10 Cải tiến
10.1 Cải tiến liên tục
Tổ chức phải cải tiến liên tục tính phù hợp, đầy đủ và hiệu lực của hệ thống quản lý an toàn thông tin.10.2 Sự không phù hợp và hành động khắc phục
“dịch từ tiêu chuẩn ISO/IEC 27001:2022”
Khi xảy ra sự không phù hợp, tổ chức phải:
a) phản ứng với sự không phù hợp, và khi áp dụng:
1) thực hiện hành động để kiểm soát và khắc phục nó;
2) giải quyết hậu quả;
b) đánh giá nhu cầu hành động để loại bỏ nguyên nhân của sự không phù hợp, để nó không tái diễn hoặc xảy ra ở nơi khác, bằng cách:
1) xem xét sự không phù hợp;
2) xác định nguyên nhân của sự không phù hợp; Và
3) xác định xem có tồn tại hoặc có khả năng xảy ra sự không phù hợp tương tự hay không;
c) thực hiện mọi hành động cần thiết;
d) xem xét hiệu lực của mọi hành động khắc phục đã thực hiện; Và
e) thực hiện các thay đổi đối với hệ thống quản lý an toàn thông tin, nếu cần. Các hành động khắc phục phải phù hợp với tác động của sự không phù hợp gặp phải. Thông tin dạng văn bản phải có sẵn làm bằng chứng về:
f) bản chất của sự không phù hợp và mọi hành động tiếp theo được thực hiện,
g) kết quả của mọi hành động khắc phục.
Phần Cải tiến của tiêu chuẩn ISO 27001 phác thảo các yêu cầu để cải tiến liên tục và các hành động khắc phục trong Hệ thống quản lý bảo mật thông tin (ISMS) của tổ chức.
Mục 10.1 yêu cầu các tổ chức cải tiến liên tục tính phù hợp, đầy đủ và hiệu quả của ISMS, bao gồm việc thường xuyên xem xét và đánh giá hiệu suất của hệ thống, xác định các khu vực cần cải thiện và thực hiện các thay đổi khi cần thiết.
Mục 10.2 tập trung vào sự không phù hợp và hành động khắc phục, đề cập đến các tình huống trong đó ISMS của tổ chức không tuân thủ các yêu cầu hoặc không đạt được các kết quả dự kiến. Trong những trường hợp như vậy, tổ chức phải thực hiện hành động khắc phục thích hợp để giải quyết sự không phù hợp, đánh giá nguyên nhân của nó và xác định xem các vấn đề tương tự có thể xảy ra ở nơi khác hay không. Bằng chứng được lập thành văn bản về sự không phù hợp và các hành động khắc phục đã thực hiện phải được duy trì.
Nhìn chung, phần Cải tiến nhấn mạnh tầm quan trọng của việc đánh giá, điều chỉnh và học hỏi liên tục trong ISMS của tổ chức, nhằm nâng cao hiệu quả và duy trì tính bảo mật của tài sản thông tin.
Ví dụ về quy trình Cải tiến
Đây là một mẫu khả thi cho Quy trình Cải tiến:
1.0 Mục đích
Mục đích của quy trình này là thiết lập một phương pháp tiếp cận có hệ thống để xác định, đánh giá và giải quyết các cơ hội cải tiến trong Hệ thống quản lý bảo mật thông tin (ISMS) của [Tên công ty].
2.0 Phạm vi
Quy trình này áp dụng cho tất cả các hoạt động và chức năng liên quan đến ISMS của [Tên công ty].
3.0 Thủ tục
3.1 Xác định các Cơ hội Cải tiến
Tổ chức phải xác định các cơ hội để cải tiến ISMS thông qua:
Kết quả đánh giá nội bộ và xem xét của lãnh đạo
Phản hồi và khiếu nại của khách hàng
Sự không phù hợp và hành động khắc phục
Kết quả đánh giá rủi ro và phương án xử lý rủi ro
Các mối đe dọa và lỗ hổng bảo mật thông tin mới nổi
Công nghệ mới và yêu cầu quy định
3.2 Đánh giá các Cơ hội Cải tiến
Tổ chức phải đánh giá các cơ hội cải tiến đã xác định bằng cách:
Đánh giá tác động tiềm ẩn đối với các mục tiêu ISMS
Đánh giá tính khả thi của việc thực hiện
Ưu tiên các cơ hội cải tiến dựa trên tác động tiềm năng và tính khả thi của chúng
3.3 Thực hiện các Hành động Cải tiến
Tổ chức phải thực hiện các hành động cải tiến bằng cách:
Phân công trách nhiệm và nguồn lực
Thiết lập các mốc thời gian và thời hạn
Theo dõi tiến độ và thực hiện hành động khắc phục khi cần thiết
3.4 Xem xét tính hiệu quả
Tổ chức phải xem xét hiệu lực của các hành động cải tiến đã thực hiện bằng cách:
Tiến hành kiểm toán và đánh giá tiếp theo
Phân tích dữ liệu và theo dõi xu hướng
Đánh giá tác động đối với các mục tiêu ISMS
3.5 Tài liệu và Lưu trữ hồ sơ
Tổ chức phải lập thành văn bản và duy trì hồ sơ của tất cả các hoạt động cải tiến, bao gồm:
Các cơ hội cải tiến được xác định và đánh giá
Các hành động cải tiến được thực hiện và hiệu quả của chúng
Kết quả kiểm toán và đánh giá tiếp theo
4.0 Trách nhiệm
Lãnh đạo cao nhất chịu trách nhiệm đảm bảo rằng Quy trình cải tiến được thiết lập, thực hiện và duy trì.
Người quản lý bảo mật thông tin chịu trách nhiệm thực hiện Quy trình cải tiến và báo cáo về hiệu quả của nó cho ban lãnh đạo cao nhất.
Tất cả nhân viên có trách nhiệm xác định các cơ hội cải tiến và báo cáo chúng cho Giám đốc An ninh Thông tin.
5.0 Lịch sử sửa đổi
Quy trình Cải tiến sẽ được xem xét và cập nhật khi cần thiết để đảm bảo tính phù hợp, đầy đủ và hiệu quả liên tục của nó.
Ví dụ hồ sơ cải tiến
Đây là một ví dụ về các cơ hội cải tiến được xác định và đánh giá:
Cơ hội cải tiến được xác định và đánh giá
Ngày: [Ngày]
Mục tiêu: Để xác định các cơ hội cải tiến cho Hệ thống quản lý bảo mật thông tin (ISMS) và đánh giá tính khả thi cũng như lợi ích tiềm năng của chúng.
Người tham gia: [Danh sách người tham gia]
Chương trình nghị sự:
Xem xét sự không phù hợp và hành động khắc phục
Rà soát kết quả kiểm toán nội bộ
Rà soát kết quả đánh giá bên ngoài
Phản hồi từ các bên quan tâm
Rà soát kết quả đánh giá rủi ro
Động não về các cơ hội cải tiến
Đánh giá các cơ hội cải tiến
Lựa chọn các cơ hội cải tiến để thực hiện
Kế hoạch hành động để thực hiện các cơ hội cải tiến
Thảo luận:
Xem xét sự không phù hợp và hành động khắc phục:
[Tóm tắt sự không phù hợp và hành động khắc phục]
Rà soát kết quả kiểm toán nội bộ:
[Tóm tắt kết quả kiểm toán nội bộ]
Rà soát kết quả đánh giá độc lập:
[Tóm tắt kết quả đánh giá bên ngoài]
Phản hồi từ các bên quan tâm:
[Tổng hợp phản hồi từ các bên quan tâm]
Rà soát kết quả đánh giá rủi ro:
[Tóm tắt kết quả đánh giá rủi ro]
Động não về các cơ hội cải tiến:
[Danh sách các cơ hội cải tiến được xác định]
Đánh giá các cơ hội cải tiến:
Tính khả thi: [Cao/Trung bình/Thấp]
Lợi ích tiềm năng: [Cao/Trung bình/Thấp]
Ưu tiên: [Cao/Trung bình/Thấp]
Lựa chọn các cơ hội cải tiến để thực hiện:
[Danh sách các cơ hội cải tiến được lựa chọn để thực hiện]
Kế hoạch hành động để thực hiện các cơ hội cải tiến:
Cơ hội cải thiện 1: [Kế hoạch hành động]
Cơ hội cải thiện 2: [Kế hoạch hành động]
Cơ hội cải tiến 3: [Kế hoạch hành động]
Phần kết luận:
Các cơ hội cải tiến đã xác định được đánh giá dựa trên tính khả thi và lợi ích tiềm năng, và các cơ hội khả thi và có lợi nhất đã được chọn để thực hiện. Một kế hoạch hành động đã được phát triển để thực hiện các cơ hội cải tiến.
