Dit was de expliciete definitie van informatiebeveiliging z(informatietechnologie) die in juli 2004 werd gegeven door het Amerikaanse National Institute of Standards & Technology in zijn speciale publicatie 800-30A (september 2004).
Normen en technologie
Volgens NIST zijn de primaire doelen van informatiebeveiligingsregels veiligheid en beveiliging, vertrouwelijkheid en integriteit en beschikbaarheid. De standaarden die door organisaties worden ingezet, zijn dan de standaarden die door leveranciers worden gebruikt om producten te bouwen die kunnen voldoen aan de standaarden of anderszins voldoen aan de eisen van de standaarden.
EV-ISO 27001-consultants zijn beschikbaar om organisaties te helpen die van plan zijn een informatiebeveiligingssysteem te ontwikkelen:
• Geef een inschatting van het risico van de organisatie op elk van de risicogebieden die in het auditplan zijn vermeld, in overeenstemming met de omvang en complexiteit van de organisatie.
• Kwetsbaarheidsbeoordeling van het bestandssysteem en onderzoek van de organisatiestructuren om ervoor te zorgen dat het systeem niet kwetsbaar is voor fraude, kwaadwilligheid of onopzettelijke schade.
• Het gebruik van beschikbare beveiligingsdiensten en -systemen toestaan om het beveiligingsrisico te helpen beperken.
• Voor het overige dient de audit om te bevestigen dat de systemen, diensten, systemen en applicaties naar behoren functioneren.
• Organiseer de systemen volgens de criteria voor risicobeheer en groepeer ze volgens hun risiconiveau.
• Telkens wanneer de systemen worden ontwikkeld, de ontwerpen evalueren op levensvatbaarheid en inzetbaarheid, enz.
• Voer periodiek een risicobeoordeling uit en verzamel jaarlijks gegevens.
• Houd documentatie van de systemen beschikbaar. Bewaar deze informatie op een veilige plaats.
Implementatie
De volgende methoden moeten worden toegepast om ervoor te zorgen dat het informatiebeveiligingssysteem correct wordt geïmplementeerd:
• Planning & Organisatie
Planning and Organization is the process by which the organization manages the information security. It involves encompassption of the information security system and its architecture.
• Assessment
The next step is the Assessment. This is the most crucial step in the deployment of new devices, computers or software. The assessment involves the usage of existing information security systems and their potential penetration by threats.
• Translation
Oxidation of sensitive data or sensitive information into anonymous or inaccessible forms, takes place and this leaves the meant to process data that passes through system vulnerable.
• Reduction
Use of available security technology and services reduce the amount of data that is susceptible to hacking, destruction and falsification.
• Modification
Human beings are not perfect, and can be tempted to violate the security of information that they hold. Introduction of a modification or fix enables the already identified vulnerabilities to be mitigated and makes the security of information in the database more secure.
• Detection
Discovery of vulnerabilities by means of new techniques or software designed to analyze data and enhance the efficiency of computer operations is detected.
• Report
Reports are prepared by the experts or auditors, as per the requirements identified during the assessment and met with the stakeholders or management.
• Consent
The experts or auditors obtain consent of the organizations to perform the information security audit or conduct a pre-assessment as per the guidelines provided.
• Validation
The experts or auditors ensure that the implementation of the information security audit is reliable and verifies that the policies and procedures for information security are followed. Validation involves the visibility of the audit team at regular intervals during and after the deployment of the information security system.
• Assessment
A prospective audit is done by means of which the experts or auditors identify raises targeted risks in the database. The objective of the prospective audit is to identify the potential audit risks, and to assess the risks literacy redesigning the organization's security strategy and tactics accordingly.
• Re-assessment
The experts or auditors conduct re-assessment as per the results of the recent assessment and may refer to the findings for any required clarification or correction.
• Compliance
The experts or auditors carry out compliance review and assessment as required by the guidelines of the United Nations Human Rights Law; such as the International Covenant on Economic and Social Rights (ICES) and the Additional Protocols to the 1972 United Nations Recruitment Law. They may also refer to the findings of the human rights law evaluators for any legislative or legal input required or direction given in the conduct of the information security audit or risk assessment.
• General Assessment
De experts of auditors controleren niet alleen de beveiligingsstructuur, maar ook de financiële, juridische en andere aspecten van de informatiebeveiliging. In deze fase bedenken, identificeren en noteren de experts of auditors alles wat wordt waargenomen dat behoort tot de verplichte openbaarmakingscriteria van het beveiligingsbeleid en ander beleid van de organisatie en ook eventuele hiaten in de beveiliging.
• Onderzoek & herbeoordeling
Deskundigen of auditors die gespecialiseerd zijn in IT-beveiligingsaudits voeren onderzoek en herbeoordeling uit tijdens elke reeks audits of enquêtes. Zij verwijzen op systematische wijze naar de bevindingen en Index of Compliance uitvoerende partijen.