتوا، استانداردهای مطرح شده را در سازمان خود به کار بندید. ضوابط اجرایی و استانداردها با هدف طراحی پیاده‌سازی یا نگهداری سیستم مدیریت امنیت اطلاعات مطرح شده‌اند. این ویژگی به شما کمک می‌کند تا در کنار پیاده‌سازی، با شیوه‌های حسابرسی و ارزیابی‌های داخلیِ ایزو 27001 آشنا شوید.
آموزش گامبهگام کنترلهای ایزو 27001 به روایت بریجیت کنیون
استاندارد بین‌المللی امنیت اطلاعات در 2 بخش اصلی طبقه شده است. این دو بخش در قالب الزامات فرایند‌ها و فهرستی از کنترلهای سیستم مدیریت اطلاعات با جزئیات کامل توضیح داده شده است. منظور از الزامات فرایند در کتاب کنترلهای ایزو 27001، نحوه‌ی ایجاد و نگهداریِ سازوکار مدیریت امنیت اطلاعات است. سازمان‌های درخواست‌دهنده‌ی گواهینامه‌ی ایزو 27001، باید تمامی الزامات مطرح شده را رعایت نمایند.
در کنار الزامات که رعایت آن‌ها برای دریافت ایزو 27001 ضروری است، اجباری به انجام کنترلهای مطرح شده در این کتاب ایزو 27001 وجود ندارد. فهرست این کنترل‌ها با هدف ایجاد برنامه‌ی مقابله با ریسک مطرح شده است. با فراگیری این اطلاعات، می‌توانید بر اساس فعالیت، اندازه و سطحِ ریسکِ سازمان خود، کنترلهای مناسب را اعمال نمایید.
حسابرسی ایزو 27001 از تئوری تا عمل
بریجیت کنیون، آموزه‌ها را با هدف آموزشِ تدوین سیاست‌های امنیت اطلاعات و پیاده‌سازی آن‌ها نگاشته شده است. بر اساس این آموزش‌ها، سیاست‌های سازمانی باید ساده و مختصر باشند. برای تدوین راحت‌تر این سیاست‌ها، فرم‌های بررسی سیاست‌های سازمانی در کتاب کنترلهای ایزو 27001 قرار دارد. تکمیل این فرم‌ها، مسیر را برای تشخیص نقطه‌های قوت و ضعف سیاست‌های سازمانیِ موجود همواره می‌سازد تا این سیاست‌ها با الزامات استاندارد ایزو 27001 هماهنگ شود.
حسابرسی، مفهوم مهمی در کتاب کنترلهای ایزو 27001 است. مطالعه‌ی این مفهوم، تعریفی قابل درک از امنیت اطلاعات، دامنه‌ی کلی و اهداف آن پیش روی شما قرار می‌دهد و شما را با نحوه‌ی برخورد با عدم تطبیق‌ها و استثناها آشنا می‌کند. برای تکمیل این مفاهیم، آموزه‌های کاملی درباره‌ی نقش‌ها و مسئولیت‌های امنیت اطلاعات مطرح شده است.
با مطالعه‌ی این راهنمای جامع، نه‌تنها در جریان سرفصل‌های دوره‌ی ایزو 27001 قرار می‌گیرید، بلکه شیوه‌ی پیاده‌سازی گامبهگام و ممیزی هر کدام از کنترلهای استاندارد مدیریت امنیت اطلاعات را فرا می‌گیرد. پس، اگر می‌خواهید سازمان خود را برای اخذ گواهینامه‌ی ایزو 27001 آماده کنید، خرید کتاب کنترلهای ایزو 27001، بهترین سرمایه‌گذاری برای شما است.
با دانلود کتاب کنترلهای ایزو 27001 و مطالعه‌ی سرفصل‌های آن، دیگر نگران پیچیدگی‌های کنترل‌ها، فرم‌ها و شیوه‌های حسابرسی در حوزه‌ی امنیت اطلاعاتِ سازمانی نخواهید بود. انتشارات اشجع، با چاپ این کتاب مرجعی علمی و به‌روز در اختیار متخصصان و مدیران حوزه‌ی امنیت اطلاعات قرار داده تا مسیر پیاده‌سازی استاندارد ایزو 27001 را هموارتر سازد. سید نعمت اله حسینی اصیل و امیر علیپور، ترجمه‌ای مطابق با استاندارد ISO 27001 انجام داده‌اند.
کتاب کنترلهای ایزو 27001 برای شما مناسب است اگر
- مدیر امنیت اطلاعات هستید و می‌خواهید مرجعی جامع برای پیاده‌سازی استاندارد ایزو 27001 در اختیار داشته باشید.
- سازمان شما قصد اخذ گواهینامه‌ی ایزو 27001 را دارد و باید با سرفصل‌های این دوره آشنا شوید.
- در حوزه‌های طراحی، پیاده‌سازی، نگهداری یا ممیزیِ سیستم‌های مدیریت امنیت اطلاعات فعالیت می‌کنید.
در بخشی از کتاب کنترلهای ایزو 27001: سیستم مدیریت امنیت اطلاعات، راهنمای پیاده سازی و حسابرسی می‌خوانیم
کنترل دقیق «اطلاعات قابل شناسایی شخصی» برای رعایت قوانین و مقررات قابل اجرا که ممکن است اعمال شود، ضروری است. بسیاری از کشورها، به‌عنوان‌مثال در اروپا، دارای قوانین توسعه‌یافته خوبی در حفاظت از داده‌ها هستند. این قوانین همچنین ممکن است سازمان را ملزم به ثبت استفاده از «اطلاعات قابل شناسایی شخصی» کند.
حسابرس باید تأیید کند که سازمان می‌داند «اطلاعات قابل شناسایی شخصی» را که اداره می‌کند در کجا قرار دارد، کلیه الزامات قانونی یا نظارتی مرتبط را شناسایی کرده است و سیاست‌ها، رویه‌ها و کنترل‌هایی را برای رعایت آن‌ها اجرا کرده است. حسابرس همچنین باید به نوع داده‌های نگهداری شده نگاه کند. آیا ضروری است؟ آیا اعتبارسنجی شده است؟ آیا منتقل یا به روش دیگری خارج از سازمان منتقل می‌شود؟ چه کسی به این داده‌ها دسترسی دارد و آیا برای عملکرد شغلی آن‌ها ضروری است؟ نمونه‌ای از نقش‌های که به «اطلاعات قابل شناسایی شخصی» رسیدگی می‌کنند، باید مصاحبه شوند تا اطمینان حاصل شود که آن‌ها آموزش‌های اضافی داشته‌اند و از مسئولیت‌های خود و هرگونه کنترل خاص که باید بر «اطلاعات قابل شناسایی شخصی» اعمال شود، به‌وضوح آگاه هستند.
حسابرس باید بررسی کند که سازمان تغییرات در الزامات در این حوزه را نظارت می‌کند. محدودیت‌های جدید و سخت‌گیرانه‌تر می‌توانند با دوره‌های مشخصی برای تطبیق معرفی شوند. آیا آگاهی کافی در سازمان وجود دارد؟ آیا برنامه‌هایی برای معرفی تطبیق در بازه زمانی وجود دارد؟ حسابرسان باید اطمینان حاصل کنند که خودشان نیز کاملاً با این حوزه از قوانین به‌روز هستند.
