ISO 27001 轉版筆記 -6- 控制項 A.6.1.5 專案管理之資訊安全

所謂專案,就是特定的一段時間內,以特定的資源(包含人力)去完成的一或多項任務,即為專案。

當然,若過評估,確認組織不會以專案型態運作,請自行在適用性聲明書中排除之。

在 2005 版內,沒有特別針對專案相關的資訊安全去做規範,但在 2013 版內,則在控制項 A.6.1.5 內,要求組織針對專案管理進行一些資訊安全方面的作為。

最基本的,就是要把專案管理納入風險控管,但是風險評鑑再頻繁也通常是每半年進行一次,即便大多數的風險評鑑程序都會補一句:如有其他狀況應針對特定範圍進行風險評鑑。但這樣其實很模糊,所以,建議在程序書內,規畫有關專案型態的風險要如何進行評估跟控管。

例如、可以仿照風險評鑑的內容,要求未來的專案申請書內,需附上風險評估報告,含:衝擊資產、風險因子列舉及其風險擁有人,以及接受/不接受風險的評估論述,最後需要有風險擁有人的核可以及管理階層的核可…等等。

發佈留言

發佈留言必須填寫的電子郵件地址不會公開。 必填欄位標示為 *

這個網站採用 Akismet 服務減少垃圾留言。進一步瞭解 Akismet 如何處理網站訪客的留言資料