6.3 Lập kế hoạch thay đổi
Khi tổ chức xác định nhu cầu thay đổi đối với hệ thống quản lý an ninh thông tin, các thay đổi sẽ được thực hiện theo cách đã hoạch định.
“dịch từ tiêu chuẩn ISO/IEC 27001:2022”
Theo tiêu chuẩn ISO/IEC 27001:2013, khi tổ chức xác định nhu cầu thay đổi đối với hệ thống quản lý an ninh thông tin (ISMS) thì việc thay đổi phải được thực hiện theo kế hoạch.
Điều này có nghĩa là tổ chức cần có một quy trình xác định để lập kế hoạch và thực hiện các thay đổi đối với ISMS, bao gồm các bước sau:
Xác định nhu cầu thay đổi: Đây có thể là kết quả của những thay đổi đối với hồ sơ rủi ro của tổ chức, các yêu cầu quy định hoặc những thay đổi đối với môi trường kinh doanh.
Xác định phạm vi thay đổi: Xác định những khía cạnh nào của ISMS cần được thay đổi và những thay đổi đó sẽ tác động đến hệ thống như thế nào.
Lập kế hoạch thay đổi: Phát triển một kế hoạch dự án phác thảo các nhiệm vụ, thời gian biểu, yêu cầu nguồn lực và trách nhiệm thực hiện thay đổi.
Kiểm tra thay đổi: Tiến hành giai đoạn kiểm tra để xác minh rằng những thay đổi sẽ không tác động tiêu cực đến bảo mật hoặc chức năng của hệ thống.
Thực hiện thay đổi: Thực hiện các thay đổi theo kế hoạch dự án.
Giám sát thay đổi: Giám sát hệ thống sau khi thay đổi đã được triển khai để đảm bảo rằng hệ thống hoạt động như mong đợi và bảo mật không bị xâm phạm.
Xem xét thay đổi: Đánh giá hiệu quả của thay đổi và xác định bất kỳ lĩnh vực nào cần cải thiện hơn nữa.
Tổ chức cần đảm bảo rằng tất cả các thay đổi đều được lập thành văn bản và được xem xét để đảm bảo rằng các thay đổi được thực hiện theo cách có kế hoạch và được kiểm soát.
Mẫu Lập kế hoạch thay đổi
Đây là mẫu cơ bản để lập kế hoạch thay đổi hệ thống quản lý bảo mật thông tin (ISMS), mẫu này có thể được điều chỉnh cho phù hợp với nhu cầu của tổ chức bạn:
Xác định nhu cầu thay đổi:
Mô tả lý do thay đổi và các trình điều khiển kinh doanh hoặc quy định cụ thể.
Xác định các kết quả mong đợi và lợi ích của sự thay đổi.
Xác định phạm vi thay đổi:
Xác định các khu vực của ISMS sẽ bị ảnh hưởng bởi sự thay đổi.
Mô tả tác động của thay đổi đối với ISMS và các quy trình liên quan.
Xác định bất kỳ rủi ro hoặc vấn đề tiềm ẩn nào có thể phát sinh do thay đổi.
Lập kế hoạch thay đổi:
Phát triển một kế hoạch dự án bao gồm các nhiệm vụ, thời gian, nguồn lực và trách nhiệm.
Xác định các tiêu chí thử nghiệm và chấp nhận cho sự thay đổi.
Xác định bất kỳ phụ thuộc hoặc ràng buộc nào có thể ảnh hưởng đến việc thực hiện thay đổi.
Kiểm tra sự thay đổi:
Phát triển kế hoạch kiểm thử bao gồm các kịch bản kiểm thử, trường hợp kiểm thử và kết quả mong đợi.
Tiến hành thử nghiệm để xác minh rằng thay đổi đã được thực hiện đúng và không tác động tiêu cực đến tính bảo mật hoặc chức năng của ISMS.
Thực hiện thay đổi:
Thực hiện kế hoạch dự án, bao gồm mọi thay đổi cần thiết đối với ISMS hoặc các quy trình liên quan.
Xác minh rằng thay đổi đã được triển khai đúng cách và ISMS đang hoạt động như mong đợi.
Theo dõi sự thay đổi:
Giám sát ISMS sau khi thay đổi đã được triển khai để đảm bảo rằng nó hoạt động như mong đợi.
Xác định và giải quyết bất kỳ vấn đề hoặc vấn đề phát sinh.
Xem lại sự thay đổi:
Đánh giá hiệu quả của thay đổi và xác định bất kỳ lĩnh vực nào cần cải thiện hơn nữa.
Ghi lại kết quả của việc xem xét và bất kỳ bài học kinh nghiệm.
Lưu ý rằng mẫu này nhằm mục đích làm điểm bắt đầu và có thể được sửa đổi để phù hợp với nhu cầu cụ thể của tổ chức bạn. Điều quan trọng là phải ghi lại tất cả các thay đổi và xem xét hiệu quả của các thay đổi để liên tục cải tiến ISMS.
Ví dụ về kế hoạch thay đổi
Dưới đây là ví dụ về thay đổi và kế hoạch cho hệ thống quản lý bảo mật thông tin:
Thay đổi: Triển khai xác thực đa yếu tố để truy cập từ xa
Lý do thay đổi: Tăng số lượng nhân viên làm việc từ xa và để tăng cường bảo mật cho việc truy cập từ xa vào hệ thống của công ty
Kế hoạch:
Xác định và thu hút các bên liên quan: bộ phận CNTT, bộ phận nhân sự, nhân viên làm việc từ xa và nhóm bảo mật thông tin.
Tiến hành đánh giá rủi ro để xác định các rủi ro bảo mật tiềm ẩn liên quan đến truy cập từ xa mà không cần xác thực đa yếu tố.
Nghiên cứu và đánh giá các giải pháp xác thực đa yếu tố khác nhau và lựa chọn giải pháp phù hợp nhất với nhu cầu của công ty.
Xây dựng kế hoạch triển khai xác thực đa yếu tố, bao gồm các yêu cầu về thời gian, ngân sách và tài nguyên.
Truyền đạt thay đổi cho tất cả các bên liên quan và cung cấp đào tạo về cách sử dụng giải pháp xác thực đa yếu tố mới.
Kiểm tra hệ thống mới trước khi triển khai để đảm bảo hệ thống hoạt động chính xác và không gây ra bất kỳ sự gián đoạn nào đối với hoạt động kinh doanh.
Triển khai giải pháp xác thực đa yếu tố theo kế hoạch.
Theo dõi và đánh giá hiệu quả của hệ thống mới thường xuyên và thực hiện các điều chỉnh khi cần thiết.
Kế hoạch này bao gồm xác định sự thay đổi, tiến hành đánh giá rủi ro, đánh giá các giải pháp, xây dựng kế hoạch, truyền đạt sự thay đổi, thử nghiệm hệ thống mới, thực hiện thay đổi, giám sát và đánh giá hiệu quả của nó.
