Hoe u uw ISO 27001 Management Review uitvoert

Wat is het doel van de ISO 27001:2013 Management Review?

De waarde van het Information Security Management System (ISMS) Management Review wordt vaak onderschat.

Sommigen beschouwen het misschien als een vereiste die moet worden afgevinkt, puur om aan te voldoen ISO 27001 vereiste 9.3. Om goede informatiebeveiligingspraktijken echt te kunnen 'leven en ademen' is de rol ervan echter van onschatbare waarde.

Het doel van de Management Review is ervoor te zorgen dat het ISMS en de doelstellingen ervan geschikt, adequaat en effectief blijven gezien het doel, de problemen en de risico's van de organisatie. Deze zullen eerder binnen zijn behandeld 4.1 De organisatie en haar context, 4.2 De vereisten van geïnteresseerde partijenen 6.1.RISICO BEHEER.

De resultaten van de managementbeoordeling zal het senior management in staat stellen zich goed te informerenstrategische beslissingen die een materieel effect zullen hebben op informatiebeveiliging en de manier waarop de organisatie deze beheert.

Wat moet er in de Management Review staan?

De managementbeoordeling moet volgen op a standaard format dat kijkt naar de verwachtingen van ISO 27001:2103.

Het kan ook zijn dat de organisatie andere complianceregimes in de toetsing wil betrekken, bijvoorbeeld Cyberbenodigdheden, ISO 9001 en andere goede praktijken, om effectieve beoordelingen en geïnformeerde besluitvorming mogelijk te maken.

Bij de ISO 27001-managementbeoordeling moet aandacht worden besteed aan:

a) de status van acties uit eerdere managementbeoordelingen;

b) veranderingen in externe en interne kwesties die relevant zijn voor de beheer van informatiebeveiliging systeem;

c) feedback over de informatiebeveiligingsprestaties, inclusief trends in:

1. non-conformiteiten en correctief acties;
2. monitoren en meten resultaten;
3. controleren resultaten; En
4. vervulling van doelstellingen op het gebied van informatiebeveiliging.

d) feedback van geïnteresseerde partijen;

e) resultaten van risk_assesment”>risicobeoordeling en status van risicobehandeling plan; En

f) kansen voor continue verbetering.

Mogelijk wilt u ook nog een extra punt toevoegen: g) Maak afspraken over de auditfocus voor de komende periode. Dit is optioneel als je agile bent organisatie en niet in staat om het hele auditprogramma volledig te specificeren en te ver vooruit plannen. Maar houd er rekening mee dat sommige externe auditors meer duidelijkheid willen over het hele programma gedurende de certificeringscyclus!

De uitkomsten van de managementbeoordeling moeten beslissingen omvatten die verband houden met continue verbetering kansen en eventuele behoeften aan veranderingen in het managementsysteem voor informatiebeveiliging.

Wie moet aanwezig zijn bij de managementbeoordeling?

Gezien het bovenstaande is het duidelijk dat, mits goed overwogen, de ISO 27001 management review is onmisbaar tools om ervoor te zorgen dat het ISMS effectief blijft in een van zijn belangrijkste doelstellingen, namelijk het mitigeren risico's op het gebied van informatiebeveiliging.

Om het ISMS effectief te laten zijn in een organisatie, heeft het senior nodig commitment van het management en als zodanig is het logisch dat de leden van een ISMS-'bestuur' autoriteit hebben in zaken die verband houden met informatiebeveiliging.

Normaal gesproken kan een ISMS-bestuur bestaan ​​uit de Chief Information Security Officer (CISO), de Senior Information Risk Owner (SIRO), de Chief Technical Officer en misschien zelfs de CEO.

De uitkomsten van de managementbeoordeling omvatten beslissingen die verband houden met continue verbetering kansen en eventuele behoeften aan veranderingen in het managementsysteem voor informatiebeveiliging.

Frequentie van managementbeoordelingen

Er is een minimumvereiste voor het uitvoeren van een directiebeoordeling eenmaal per jaar, en vaker als er materiële veranderingen plaatsvinden die van invloed kunnen zijn op de informatiebeveiliging en het ISMS.

De frequentie zal echter worden bepaald door de eis van het management om het succes van het ISMS te monitoren. Er bestaat ook het gevaar dat hoe groter het interval, hoe groter het werk zal zijn dat betrokken zal zijn bij het beoordelen van de voorgaande periode. Het vergroot ook het risico dat een storing in het ISMS niet tijdig wordt geïdentificeerd.

Om die reden raden we maandelijks, tweemaandelijks of zelfs driemaandelijks aan als uw ISMS redelijk stabiel is. Zeker, managementbeoordelingen moeten op het geplande tijdstip plaatsvinden intervallen om ervoor te zorgen dat het ISMS ‘geschikt, adequaat en effectief’ blijft.

Voor wie op zoek is ISO 27001-certificering van hun ISMS is het ook belangrijk op te merken dat er tijdens de fase 1 desktopaudit een vereiste is om aan te tonen dat de reguliere beoordelingen plaatsvinden.

At ISMS.online Wij adviseren wekelijkse managementbeoordelingen voorafgaand aan de Fase 1-audit, omdat dit uw implementatieproject op koers houdt, de gewoonte opbouwt en binnen een maand voldoende bewijsmateriaal heeft verzameld, met behulp van de eenvoudige Management Review-programma op het platform, om de auditor tevreden te stellen.

Hoe u communicatie en acties beheert

Normaal gesproken houdt een managementbeoordeling in dat de uitnodigingen voor vergaderingen, de agenda, het bewijsmateriaal en de rapporten ter beoordeling of ter ondersteuning van de beoordeling vooraf per e-mail worden rondgestuurd, evenals de voorgaande punten die actie vereisten.

Tijdens de beoordeling kunnen aantekeningen worden gemaakt van de bevindingen, zodat deze vervolgens kunnen worden opgeschreven en verspreid.

Gebieden die zijn geïdentificeerd voor corrigerende maatregelen en verbeteringen zullen ook moeten worden gedocumenteerd en opgedragen aan de personen die verantwoordelijk zullen zijn voor het voltooien van deze maatregelen.

Bij elke stap moet bewijsmateriaal worden bewaard om een ​​externe auditor ervan te overtuigen dat de beoordeling en processen plaatsvinden en effectief zijn.

Dat zijn veel e-mails, veel planning en veel bewijsmateriaal!

Stel je een online management review programma dat het eenvoudig maakte om uw ISMS Board-team op te zetten, eenvoudig beoordelingen te plannen en een standaardagenda te volgen, eenvoudig te koppelen aan eerdere beoordelingen en alle benodigde informatie, en eenvoudig corrigerende acties en verbeteringen toe te wijzen en te volgen?

Je verbeeldt je ISMS.online dat maakt het beheren van uw volledige ISMS eenvoudig.

Breng alles samen in één veilige, online omgeving waar dat kan samenwerken met collega'sLeg het benodigde bewijsmateriaal slechts één keer vast en navigeer er eenvoudig naartoe voor, tijdens en na de beoordeling.

Je hoeft niet eens alle bestuursleden bij elkaar te hebben op één plek... voer het online uit en bespaar reistijd en kosten!

Inclusief onze Virtuele coach Programma voor deskundige begeleiding en pragmatisch advies bij elk van de vereiste activiteiten