2. Is electronic information adequa

2. Is electronic information adequately safeguarded?


Key finding The Government is not able to provide assurance that agencies are adequately safeguarding the sensitive private information they hold. The GCIO does not have current and reliable information on how well individual agencies are safeguarding private information. That
information which is available suggests most agencies have not complied
with the Government‟s policy. Government needs to reform the overall
arrangements within which agencies manage information security.

The Government’s current policy

The Government‟s current policy objective is outlined in Ministerial Memorandum 2007-04 Security of Electronic Information issued by the then Premier in 2007:

“The Government has a duty to safeguard its large information holdings and must provide credible assurance that it is doing so.”

M2007-04 also outlines the means by which the policy was to be achieved. It says that all agencies that process, hold or use electronic information or data were to, as soon as possible:

• establish and maintain an agency wide Information Security Management System that complies with the international standard (ISO/IOC 27001) and covers all electronic information; and
• gain and maintain certified compliance to the standard (ISO/IOC
27001) of the main part(s) of their Information Security Management
System by an accredited certifier.

Exhibit 6: The international standard - ISO/IEC 27001

ISO/IEC 27001 is the auditable international standard which defines the requirements for an Information Security Management System (ISMS).
The standard is designed to ensure the selection of adequate and proportionate security controls. It adopts a process approach for establishing, implementing, operating, monitoring, reviewing, maintaining, and improving the ISMS.
This helps organisations protect their information assets and give confidence to interested parties. Certifying against ISO/IEC 27001:
• provides independent assurance of the adequacy of internal controls and that risks are identified, assessed and managed
• helps organisations to continually monitor performance and improve
• demonstrates an organisations commitment to the security of its information.

Source:http://www.bsigroup.com.au/en-au/Assessment-and-Certification- services/Management-systems/Standards-and-schemes/ISOIEC-27001/

Further, the memorandum says:

• certification is to cover information about identifiable members of the public
• the GCIO is to survey security status annually, and report the result to
Cabinet.



The policy is not being implemented properly

We found that the GCIO conducted an online survey in late 2007.


Exhibit 7: Key results of 2007 GCIO survey

Ninety-seven agencies responded to the 2007 GCIO survey. Of these agencies:

• 26 had part of their ISMS certified to the national standard

• 20 planned to get part of their ISMS certified in 2008

• 6 more planned to get part of their ISMS certified by 2010.

In 2007, one more agency was certified (that is, 27 in total) but did not complete the GCIO survey.


Source: GCIO 2009


We also found that GCIO:

• did not report the results to Cabinet

• has not conducted any further surveys, and has no plans to do so.

The certifying bodies publish registers of certified organisations on-line. These show that about one-third of NSW agencies have at least part of their Information Security Management System currently certified to the international standard.

However, GCIO advises that it cannot:

• attest to the accuracy of this information

• say whether all private information held in these agencies is covered

• advise on the progress made in the remaining two-thirds of agencies towards compliance and certification.

Kết quả (Việt) 1:

2. là thông tin điện tử đầy đủ trò?Họ giữ phím ra chính phủ sẽ không thể để cung cấp bảo đảm rằng các cơ quan đầy đủ bảo vệ thông tin cá nhân nhạy cảm. GCIO không có thông tin hiện tại và đáng tin cậy trên tốt như thế nào các cơ quan cá nhân bảo vệ thông tin cá nhân. Rằngthông tin đó có sẵn cho thấy hầu hết các cơ quan đã không tuân thủvới chính sách Government‟s. Chính phủ cần phải cải cách tổng thểsắp xếp trong đó các cơ quan quản lý an ninh thông tin. Chính sách của chính phủ hiện tại Mục tiêu chính sách hiện tại Government‟s được vạch ra trong bộ biên bản ghi nhớ 2007-04 bảo mật của thông tin điện tử do thủ tướng sau đó trong năm 2007:"Chính phủ có một nhiệm vụ để bảo vệ các tập đoàn lớn thông tin và phải cung cấp đáng tin cậy bảo đảm rằng nó làm như vậy."M2007-04 cũng vạch ra các phương tiện mà các chính sách đã có thể đạt được. Nó nói rằng tất cả các cơ quan xử lý, Giữ hoặc sử dụng thông tin điện tử hoặc dữ liệu, càng sớm càng tốt:• thiết lập và duy trì một cơ quan rộng thông tin bảo mật hệ thống quản lý phù hợp với tiêu chuẩn quốc tế (ISO/IOC 27001) và bao gồm tất cả các thông tin điện tử; và• đạt được và duy trì được chứng nhận phù hợp tiêu chuẩn (ISO/IOC27001) của part(s) chính của quản lý an ninh thông tin của họHệ thống bởi một certifier được công nhận. Triển lãm 6: Tiêu chuẩn quốc tế - tiêu chuẩn ISO/IEC 27001Tiêu chuẩn ISO/IEC 27001 là tiêu chuẩn quốc tế ngôn đó xác định các yêu cầu cho một bảo mật thông tin quản lý hệ thống (ISMS).Các tiêu chuẩn được thiết kế để đảm bảo việc lựa chọn các kiểm soát an ninh đầy đủ và tương ứng. Nó thông qua một quá trình phương pháp tiếp cận để thiết lập, triển khai, hoạt động, giám sát, xem xét, duy trì, và cải thiện các ISMS.Điều này sẽ giúp các tổ chức bảo vệ tài sản thông tin của họ và cung cấp cho sự tự tin để các bên quan tâm. Xác nhận đối với tiêu chuẩn ISO/IEC 27001:• cung cấp độc lập bảo đảm tính đầy đủ của kiểm soát nội bộ và rằng rủi ro được xác định, đánh giá và quản lý• giúp các tổ chức liên tục theo dõi hiệu suất và cải thiện• chứng tỏ một tổ chức cam kết bảo mật thông tin của nó.Nguồn: http://www.bsigroup.com.au/en-au/Assessment-and-Certification-dịch vụ/quản lý-hệ thống/tiêu chuẩn-và-chương trình/ISOIEC-27001 /Hơn nữa, bản ghi nhớ nói:• chứng nhận là để trang trải các thông tin về nhận dạng thành viên của công chúng• GCIO là để khảo sát tình trạng an ninh hàng năm, và báo cáo kết quả choTủ. Chính sách là không được thực hiện đúng cách Chúng tôi thấy rằng GCIO tiến hành một cuộc khảo sát trực tuyến vào cuối năm 2007.Triển lãm 7: Phím kết quả của năm 2007 GCIO khảo sátCác cơ quan 97 trả lời để khảo sát GCIO năm 2007. Của các cơ quan:• 26 có một phần của của ISMS chứng nhận các tiêu chuẩn quốc gia• 20 lên kế hoạch để có được một phần của của ISMS chứng nhận trong năm 2008• Thêm 6 lên kế hoạch để có được một phần của của ISMS chứng nhận vào năm 2010.Trong năm 2007, một cơ quan thêm được chứng nhận (có nghĩa là, 27 trong tổng số) nhưng đã không hoàn tất các cuộc khảo sát GCIO. Nguồn: GCIO 2009Chúng tôi cũng thấy rằng GCIO:• đã không báo cáo các kết quả để nội• không có tiến hành thêm bất kỳ cuộc điều tra, và có kế hoạch để làm như vậy.Các cơ quan xác nhận xuất bản đăng ký của tổ chức chứng nhận trực tuyến. Các hiển thị đó khoảng một phần ba của các cơ quan NSW có ít nhất là một phần của hệ thống quản lý an ninh thông tin hiện nay được chứng nhận tiêu chuẩn quốc tế.Tuy nhiên, GCIO tư vấn cho rằng nó có thể không:• chứng thực để tính chính xác của thông tin này• nói cho dù tất cả các thông tin cá nhân được tổ chức tại các cơ quan này được bảo hiểm• tư vấn về tiến độ thực hiện tại còn lại hai phần ba của các cơ quan đối với việc tuân thủ và chứng nhận.

Kết quả (Việt) 2:

2. Là thông tin điện tử bảo mật thích đáng? Phát hiện chính Chính phủ là không thể cung cấp sự đảm bảo rằng các cơ quan được bảo vệ đầy đủ các thông tin cá nhân nhạy cảm mà họ nắm giữ. Các GCIO không có thông tin hiện tại và tin cậy vào như thế nào cơ quan cá nhân được bảo vệ thông tin cá nhân. Đó là thông tin mà có sẵn cho hầu hết các cơ quan đã không tuân thủ với các chính sách của Chính phủ "s. Chính phủ cần phải cải cách tổng thể sắp xếp trong đó các cơ quan quản lý an ninh thông tin. Chính sách hiện tại của Chính phủ Chính phủ "Mục tiêu chính sách hiện hành được nêu trong Bản ghi nhớ 2007-04 Bộ trưởng An ninh Thông tin điện tử, do đó Premier vào năm 2007:" Chính phủ có nhiệm vụ để bảo vệ thông tin cổ đông và phải cung cấp sự đảm bảo đáng tin cậy rằng nó được làm như vậy. "M2007-04 cũng phác thảo các phương tiện mà chính sách này phải đạt được. Nó nói rằng tất cả các cơ quan quy trình, tổ chức hoặc sử dụng thông tin điện tử hoặc các dữ liệu đã cho, càng sớm càng tốt: • Thiết lập và duy trì một cơ quan hệ thống quản lý an ninh thông tin toàn tuân thủ với các tiêu chuẩn quốc tế (ISO / IOC 27001) và bao gồm tất cả các điện tử các thông tin; và • đạt được và duy trì sự tuân thủ được chứng nhận theo tiêu chuẩn (ISO / IOC 27001) của phần chính (s) Quản lý an ninh thông tin của họ hệ thống của một chứng nhận được công nhận. Bảng 6: Tiêu chuẩn quốc tế - ISO / IEC 27001 ISO / IEC 27001 là các tiêu chuẩn quốc tế có thể kiểm tra trong đó xác định các yêu cầu cho một hệ thống quản lý an ninh thông tin (ISMS). Tiêu chuẩn này được thiết kế để đảm bảo lựa chọn kiểm soát an ninh đầy đủ và tương xứng. Nó sẽ sử dụng một cách tiếp cận quá trình để xác lập, thực hiện, điều hành, giám sát, rà soát, duy trì và cải tiến ISMS. Điều này sẽ giúp các tổ chức bảo vệ tài sản thông tin của họ và sự tin tưởng cho các bên quan tâm. Chứng nhận ISO / IEC 27001: • cung cấp sự bảo đảm độc lập với đầy đủ của kiểm soát nội bộ và rủi ro được xác định, đánh giá và quản lý • giúp các tổ chức liên tục theo dõi hiệu suất và cải thiện • thể hiện một cam kết tổ chức để bảo mật thông tin của mình. Nguồn: http : //www.bsigroup.com.au/en-au/Assessment-and-Certification- dịch vụ / Quản lý hệ thống / Tiêu chuẩn-và-án / ISOIEC-27001 / Hơn nữa, các bản ghi nhớ nói: • chứng nhận là bao gồm thông tin về các thành viên xác định được của công chúng • các GCIO là để khảo sát tình trạng an ninh hàng năm, báo cáo kết quả vào Nội các. Chính sách này không được thực hiện đúng Chúng tôi thấy rằng các GCIO tiến hành một cuộc khảo sát trực tuyến vào cuối năm 2007. Phụ lục 7: Các kết quả chính của năm 2007 GCIO khảo sát Chín mươi bảy cơ quan trả lời khảo sát GCIO 2007. Của các cơ quan: • 26 có một phần của ISMS của họ được chứng nhận tiêu chuẩn quốc gia • 20 kế hoạch để có được một phần của ISMS của họ được chứng nhận trong năm 2008 • 6 nhiều kế hoạch để có được một phần của ISMS của họ được chứng nhận vào năm 2010. Trong năm 2007, một trong nhiều cơ quan đã được chứng nhận (có nghĩa là, 27 trong tổng số) nhưng đã không hoàn thành khảo sát GCIO. Nguồn: GCIO 2009 Chúng tôi cũng thấy rằng GCIO: • đã không báo cáo kết quả với nội • đã không thực hiện bất kỳ cuộc điều tra sâu hơn, và không có kế hoạch để làm như vậy. Các cơ quan xác nhận đăng ký xuất bản của các tổ chức chứng nhận trên mạng. Những chỉ ra rằng khoảng một phần ba của các cơ quan NSW có ít nhất một phần của hệ thống quản lý an ninh thông tin của họ hiện chứng nhận theo tiêu chuẩn quốc tế. Tuy nhiên, GCIO khuyên rằng nó không thể: • chứng cho tính chính xác của thông tin này • nói cho dù tất cả các thông tin cá nhân tổ chức trong các cơ quan này được bao phủ • tư vấn về các tiến bộ đạt được trong còn lại hai phần ba của các cơ quan đối với việc tuân thủ và chứng nhận.