Käytännön ohjeita CSF:ltä. Arvioi rajaus ja ajantasaiset vaatimukset pätevien asiantuntijoiden kanssa. Resurssit eivät osoita vaatimustenmukaisuutta.
Aloita päätöksistä, älä dokumenttikirjastosta
Tietoturvallisuuden hallintajärjestelmä yhdistää liiketoiminnan tavoitteet, riskipäätökset ja päivittäiset hallintakeinot. ISO/IEC 27001 määrittelee hallintajärjestelmän vaatimuksia. Tämä CSF:n laatima työpajamalli ei toista standardia eikä korvaa sen vaatimuksia.
Rajaa kokonaisuus
Luettele mukaan kuuluvat palvelut, tiimit, sijainnit ja teknologia. Kirjaa liittymät toimittajiin ja rajauksen ulkopuolisiin toimintoihin. Selvitä, kuka tarvitsee kutakin palvelua ja mitä tiedon saatavuuden, eheyden tai luottamuksellisuuden menetys aiheuttaisi. Perustele rajaukset. Älä käytä niitä vaikeiden riskien piilottamiseen.
Sovi päätöksistä ja vastuista
Nimeä ohjelmasta vastaava johdon edustaja ja työn koordinoija. Sovi, kuka hyväksyy riskit, toteuttaa hallintakeinot ja tarkastaa näytön. Varaa säännöllinen johdon keskustelu muuttuneista riskeistä, myöhästyneistä toimista, häiriöistä ja resursseja vaativista päätöksistä.
Muodosta riskien lähtötilanne
Valitse yhtenäinen arviointimenetelmä ja selkeät vaikutus- sekä todennäköisyyskriteerit. Kirjaa uhkat, kohteet, nykyiset hallintakeinot ja vastuuhenkilöt. Priorisoi käsittely liiketoimintavaikutusten mukaan. Anna jokaiselle toimelle määräaika, tuotos ja näyttö toimivuudesta. Valmis politiikka auttaa vain, jos sitä voidaan noudattaa.
Testaa arjen toimintaa
Valitse pieni otos hallintakeinoista ja seuraa toteutusta. Saako uusi työntekijä asianmukaiset käyttöoikeudet? Poistetaanko oikeudet sopimuksen päättyessä? Voidaanko varmuuskopio palauttaa? Kirjaa testi, tulos ja korjaustarpeet. Säilytä toiminnassa syntyvää näyttöä erillisen auditointiversion sijaan.
Arvioi ja paranna
Tunnista puutteet sisäisen arvioinnin ja johdon palautteen avulla. Ylläpidä korjauslistaa vastuineen ja seurantapäivineen. Jos tavoitteena on sertifiointi, sovi arvioinnista riippumattoman sertifiointielimen kanssa. Toteutuksen tuki ei itsessään myönnä sertifikaattia.
Ensimmäisen työpajan tuotokset
- Kirjallinen rajaus ja tärkeät riippuvuudet.
- Ohjelmasta vastaava johdon edustaja sekä riskien ja hallintakeinojen vastuuhenkilöt.
- Priorisoitu riskirekisteri ja käsittelysuunnitelma.
- Näyttörekisteri ja tarkastuspäivät.
- Säännöllinen johdon arviointi ja parantamisen rytmi.
