BİLGİ GÜVENLİĞİ YÖNETİM SİSTEMİ

Kuruluş, bu dokümanın gerekliliklerine uygun olarak, ihtiyaç duyulan prosesler ve etkileşimleri de dahil olmak üzere bir bilgi güvenliği yönetim sistemi kurmalı, uygulamalı, sürdürmeli ve sürekli olarak iyileştirmelidir.

Liderlik ve bağlılık

Üst yönetim, aşağıdakileri yaparak bilgi güvenliği yönetim sistemi ile ilgili olarak liderlik ve bağlılık göstermelidir:

Bilgi güvenliği politikasının ve bilgi güvenliği hedeflerinin oluşturulmasını ve kuruluşun stratejik yönü ile uyumlu olmasının sağlaması,

Bilgi güvenliği yönetim sistemi gerekliliklerinin kuruluşun süreçlerine entegrasyonunun sağlanması,

Bilgi güvenliği yönetim sistemi için ihtiyaç duyulan kaynakların mevcut olmasının sağlanması,

Etkili bilgi güvenliği yönetiminin ve bilgi güvenliği yönetim sistemi gerekliliklerine uygunluğun öneminin duyurulması,

Bilgi güvenliği yönetim sisteminin amaçlanan sonuca/çıktılara ulaşmasının sağlanması,

Bilgi güvenliği yönetim sisteminin etkinliğine katkıda bulunmaları için kişilerin yönlendirilmesi ve desteklenmesi,

Sürekli iyileştirmenin teşvik edilmesi ve Sorumluluk alanları için geçerli olduğu şekliyle liderliklerini göstermek için diğer ilgili yönetim rollerinin desteklenmesi.

 

Politika

Üst yönetim, aşağıdaki hususları sağlayan bir bilgi güvenliği politikası oluşturmalıdır:

Kuruluşun amacına uygun,

Bilgi güvenliği hedeflerini içeren  veya bilgi güvenliği hedeflerinin belirlenmesi için çerçeve sağlayan,

Bilgi güvenliği ile ilgili uygulanabilir gereklilikleri karşılama taahhüdünü içeren,

Bilgi güvenliği yönetim sisteminin sürekli iyileştirilmesi taahhüdünü içeren. Bilgi güvenliği politikası:

Dokümante edilmiş bilgi olarak mevcut olmalıdır,

Kuruluş içinde duyurulmalıdır,

Uygun olduğu şekilde, ilgili tarafların erişimine açık olmalıdır.

 

Kurumsal roller, sorumluluklar ve yetkiler

Üst yönetim, bilgi güvenliği ile ilgili roller için sorumlulukların ve yetkilerin atanmasını (belirlenmesini)

ve kuruluş içinde duyurulmasını sağlamalıdır.

Üst yönetim, aşağıdaki hususlar için sorumluluk ve yetki ataması yapmalıdır:

Bilgi güvenliği yönetim sisteminin bu dokümanın gerekliliklerine uygunluğunu sağlamak,

Bilgi güvenliği yönetim sisteminin performansı hakkında üst yönetime raporlama yapmak.

NOT :Üst yönetim, kuruluş içindeki bilgi güvenliği yönetim sisteminin performansını raporlamak için

sorumluluklar ve yetkiler de atayabilir.

 

Riskleri ve fırsatları ele almaya yönelik eylemler

Bilgi güvenliği yönetim sisteminin amaçlanan sonuca/çıktılara ulaşabilmesini sağlamak,

İstenmeyen etkileri önlemek veya azaltmak,

Sürekli iyileştirme sağlamak. Kuruluş aşağıdakileri planlamalıdır:

Bu riskleri ve fırsatları ele alacak eylemleri ve Aşağıdaki hususların nasıl gerçekleştirileceğini

Eylemlerin bilgi güvenliği yönetim sistemi süreçlerine entegre edilmesi ve uygulanması ve Bu eylemlerin etkinliğinin değerlendirilmesini.