|
Implementacija ISMS prema normi ISO27001:2005 u organizaciju ima dvije faze. U prvoj fazi koja ovog trenutka nije od posebnog značaja, management donosi stratešku odluku da se ide u taj projekt, odnosno osigurava punu podršku za implementaciju.
Druga faza implementacije ima nekoliko koraka. Ti koraci su: određivanje opsega i granice ISMS, definiranje politike ISMS, evidencija imovine (za čuvanje, prijenos i obradu informacija), procjena rizika, donošenje dokumenta „Izjava o prihvatljivosti“ (SoA), prihvaćanje i odobrenje uprave, priprema dokumentacije, implementacija ISMS, planiranje i provođenje treninga i podizanja svjesnosti, izrada procedura za upravljanje incidentima i kontinuitetom poslovanja, provođenje monitoringa (pregleda i testiranja), audit, te identifikacija i implementacija poboljšanja.
Treba odmah reći da je standard ISO27001:2005 harmoniziran sa standardom ISO9001:2000, što omogućava integraciju, ali implicira da sve što se nalazi u nekim poglavljiva ISO9001:2000 mora se isto primjeniti i u implementaciji standarda ISO27001:2005. To su npr. procesni pristup, PDCA krug, osnovnih 6 managerskih postupaka za upravljanje, itd. Kada se ti zahtjevi primjene na projekt implementacije ISMS može se pokazati da vremenski dijagram realizacije ima oblik kao na slici.
Ključni dokument koji se u cijelom projektu implementacije koristi kao temelj za donošenje odluke uprave o konačnom prihvaćanju strukture ISMS je „Izjava o prihvatljivosti“ (SoA - Statement of Applicatibility). Kroz taj dokument se točno definira šta sve treba od kontrola primjeniti u organizaciji da bi se uspostavio željeni ISMS. U koliko se kontrola ne primjenjuje tada se mora u dokumentu SoA detaljno navesti razlog zašto se ta kontrola ne koristiu okviru konkretnog ISMS.
Osnov za definiranje dokumenta SoA su sigurnosna politika organizacije, definirana na početku, te u skladu s njom izvršena procjena rizika. To drugim riječima znači, da rezultati procjene rizika na imovini određuju sve kriterije za bilo kakve potrebne kontrole i aktivnosti vezane za uspostavu ISMS.  |
