TIÊU CHUẨN QUỐC GIA

TCVN 11779:2017

ISO/IEC 27007:2011

CÔNG NGHỆ THÔNG TIN - CÁC KỸ THUẬT AN TOÀN - HƯỚNG DẪN ĐÁNH GIÁ HỆ THỐNG QUẢN LÝ AN TOÀN THÔNG TIN

Information technology - Security techniques - Guidelines for information security management systems auditing

Lời nói đầu

TCVN 11779:2017 hoàn toàn tương đương với ISO/IEC 27007:2011.

TCVN 11779:2017 do Học viện Công nghệ Bưu chính Viễn thông (và Trung tâm ứng cứu khẩn cấp máy tính Việt Nam biên soạn, Bộ Thông tin và Truyền thông đề nghị, Tổng cục Tiêu chuẩn Đo lường Chất lượng thẩm định, Bộ Khoa học và Công nghệ công bố.

Lời giới thiệu

Tiêu chuẩn này cung cấp hướng dẫn quản lý một chương trình đánh giá hệ thống quản lý an toàn thông tin (ISMS) và thực hiện đánh giá nội bộ và đánh giá bên ngoài theo yêu cầu của TCVN ISO/IEC 27001:2009. Các hướng dẫn về năng lực và đánh giá năng lực của chuyên gia đánh giá ISMS và được sử dụng kết hợp với những hướng dẫn trong TCVN ISO 19011:2013. Tiêu chuẩn này không phải là tiêu chuẩn thuộc nhóm các tiêu chuẩn về yêu cầu trong bộ 27000 về quản lý an toàn thông tin.

Hướng dẫn trong tiêu chuẩn này có thể áp dụng có tất cả người dùng trong các cơ quan, tổ chức doanh nghiệp vừa và nhỏ có hệ thống quản lý an toàn thông tin.

Tiêu chuẩn TCVN ISO 19011:2013, "Hướng dẫn đánh giá hệ thống quản lý" cung cấp hướng dẫn về quản lý chương trình đánh giá, thực hiện đánh giá nội bộ và đánh giá bên ngoài đối với hệ thống quản lý, đưa ra yêu cầu về năng lực và đánh giá năng lực của chuyên gia đánh giá hệ thống quản lý.

Tiêu chuẩn này cũng có cấu trúc giống với cấu trúc của tiêu chuẩn TCVN ISO 19011:2013 và bổ sung thêm các hướng dẫn cụ thể về đánh giá hệ thống quản lý an toàn thông tin (ISMS) và được nhận biết bởi cụm từ "IS".

CÔNG NGHỆ THÔNG TIN - CÁC KỸ THUẬT AN TOÀN - HƯỚNG DẪN ĐÁNH GIÁ HỆ THỐNG QUẢN LÝ AN TOÀN THÔNG TIN

Information technology - Security techniques - Guidelines for Information security management systems auditing

1  Phạm vi áp dụng

Tiêu chuẩn này đưa ra các hướng dẫn quản lý chương trình đánh giá hệ thống quản lý an toàn thông tin (ISMS), thực hiện đánh giá năng lực của chuyên gia đánh giá ISMS, bổ sung các hướng dẫn trong TCVN ISO 19011:2013.

Tiêu chuẩn này có thể áp dụng cho các đối tượng cần phải hiểu hoặc tiến hành đánh giá nội bộ hoặc đánh giá bên ngoài cho ISMS hoặc để quản lý chương trình đánh giá ISMS.

2  Tài liệu viện dẫn

Các tài liệu viện dẫn sau đây là cần thiết để áp dụng tiêu chuẩn này. Đối với các tài liệu viện dẫn ghi năm công bố thì áp dụng phiên bản được nêu. Đối với các tài liệu viện dẫn không ghi năm công bố thì áp dụng phiên bản mới nhất (bao gồm cả các sửa đổi, bổ sung).

TCVN ISO 19011:2013 (ISO/IEC 19011:2011), Hướng dẫn đánh giá hệ thống quản lý.

TCVN ISO/IEC 27001:2009 (ISO/IEC 27001:2005), Công nghệ thông tin - Các kỹ thuật an toàn - Hệ thống quản lý an toàn thông tin - Các yêu cầu.

TCVN 11238:2015 (ISO/IEC 27000:2014), Công nghệ thông tin - Các kỹ thuật an toàn - Hệ thống quản lý an toàn thông tin - Tổng quan và từ vựng.

3  Thuật ngữ và định nghĩa

Tiêu chuẩn này áp dụng các thuật ngữ và định nghĩa trong tiêu chuẩn TCVN ISO 19011:2013 và TCVN 11238:2015.

4  Nguyên tắc đánh giá

Nguyên tắc đánh giá áp dụng theo Điều 4 của tiêu chuẩn TCVN ISO 19011:2013.

5  Quản lý chương trình đánh giá

5.1  Khái quát

Áp dụng hướng dẫn theo 5.1 của tiêu chuẩn TCVN ISO 19011:2013. Thêm