Information security management system and information security risk management methodology development

Abstract

Bilgi güvenliği, iş risklerini azaltarak, yatırım geri dönüşlerini ve iş fırsatlarından faydalanmayı maksimize ederek, iş sürekliliğini sağlamak için bilgilerin tehditlerden korunması anlamına gelmektedir. Stratejik açıdan, iş sürekliliğini sağlamak için çok önemli olan bilgilerin gizliliği, bütünlüğü ve erişilebilirliği etkin bir bilgi güvenliği yönetim sistemi ile temin edilmelidir.Günümüz dünyasında, bilgiler gittikçe artan sayıda tehdide maruz kalmaktadır. Bu nedenle, bilgi güvenliğinin temin edilmesi günümüzün birbirine bağlı iş ortamları için hayati öneme sahiptir. Bilgi güvenliği politikaları, güvenilir bir bilgi güvenliği sisteminin temelidir ve kuruluşun bilgi sistemi (BS) kaynaklarını ve verilerini korumak açısından kritik bir öneme sahiptir. ISO 27001: 2005, bilgi güvenliği yönetim sistemi (BGYS) oluşturmak, uygulamak, işletmek, izlemek, sürdürmek ve geliştirmek için yaygın olarak kabul edilen bir bilgi güvenliği yönetim kılavuzu niteliği taşır. Bu standart her türlü kuruluşun kullanımı için uygun olmasına rağmen, işletmelerin bilgi güvenliğini uygulayabilmesini ve etkin şekilde yönetmesini sağlayacak kapsamlı bir çerçeve, destekleyici süreç modeli ve metodoloji sunmamaktadır. Dolayısıyla, bu çalışmanın amacı bir ilaç firmasının bilgi güvenliği yönetim sistemini incelemek ve bilgi güvenliği yönetiminin diğer kurumsal iş süreçleri ile entegrasyonunu sağlamak üzere uygun bir çerçeve ve metodoloji geliştirmektir.

Information security is the protection of information from threats in order to ensure business continuity by reducing business risks, and maximizing return on investments and business opportunities. In strategic terms, the confidentiality, integrity and availability of crucial information must be provided via an effective information security management system to ensure business continuity.In today's world, information is exposed to a growing number of threats. Thus, ensuring the information security is vital for today's interconnected business environment. Information security policies are the basis for a reliable information security system and are critical to protect the organisation's Information System (IS) resources and data. ISO 27001:2005 provides a widely-accepted information security management guideline for establishing, implementing, operating, monitoring, maintaining and improving an information security management system (ISMS). Although it is suitable for all kinds of organizations there is a lack of a comprehensive framework, supporting process model, and methodology that can enable an enterprise to implement and effectively manage information security. Thus, the purpose of this study is to examine a pharmaceutical firm's information security management system, and to develop an appropriate framework and methodology to ensure integration of information security management with other enterprise business processes.