Do tematu zapewnienia bezpieczeństwa informacji w instytucji można podejść na wiele sposobów. Mogą to być działania wyrywkowe, nieskoordynowane i intuicyjne, gdzie poziom bezpieczeństwa zależy od poziomu wiedzy osób, którym powierzono zapewnienie bezpieczeństwa informacji. Efekty takich działań mogą zabezpieczyć pewne obszary instytucji, jednak pozostałe z nich mogą być w dalszym ciągu narażone na zagrożenia.
Instytucja, która chce należycie zabezpieczyć swoje informacje powinna zastosować podejście systemowe, w ramach którego będzie zarządzać kompleksowo posiadanymi
aktywami informacyjnymi,
infrastrukturą przeznaczoną do ich przetwarzania oraz
ryzykiem dot. bezpieczeństwa informacji.
Dla instytucji, które chcą świadomie chronić swoje aktywa na uwagę zasługuję System Zarządzania Bezpieczeństwem Informacji wg normy
PN-ISO/IEC 27001:2007.
Norma ta jest zbiorem wytycznych pozwalających na wdrożenie efektywnego Systemu Zarządzania Bezpieczeństwem Informacji w instytucji. Norma jest przeznaczona dla wszystkich rodzajów instytucji, zarówno dla podmiotów biznesowych jak i podmiotów administracji publicznej.
Normę
PN-ISO/IEC 27001:2007 uzupełnia norma
PN-ISO/IEC 17799:2007, która zawiera zestaw najlepszych praktyk, które można zastosować w organizacji w celu podniesienia poziomu bezpieczeństwa informacji. Norma ISO/IEC w odróżnieniu od norm z serii ISO TR 13335 nie dotyczy tylko i wyłącznie zagadnień teleinformatycznych, lecz obejmuje także inne obszary takie jak bezpieczeństwo osobowe i fizyczne.
Norma PN-ISO/IEC 17799:2007 jest podzielona na następujące rozdziały:
- Polityki bezpieczeństwa informacji.
- Organizacji bezpieczeństwa informacji.
- Zarządzanie aktywami.
- Bezpieczeństwo osobowe.
- Bezpieczeństwo fizyczne i środowiskowe.
- Zarządzanie systemami i sieciami.
- Kontrola dostępu.
- Uzyskiwanie, rozwój i utrzymanie systemów informacyjnych.
- Zarządzanie incydentami związanymi z bezpieczeństwem informacji.
- Zarządzanie ciągłością działania.
- Zgodność.
Na uwagę zasługuje punkt dotyczący
zarządzanie ciągłością działania instytucji, który umożliwią funkcjonowanie instytucji i odzyskanie funkcjonalności sprzętu do przetwarzania informacji i samych informacji po wystąpieniu katastrof lub awarii rozległych.
Wdrożenie Systemu Zarządzania Bezpieczeństwem Informacji przynosi następujące
korzyści .
