Co je ISMS
Systém řízení bezpečnosti informací (Information Security Management System - ISMS) je dokumentovaný systém, ve kterém jsou chráněna definovaná informační aktiva, jsou řízena rizika bezpečnosti informací a zavedená opatření jsou kontrolována.
Benefity ISMS
ISMS proaktivně řeší možná bezpečnostní rizika
A tak tento systém hojně využívají organizace bez ohledu na velikost či obor činnosti. Lze jej prakticky doporučit všude tam, kde jsou využívány informační technologie pro podporu procesů, správu dat, komunikaci atd.. Organizace je schopna na základě analýzy rizik rozhodovat o opatřeních vynaložených na správu rizik tím, že jej
- akceptuje (náklady na prevenci jsou vyšší, než riziko)
- přenese na 3. subjekt (např. pojišťovna, outsourcing atd.
- řízeně investuje a strategicky rozvíjí systém bezpečnosti organizace
Důvody pro ISMS
Zákon o kybernetické bezpečnosti
Bezpečnostní standardy mohou být v organizaci implementovány konzultační firmou nebo vlastními silami. V obou případech je důležité, aby vaši zaměstnanci disponovali znalostmi na takové úrovni, která se rovná zodpovědností, přidělenou nadřízeným manažerem / institucí. Investice do ISMS jsou často zmařeny právě tím, že vyškolení lidských zdrojů je nedostatečně rozvíjeno, resp. podceňováno.
Zákon o ISVS
Zákon č. 365/2000 Sb., o informačních systémech veřejné správy ve znění pozdějších předpisů, představuje pro orgány veřejné správy širokou a zároveň složitou oblast časově náročných činností v sekci informační bezopečnosti. Být v souladu s požadovanou legislativou znamená mj. splňovat požadavky ISMS – ISO/IEC 27001.
GDPR
Genera Data Protection Regulation - Obecné nařízení o ochraně osobních údajů se nejčastěji implementuje na základ frameworku ISMS. Více v sekci GDPR.
Implementace
ISMS může být zaveden pro organizační složku společnosti, informační systém nebo jeho část, případně může zahrnovat celou organizaci. Zavedení systému řízení bezpečnosti informací (ISMS) je strategickým rozhodnutím vedení společnosti.
Mohou jej využít všechny organizace bez ohledu na velikost či obor činnosti, pro které jsou informace a informační technologie klíčovou součástí podnikatelských procesů, nebo které spravují citlivá data svých klientů a mají potřebu efektivně a komplexně zajistit jejich bezpečnost. Systém chrání bezpečnostr informací tak, že
- jsou určena aktiva, která se mají chránit
- jsou zvolena a řízena možná rizika bezpečnosti informací
- jsou zavedena opatření s požadovanou úrovní záruk a ta jsou kontrolována.
