Tiêu chuẩn ISO 27001:2013

CẤU TRÚC TIÊU CHUẨN ISO 27001:2013

Cấu trúc tiêu chuẩn ISO 27001 bao gồm 10 phần.

Trong đó, 03 Điều khoản đầu là giới thiệu, phạm vi và thuật ngữ. Các yêu cầu chính nằm ở 07 điều khoản sau (từ phần 4 đến phần 10 của Tiêu chuẩn).

07 điều khoản chính : đưa ra yêu cầu bắt buộc về các công việc cần thực hiện trong việc thiết lập, vận hành, duy trì, giám sát và nâng cấp Hệ thống quản lý An toàn thông tin (ISMS) của các tổ chức. Bất kỳ vi phạm nào của tổ chức so với các quy định nằm trong 07 điều khoản này đều được coi là không tuân thủ theo tiêu chuẩn. Cấu trúc tiêu chuẩn ISO 27001 cụ thể như sau: 

Điều khoản 4 – Phạm vi tổ chức
Điều khoản 5 – Lãnh đạo.
Điều khoản 6 – Lập kế hoạch.
Điều khoản 7 – Hỗ trợ.
Điều khoản 8 – Vận hành hệ thống.
Điều khoản 9 – Đánh giá hiệu năng hệ thống.
Điều khoản 10 – Cải tiến hệ thống.

Phụ lục A – ISO 27001:2013 Các mục tiêu và biện pháp kiểm soát

Phụ lục A đưa ra 14 lĩnh vực kiểm soát. Nhằm cụ thể hóa các vấn đề mà tổ chức cần xem xét, thực hiện Hệ thống ISMS. Các lĩnh vực đưa ra xem xét bao gồm: chính sách của lãnh đạo tổ chức. Tới việc đảm bảo ATTT trong quản lý tài sản, nhân sự. Các nguyên tắc để đảm bảo ATTT trong việc vận hành, phát triển, duy trì các hệ thống CNTT…

Các lĩnh vực kiểm soát của Phụ lục A. Mỗi lĩnh vực kiểm soát lại được cụ thể hóa với các mục tiêu kiểm soát cần đạt được. Và các biện pháp cụ thể để đạt được mục tiêu đó. Các biện pháp kiểm soát này có thể được lựa chọn, loại bỏ hoặc bổ sung thêm để phù hợp với mỗi tổ chức. Tuy nhiên, các loại bỏ chỉ được chấp nhận khi tổ chức đưa ra các lý giải phù hợp.