بسیاری از افراد، ایزو ۲۷۰۰۰ را با ایزو ۲۷۰۰۱ اشتباه میگیرند. با این حال، این دو سند، نقشهای کاملاً متفاوتی دارند. در واقع، ایزو ۲۷۰۰۰ سنگ بنای مفهومی خانواده استانداردهای امنیت اطلاعات است. مرکز ایزوکیا، در این مقاله، جایگاه واقعی این استاندارد را روشن میکند.
ایزو ۲۷۰۰۰ دقیقاً چیست؟
ISO/IEC 27000، مروری کلی و واژگان استاندارد سیستم مدیریت امنیت اطلاعات (ISMS) را ارائه میدهد. برخلاف ایزو ۲۷۰۰۱، این استاندارد، الزامات قابل ممیزی ندارد و گواهینامهپذیر نیست. در عوض، پایه مفهومی و زبان مشترکی برای تمام استانداردهای خانواده ایزو ۲۷۰۰۰ فراهم میکند. نکته جالب این است که سازمان ایزو، این استاندارد را، برخلاف اغلب استانداردهای دیگر، بهصورت رایگان در دسترس همگان قرار داده است. کارشناسان مرکز ایزوکیا، این استاندارد را نقطه شروع درک صحیح ایزو ۲۷۰۰۱ میدانند
سهگانه محرمانگی، یکپارچگی و دسترسپذیری
ایزو ۲۷۰۰۰، سه اصل بنیادین امنیت اطلاعات را تعریف میکند؛ اصولی که معمولاً به «سهگانه CIA» شهرت دارند. محرمانگی، یعنی عدم افشای اطلاعات به افراد غیرمجاز. یکپارچگی، یعنی صحت و کامل بودن دادهها. دسترسپذیری، یعنی در دسترس بودن اطلاعات برای افراد مجاز، هنگام نیاز. مرکز ایزوکیا، این سه اصل را، در تمام مراحل ممیزی، بهطور همزمان بررسی میکند.
چرا این استاندارد اهمیت دارد؟
نکته کلیدی این است که ایزو ۲۷۰۰۰، مرجع هنجاری خانواده استانداردهای ۲۷۰۰۰ محسوب میشود. به عبارت دیگر، وقتی ایزو ۲۷۰۰۱ از واژههایی مانند «ریسک»، «دارایی» یا «تهدید» استفاده میکند، معنای دقیق آنها از ایزو ۲۷۰۰۰ میآید. بنابراین، بدون درک این واژگان، تفسیر صحیح الزامات ایزو ۲۷۰۰۱، دشوار خواهد بود. مرکز ایزوکیا، در دورههای آموزشی خود، همیشه با معرفی این مبانی آغاز میکند.
نقشه خانواده استانداردهای ۲۷۰۰۰
ایزو ۲۷۰۰۰، نقشه کاملی از خانواده استانداردهای امنیت اطلاعات نیز ارائه میدهد. این خانواده، شامل ایزو ۲۷۰۰۱ (الزامات)، ایزو ۲۷۰۰۲ (کنترلها)، ایزو ۲۷۰۰۵ (مدیریت ریسک امنیت اطلاعات) و دهها استاندارد تخصصی دیگر میشود. مرکز ایزوکیا، این نقشه راه را، برای مشتریانی که میخواهند مسیر مناسب خود در این خانواده استاندارد را انتخاب کنند، توضیح میدهد.
تفاوت اصلی با ایزو ۲۷۰۰۱
ایزو ۲۷۰۰۰، مفاهیم و واژگان را تعریف میکند. در مقابل، ایزو ۲۷۰۰۱، الزامات قابلممیزی یک سیستم مدیریت امنیت اطلاعات را مشخص میکند. به همین دلیل، سازمانی که فقط ایزو ۲۷۰۰۰ را مطالعه کند، نمیتواند برای گواهینامه اقدام کند. مرکز ایزوکیا، این تمایز را، بهویژه برای مدیرانی که تازه با استانداردهای امنیت اطلاعات آشنا میشوند، بهطور شفاف توضیح میدهد.
چرا شناخت این استاندارد اهمیت دارد؟
سازمانهایی که ایزو ۲۷۰۰۰ را بهدرستی درک میکنند، معمولاً پیادهسازی روانتری از ایزو ۲۷۰۰۱ خواهند داشت. علاوه بر این، این استاندارد، ممیزان، مدیران امنیت اطلاعات و تیمهای فناوری اطلاعات را نیز، به یک زبان مشترک برای صحبت درباره امنیت، مجهز میکند.
جمعبندی
در نهایت، ایزو ۲۷۰۰۰، اگرچه گواهینامهپذیر نیست، اما پایهای ضروری برای درک صحیح تمام استانداردهای خانواده امنیت اطلاعات است. این استاندارد، زبان مشترکی میسازد که تفسیر و اجرای ایزو ۲۷۰۰۱ را سادهتر میکند. بنابراین، اگر سازمان شما در حال آمادهسازی برای دریافت گواهینامه ایزو ۲۷۰۰۱ است، مرکز ایزوکیا آماده همراهی شماست. همین امروز، برای مشاوره تخصصی، با مرکز ایزوکیا تماس بگیرید.
بدون دیدگاه