導入ISO 27001 ISMS資訊安全管理系統－以醫療院所核心資料庫安全性的策略和方法為例

林玉山

《電腦稽核》 22期 (2010/07) Pp. 90-102

https://doi.org/10.30007/JICTA.201007.0007

摘要

隨著資訊科技的發展，導入管理規範以提昇組織效率與競爭力已經是全球的趨勢。近年來，全球資訊安全事件不斷發生，為保護組織內部資訊相關資產並保持組織正常運作，導入資訊安全管理系統（Information Security Management System，簡稱ISMS）是一套可有效進行控制與管理之方法。國際問建構資訊安全管理系統通常採用ISO 27001資訊安全管理規範為標準，以此標準來管理組織內部資訊的運用、資訊硬體的安全以及資訊使用者的控管，以達成資訊資產的「機密性」、「完整性」及「可用性」。
本研究以個案研究方式，針對一個正以ISO 27001標準導入資訊安全管理系統的醫院進行實作規劃，探討其組織特質及資訊安全管理政策；並以該個案為參考，來適切地規劃區域級教學醫院之資料庫安全性策略及方法，以明確得知其管理目標及稽核方向。本研究期許，藉由質化的分析導入工作得到下列結論：1、核心資料庫業務之執行符合相關法規及確保病人資料安全品質及促進醫病關係。2、機敏性資訊業務及內部控制機制符合相關規範及資訊安全控管機制。

關鍵字

ISO 27001 ； ISMS ； 資訊安全管理系統

並列摘要

As the information technology prevail. Global trend, to import management methods to improve organizational efficiency and competitiveness is very important. In recent years, security incidents continue to occur, for the protection of information assets within maintain the computer operation, information security management system (ISMS) Is a set of effective control and management methods. Commonly it used ISO standard call ”ISO 27001”, for the organization to use of information, hardware, users and assets to achieve ”confidential” ”Integrity” and ”availability”
This case-study is use a implement information security management system (ISO 27001) hospital. To analysis its organizational characteristics, policy, implement plan, with to appropriate cut a sub area teaching Hospital how to plan database security strategies and methods of mechanism clearly the management objectives and audit.
1. Ensure the implementation of core database operations to compliance with the relevant regulations and safety of data quality and promote the doctor-patient relationship
2. Ensure that the sensitive data internal control mechanisms for compliance the ISMS control mechanism