נוהל: אימות, סקירה והערכה של המשכיות אבטחת המידע A17.1.3

מטרת הנוהל היא להבטיח כי הארגון יאמת, יעבור ביקורת, ויעריך את תוכנית המשכיות אבטחת המידע שלו באופן קבוע, על מנת לוודא כי היא תקפה ואפקטיבית.

תחום יישום

הנוהל חל על כל הארגון.

הגדרות

• משכיות אבטחת מידע: היכולת של הארגון לשמור על אבטחת המידע שלו גם במהלך משבר או אסון.
• תוכנית המשכיות אבטחת המידע: תוכנית המגדירה את הצעדים שיש לנקוט כדי לשמור על אבטחת המידע של הארגון במהלך משבר או אסון.

אחריות

• ממונה אבטחת מידע יהיה אחראי על אימות, סקירה והערכה של תוכנית המשכיות אבטחת המידע.
• מנהל המערכות האחראי יהיה אחראי לסייע לממונה אבטחת מידע בביצוע תהליך האימות, הסקירה וההערכה.

תהליך

1. אימות

הארגון יבצע אימות של תוכנית המשכיות אבטחת המידע, על מנת לוודא כי היא תקפה ומתאימה לצרכים של הארגון. האימות יכלול את הצעדים הבאים:

• בדיקה של התוכנית בהתאם להגדרות והדרישות המפורטות בתקן ISO 27001.
• הערכה של היכולות והמשאבים של הארגון לעמוד בדרישות של התוכנית.
• ביצוע בדיקות מעשיות של התוכנית, ככל שניתן.

2. סקירה

הארגון יבצע סקירה של תוכנית המשכיות אבטחת המידע, על מנת לוודא כי היא עדכנית ויעילה. הסקירה תכלול את הצעדים הבאים:

• הערכה של השינויים שחלו בפעילות העסקית של הארגון, ובסביבת האיום.
• הערכה של היעילות של הצעדים שננקטו כדי ליישם את התוכנית.
• המלצות לשיפור התוכנית.

3. הערכה

הארגון יבצע הערכה של תוכנית המשכיות אבטחת המידע, על מנת לוודא כי היא עומדת בציפיות של הנהלה. ההערכה תכלול את הצעדים הבאים:

• הערכה של שביעות הרצון של הנהלה מתוכנית המשכיות אבטחת המידע.
• הערכה של היעילות של התוכנית בהתמודדות עם משברים או אסונות שהתרחשו בעבר.
• המלצות לשיפור התוכנית.

תדירות

הארגון יבצע את תהליך האימות, הסקירה וההערכה של תוכנית המשכיות אבטחת המידע בתדירות קבועה, כגון אחת לשנה או אחת לשנתיים.

הערות

• הארגון יבצע ביקורות תקופתיות על יישום הנוהל בנוגע לאימות, סקירה והערכה של המשכיות אבטחת המידע.
• הארגון יבצע תהליך של הערכת סיכונים, על מנת לקבוע את הסיכונים לאבטחת המידע הקשורים לאימות, סקירה והערכה של המשכיות אבטחת המידע.