Ábendingar

Reynslan sýnir að eftirfarandi atriði skipta miklu máli þegar fyrirtæki eru að huga að ÍST ISO/IEC17799:

• Yfirstjórn er endanlega ábyrg fyrir öryggi upplýsinga, sérstaklega hvað lagaleg skilyrði áhrærir. Skuldbinding hjá æðstu stjórnendum er nauðsynleg ef nást á árangur í öryggisátaki innan fyrirtækisins;
• ÍST ISO/IEC17799 nær til upplýsingaöryggis, ekki bara öryggis upplýsingakerfa og því er nauðsynlegt að skoða þessi mál með rekstur fyrirtækisins í huga, en ekki bara innan upplýsingatæknideildar, þó að sjálfsögðu muni ráðstafanir til að efla upplýsingaöryggi hafa mikil áhrif á kerfi.
• Víðtæk áhættugreining, lykil krafa í ÍST ISO/IEC17799, mun gera fyrirtækjum kleift að tilgreina viðeigandi öryggisviðmið og réttlæta að öðrum sé sleppt sem annars hefðu verið tekin með.
• Í nothæfisyfirlýsingu þarf að tiltaka hvaða öryggisviðmið komu út úr áhættugreiningunni og þannig afmarka þau kerfi sem falla undir öryggisstjórnunina.
• Búa þarf til nákvæman lista yfir þær (upplýsinga-)eignir sem vernda á, með því að biðja stjórnendur um að tilgreina þær upplýsingar sem notaðar eru í rekstri fyrirtækisins og tengja þær síðan við þau kerfi/aðferðir sem notaðar eru til að varðveita, vinna úr eða á annan hátt notað til að nálgast upplýsingarnar. Aðferðir sem notaðar eru við geymslu, meðhöndlun og merkingu þarf að fara yfir og endurskoða eftir þörfum;
• Algengt er að fyrirtæki innleiði gæða- og öryggisstjórnun í orði en ekki borði. En, til að fá vottun, þurfa fyrirtæki að sýna fram á að öryggisreglur eru ekki bara til, heldur er þeim framfylgt.
• Fyrirtæki verða að finna jafnvægið milli ólíkra öryggisþátta, svo sem ytra öryggi, verkferla, tæknilegs öryggis og öryggis starfsmanna, og taka tillit til starfsvenja/andrúmsloft/kúltúrs þegar reglur eru valdar. Að finna þetta jafnvægi er ákaflega erfitt, þegar herða á öryggiskröfur og því gott að leita til fagfólks. Það getur haft ófyrirséðar afleiðingar í för með sér, ef rögn viðmið/reglur eru valin. Bæði geta þau verið of kostnaðarsöm og eins haft skaðleg áhrif á öryggis, þar sem þau hvetja starfsmenn til að sniðganga þau.