ISO 27001 第 5 條：關注領導力、承諾、責任與資訊安全政策

第5.1條－領導力與承諾

領導力和堅定不移的承諾是資訊安全管理系統 (ISMS) 成功的關鍵。根據我們的經驗，ISMS 失敗的主要原因往往在於缺乏領導力和承諾。當領導者缺乏責任感時，系統的完整性就會減弱，員工可能會採取變通方法，從而使整個系統面臨風險。管理階層必須展現強大的領導力和對資訊安全的堅定承諾，才能有效保障 ISMS 的安全。

一旦確立了承諾，就要積極展現領導力，讓員工了解資訊安全，包括 IT 相關方面以及更廣泛的安全主題，例如建築安全、桌面清潔、白板使用、辦公室鑰匙管理、與承包商的安全以及與客戶的討論。

資訊安全管理系統 (ISMS) 的最佳領導風格包括

1. 公開透明：向所有員工清楚解釋資訊安全管理體系，以保持流程透明。
2. 令人鼓舞：邀請員工參與資訊安全管理系統的創建、建立、實施和監控。
3. 包容性：允許每個人在資訊安全管理系統相關事宜上發表意見。
4. 聆聽：傾聽並考慮員工的不同觀點。
5. 學習：鼓勵員工從錯誤中學習，同時考慮相關風險。

為啟動此流程，請與您的團隊召開會議，說明資訊安全管理系統 (ISMS) 在業務中的作用、它與其他管理系統（例如 ISO 9001）的關係，以及現有流程如何與之協調一致。明確員工在 ISMS 中的角色，闡述公司獲得 ISO 27001 認證的目標，並確保員工全面理解公司對資訊安全的承諾。

重點總結

1. 與高階主管討論資訊安全問題，以確定最佳的領導方式。
2. 追究管理階層向組織傳達資訊安全管理系統的責任。
3. 確保所有員工都接受過培訓，並了解自己在資訊安全管理系統中的角色。
4. 讓所有員工參與資訊安全管理系統的有效實施。

第 5.2 條 - 資訊安全政策

資訊安全管理系統 (ISMS) 的核心是資訊安全政策，該政策在第 5.2 條中有所闡述，是確保系統成功的關鍵基礎文件。該政策由高階管理層制定，與組織的宗旨和實際情況相符，為資訊安全目標和策略方向提供了清晰的願景。

政策是文件層級的頂端，它塑造了目標、高層程序、表格、記錄和詳細的標準作業程序 (SOP)。政策執行不力會危及整個資訊安全管理系統 (ISMS) 的有效性。

常見的陷阱和應對策略包括：

• 複雜：政策要簡潔明了，避免造成混淆。
• 流程與政策：確保政策始終是一份指導性文件，而不是一份程序手冊。
• 溝通：在組織內部宣傳該政策，並確保管理層的全力支持。
• 員工參與：徵求全體員工的意見，以提高員工敬業度並培養共同願景。

政策定稿後，管理階層必須將其清楚傳達給員工，並確保員工能夠輕鬆取得。首先，可以與員工坐下來一起仔細閱讀最終政策，以確保所有人的理解正確且一致。之後，即可將文件上傳至文件管理系統，讓員工隨時查閱。

重點總結

政策部分的主要內容如下：

• 政策無需過於複雜，簡潔至上。
• 這項政策需要在組織內部溝通、理解和執行。
• 管理階層需要展現對政策的承諾，並成為下屬員工的榜樣。
• 組織各個層級都需要展現承諾。

第5.3條：角色、職責與權限

ISO 27001 標準第 5.3 條非常強調資訊安全管理系統 (ISMS) 中角色、職責和權限的清晰度。 ISMS 的成功取決於是否能在整個組織內有效地溝通這些面向。

明確角色和職責至關重要。清楚界定權限和責任能夠確保資訊安全管理系統（ISMS）順暢運作。雖然這條款看似簡單明了，但一旦出錯，就可能導致方向不明，進而危及整個系統。

高階管理者的領導力對於實現資訊安全管理系統（ISMS）的預期成果至關重要。為實現這一目標，必須將以下關鍵要素傳達給所有團隊成員：

1. 組織結構：清晰闡述組織架構。
2. 報告關係：建立透明的報告機制。
3. 個人職位職責：明確工作角色、職責、目標和預期成果。
4. 資訊安全的重要性：強調保護資訊安全的重要性。
5. 責任與權限的分配：任命合適的員工負責維護資訊安全管理系統。
6. 確保流程輸出：驗證流程是否產生預期結果。

對於結構簡單的組織而言，組織結構圖可以有效地展現組織內部的關係。一旦確定了組織結構和報告關係，請務必確保每位員工都全面了解自己的工作職責。這需要提供書面和口頭兩種形式的詳細說明，避免依賴單一的溝通方式。花時間與員工討論具體的職位職責，明確工作內容，並確保目標與組織架構保持一致。

此外，應向員工提供所有必要的ISMS信息，並提供必要的培訓。這可以確保員工能夠按照ISMS要求履行職責。

員工對同事職位職責的了解程度常常被忽略。制定一份「職位職責流程」文件有助於傳達這些訊息，清楚概述各個職位及其相關職責。口頭和書面溝通對於有效傳播至關重要。

重點總結

1. 清晰的溝通是關鍵：
   • 確保每個人都了解自己的角色和職責，從而促進有效溝通。
   • 以口頭和書面傳達員工職位職責。
2. 主動維護資訊安全：
   • 團隊成員應在日常工作中積極優先考慮資訊安全。
3. 高階管理者的責任：
   • 將資訊安全管理系統的權限和責任分配給有能力的員工。
   • 傳達資訊安全的重要性以及組織的願景、使命、政策和目標。
   • 在計劃變更期間保持系統的完整性。
   • 儲存一份重要文件清單。
   • 確保流程達到預期結果。
   • 報告資訊安全管理系統（ISMS）的執行情況和改進機會。

• 查看本系列的前一篇： ISO 27001 的基礎：實施第 4 條以確保資訊安全成功。
• 查看本系列下一篇：風險、機會、目標和計劃：實施 ISO 27001 第 6 條的技巧。