Ψηφιακό Τεκμήριο

2.3 Ανάπτυξη Συστήματος Διαχείρισης Ασφάλειας Πληροφοριών
(κατά ISO27001)
Το Σύστημα Διαχείρισης Ασφάλειας Πληροφοριών αποτελεί μέρος του ευρύτερου
συστήματος διαχείρισης ενός Οργανισμού και αφορά στη θεμελίωση, υλοποίηση,
λειτουργία, έλεγχο τήρησης, συντήρηση και βελτίωση της ασφάλειας πληροφοριών
ενός Οργανισμού. Η υλοποίησή του ακολουθεί προσέγγιση βασισμένη στους
επιχειρηματικούς κινδύνους του Οργανισμού (risk based approach).
Το Σ.Δ.Α.Π αποτελεί ένα πλαίσιο αρχών με σκοπό την επίτευξη και στη συνέχεια τη
διατήρηση του επιθυμητού επιπέδου ασφάλειας πληροφοριών ενός Οργανισμού.
Είναι ένα είδος σχεδίου / οδηγού στον οποίο προσδιορίζεται το επιθυμητό επίπεδο
ασφάλειας πληροφοριών. Το Σ.Δ.Α.Π οφείλει και πρέπει να είναι εναρμονισμένο με
τους αντικειμενικούς στόχους του Οργανισμού και να είναι ανάλογο της
κρισιμότητας των επιχειρηματικών πληροφοριών. Ένα τέτοιο πλαίσιο αρχών
προσδιορίζει το σύνολο των συμπεριφορών, διεργασιών και πρακτικών τα οποία
συνηγορούν στην υλοποίηση του επιθυμητού επιπέδου ασφάλειας πληροφοριών (με
σχέση με τις απαιτήσεις Εμπιστευτικότητας, Ακεραιότητας και Διαθεσιμότητας των
πληροφοριών του Οργανισμού). Χρησιμοποιώντας τους επιχειρηματικούς στόχους
σαν κριτήριο, οι οργανισμοί μπορούν να προσδιορίσουν το επιθυμητό επίπεδο
ασφάλειας και να το τοποθετήσουν σε μία κλίμακα μέτρησης, στο ενδιάμεσο της
απόστασης ανάμεσα στο υφιστάμενο επίπεδο ασφάλειας και στο ιδεατό (όπως αυτό
προσδιορίζεται από πρότυπα και τις διεθνείς πρακτικές).
Όπως όλα τα συστήματα διαχείρισης (management systems), το Σ.Δ.Α.Π
περιλαμβάνει τον προσδιορισμό οργανωτικής δομής και υπευθυνοτήτων, πολιτικών,
διαδικασιών, προτύπων και οδηγιών ασφάλειας πληροφοριών. Ο σχεδιασμός και
υλοποίηση ενός Σ.Δ.Α.Π επηρεάζεται από τις επιχειρηματικές απαιτήσεις και τους
αντικειμενικούς στόχους του Οργανισμού, τους κινδύνους που προκύπτουν από την
απώλειας της Εμπιστευτικότητας, Ακεραιότητας και Διαθεσιμότητας των
πληροφοριών, τις απαιτήσεις ασφάλειας πληροφοριών, τις διεργασίες και τον τρόπο
λειτουργίας, το μέγεθος και τη δομή ενός Οργανισμού.
Το Σύστημα Διαχείρισης Ασφάλειας Πληροφοριών αποτελείται από ένα δομημένο
σύνολο εντύπων διαφορετικών βαθμίδων, το οποίο περιλαμβάνει Πολιτικές,
Πρότυπα, Διαδικασίες και Οδηγίες. Μέσα από τα έντυπα προσδιορίζονται οι βασικές
προδιαγραφές και ταυτόχρονα απαιτήσεις ασφάλειας των Πληροφοριών του
Οργανισμού, καθώς και οι διαδικασίες υλοποίησης των προδιαγραφών αυτών.
Στο παραπάνω πλαίσιο αναπτύσσονται τα ακόλουθα:
Οργανωτικό Πλαίσιο Ασφάλειας Πληροφοριών – Θέτει τις προϋποθέσεις για τη
δημιουργία ενός πλαισίου εργασίας, μέσω του ορισμού ρόλων και αρμοδιοτήτων ως
προς την ασφάλεια, το οποίο υποστηρίζει το συντονισμό και τον έλεγχο της
υλοποίησης και εφαρμογής των πολιτικών, διαδικασιών, προτύπων και οδηγιών
ασφάλειας πληροφοριών.
18