4.2 Hiểu nhu cầu và mong đợi của các bên liên quan
Tổ chức phải xác định:
a) các bên liên quan có liên quan đến hệ thống quản lý an ninh thông tin;
b) các yêu cầu liên quan của những bên liên quan này;
c) những yêu cầu này sẽ được đáp ứng thông qua hệ thống quản lý an ninh thông tin.
GHI CHÚ Các yêu cầu của bên liên quan có thể bao gồm các yêu cầu pháp lý và quy định và nghĩa vụ hợp đồng.
“dịch từ tiêu chuẩn ISO/IEC 27001:2022”
Điều khoản 4.2 của tiêu chuẩn ISO/IEC 27001:2022, yêu cầu tổ chức phải xác định các nhu cầu và mong đợi của các bên liên quan đến hệ thống quản lý an ninh thông tin (ISMS). Cụ thể, tổ chức phải:
a) Xác định các bên liên quan đến ISMS.
b) Xác định các yêu cầu của các bên liên quan này, bao gồm yêu cầu pháp lý và quy định hợp đồng.
c) Xác định những yêu cầu nào sẽ được đáp ứng thông qua ISMS.
Bằng cách làm như vậy, tổ chức có thể đảm bảo rằng ISMS được thiết kế để đáp ứng các yêu cầu của tất cả các bên liên quan có liên quan, bao gồm cả những người có nghĩa vụ pháp lý hoặc hợp đồng. Điều này có thể giúp tổ chức quản lý tốt hơn các rủi ro an ninh thông tin và duy trì lòng tin của các bên liên quan.
Ví dụ minh hoạt về điều khoản 4.2 Hiểu nhu cầu và mong đợi của các bên liên quan theo ISO/IEC 27001:2022
Dưới đây là một số ví dụ về các bên liên quan và yêu cầu phù hợp của họ đối với hệ thống quản lý an ninh thông tin (ISMS) của một tổ chức:
Khách hàng: Khách hàng có thể mong đợi tổ chức có các điều khiển bảo mật đủ để bảo vệ thông tin cá nhân và tài chính của họ. Các yêu cầu phù hợp có thể bao gồm tuân thủ các quy định về bảo vệ dữ liệu, xử lý thanh toán trực tuyến an toàn và việc thông báo rõ ràng về các phương thức xử lý dữ liệu của tổ chức.
Cơ quan có thẩm quyền: Các cơ quan có thẩm quyền có thể có yêu cầu pháp lý cụ thể mà tổ chức phải tuân thủ, chẳng hạn như các khoảng thời gian lưu trữ dữ liệu hoặc báo cáo bắt buộc về việc xảy ra việc vi phạm dữ liệu. Tổ chức phải xác định các yêu cầu này và đảm bảo rằng chúng được giải quyết trong ISMS.
Đối tác kinh doanh: Đối tác kinh doanh có thể mong đợi tổ chức duy trì một mức độ an ninh thông tin nhất định để bảo vệ dữ liệu được chia sẻ và duy trì tính toàn vẹn của hoạt động kinh doanh. Yêu cầu phù hợp có thể bao gồm các giao thức trao đổi dữ liệu an toàn và chính sách và thủ tục bảo mật được đồng ý giữa các bên.
Nhân viên: Nhân viên có thể mong đợi tổ chức cung cấp các hệ thống và quy trình an toàn để truy cập, lưu trữ và truyền tải thông tin nhạy cảm, cũng như các chương trình đào tạo và nhận thức phù hợp về các thực tiễn bảo mật thông tin tốt nhất.
Bằng cách xác định bên liên quan phù hợp và yêu cầu của họ, tổ chức có thể thiết kế một ISMS đáp ứng nhu cầu và kỳ vọng của họ, đồng thời đảm bảo tính bảo mật, toàn vẹn và sẵn có của tài sản thông tin.
Triển khai áp dụng điều khoản 4.2 Hiểu nhu cầu và mong đợi của các bên liên quan theo ISO/IEC 27001:2022 như thế nào?
Để triển khai mục 4.2 của tiêu chuẩn ISO/IEC 27001:2022, “Hiểu nhu cầu và mong đợi của các bên liên quan”, một tổ chức có thể thực hiện các bước sau:
- Xác định các bên liên quan có liên quan đến ISMS: Xác định các bên liên quan là những bên liên quan có quyền lợi trong việc bảo vệ thông tin an ninh của tổ chức, chẳng hạn như khách hàng, các cơ quan quy định, đối tác kinh doanh và nhân viên.
- Xác định các yêu cầu liên quan của các bên liên quan: Đối với mỗi bên liên quan được xác định, xác định những yêu cầu của họ đối với bảo mật thông tin của tổ chức. Những yêu cầu này có thể bao gồm các yêu cầu pháp lý và quy định, các nghĩa vụ hợp đồng và các kỳ vọng chung.
- Đánh giá các yêu cầu đã xác định: Đánh giá mỗi yêu cầu đã xác định để xác định những yêu cầu nào có thể và nên được đáp ứng thông qua ISMS của tổ chức. Một số yêu cầu có thể không liên quan hoặc có thể được đáp ứng tốt hơn thông qua các quy trình khác trong tổ chức.
- Ghi lại các yêu cầu đã xác định: Ghi lại các yêu cầu của bên liên quan một cách rõ ràng và dễ hiểu để phù hợp với tất cả nhân viên liên quan.
- Phát triển kế hoạch hành động: Phát triển kế hoạch hành động để đáp ứng các yêu cầu đã xác định thông qua ISMS. Kế hoạch này nên bao gồm các hành động cụ thể, thời gian và trách nhiệm cụ thể.
- Theo dõi và đánh giá: Theo dõi và đánh giá tính hiệu quả của ISMS trong đáp ứng các yêu cầu đã xác định của các bên liên quan. Liên tục đánh giá và điều chỉnh kế hoạch nếu cần thiết để đảm bảo rằng tổ chức đang đáp ứng các mục tiêu và mục đích an ninh thông tin của mình.
Tổng thể, việc triển khai mục này bao gồm một phương pháp hệ thống để xác định và giải quyết các yếu tố nội bộ và bên ngoài có thể ảnh hưởng đến ISMS, nhằm đảm bảo nó phù hợp với các mục tiêu của tổ chức và hiệu quả trong quản lý rủi ra an ninh thông tin.
