ISO 27001 轉版筆記 -5- 主條文 6.2 資安目標及其達成之規劃

主條文 6.2 要求組織必須要設定資安目標,還要訂定待辦事項、量測方法等等細節,來確保資安目標確實有被達成。

在2005版,大部分會提到資安目標的地方都是在資訊安全政策裡面,會提到有一些資安目標或是指標,而在2013版之中,這件事被要求更加地具體化列出,以 2005 的作法,通常會被列出的都是組織長期會希望達成的目標,然而對於短期目標沒有涵蓋到。

在 2013 的話,短期的、一次性的這些資安目標都應該被納入,你必須針對這些資安目標去列出你的待辦事項、所需資源、負責人員、完成時間還有結果評估之方式

最後面這一項超級繞口的「結果之評估方式」,其實就是指你要怎麼來監督量測、檢視、評估你的目標達成的情形。

好比說你有個年度的資安目標是主機 24 小時不中斷,那麼一樣可以有個監督量測的週期,例如你使用 MRTG 來做檢視紀錄,數據量測週期是每分鐘。然後你每個星期都會檢視一次斷線時間,並計算本周斷線時間為 ?? 分鐘,合計 ?? %。

最後一整年下來,你就得到了52份斷線結果評析,你也就知道你是否達到資安目標了。

最後,這個資安目標也不是隨隨便便阿貓阿狗目標都可以列入,他也是有一些基本要求的,在主條文 6.2 裡,要求這個資安目標必需要:與資安政策一致、可量測的、必須要背確實地傳達給各個需要知道的人員、需在適當的時候更新以及必須要去考量適用資安要求、還有對其進行風險評鑑、風險評鑑的處理結果等等…

發佈留言

發佈留言必須填寫的電子郵件地址不會公開。 必填欄位標示為 *

這個網站採用 Akismet 服務減少垃圾留言。進一步瞭解 Akismet 如何處理網站訪客的留言資料