Soveltuvuuslausunnon luonti ja täydennys

Critical
High
Normal
Low

Soveltuvuuslausunto (engl. Statement of Applicability tai SoA) on keskeinen dokumentti joka määrittelee, kuinka organisaatio toteuttaa ison osan omasta tietoturvastaan.

Sovelutuvuuslausunto kuvaa, mitkä ISO 27001 -standardin suosittelemista hallintakeinosta organisaatiossa toteutetaan, kuinka ne toteutetaan ja mikä on hallintakeinojen tämänhetkinen tila. Lisäksi kuvataan mahdolliset perustelut tiettyjen hallintakeinojen käyttämättä jättämiselle.

Liittyvät muut vaatimuskehikot ja vaatimukset:
6.1: Tietoturvariskien hallinta
ISO 27001
7.5: Dokumentoitua tietoa koskevat vaatimukset
ISO 27001

Riskienhallinnan menettelykuvaus -raportin julkaisu ja ylläpito

Critical
High
Normal
Low

Organisaatio on määritellyt menettelyt tietoturvariskien arviointiin ja käsittelyyn. Määrittely sisältää ainakin:

  • Riskien tunnistamistavat
  • Tietoturvariskien analysoinnin menetelmät
  • Tietoturvariskien arvioinnin kriteerit (seuraukset ja todennäköisyys)
  • Riskien priorisointi ja käsittelyvaihtoehtojen sekä hallintakeinojen määrittely
  • Riskien hyväksymiskriteerit
  • Prosessin toteutussykli, resursointi ja vastuut

Tehtävän omistaja tarkistaa säännöllisesti, että riskikriteerit ovat selkeitä ja tuottavat johdonmukaisia arvioita.

Liittyvät muut vaatimuskehikot ja vaatimukset:
T04: Turvallisuusriskien hallinta
Katakri
5.1.1: Policies for information security
ISO 27001

Tietoturvariskien tunnistaminen ja dokumentointi

Critical
High
Normal
Low

Organisaatio pyrkii ennakoivasti listaamaan ja arvioimaan erilaisten tietoturvariskien todennäköisyyttä ja vakavuutta. Dokumentaatio sisältää seuraavat asiat:

  • Riskin kuvaus
  • Riskin vakavuus ja todennäköisyys
  • Riskiä hallitsevat ohjeet ja hallintatehtävät
  • Riskin hyväksyttävyys
Liittyvät muut vaatimuskehikot ja vaatimukset:
T04: Turvallisuusriskien hallinta
Katakri
4 luku, 13 §: Tietoaineistojen ja tietojärjestelmien tietoturvallisuus
TiHL

Organisaation hyväksymä riskitaso

Critical
High
Normal
Low

Organisaation täytyy määrittää hyväksyttävä taso riskeille. Taso lasketaan riskien todennäköisyyden, vakavuuden ja hallintakeinojen pohjalta.

Liittyvät muut vaatimuskehikot ja vaatimukset:
ID.RM-2: Risk tolerance
NIST
ID.RM-3: Informing of risk tolerance
NIST
No items found.