Impact of regulations ISO 27001 and SOX on information security management in enterprises

Práce má analytický charakter a zaobírá se problematikou bezpečnosti informací v podnicích. Jejím hlavním cílem je vyhodnotit, jaký vliv má zavedení normy ISO/IEC 27001 a regulace americkým zákonem SOX na celkovou bezpečnost informací v podniku. Na analýzu bezpečnosti byly vybrány dvě středně velké firmy ze segmentu služeb: jedna s certifikací ISO/IEC 27001 a druhá regulovaná zákonem SOX. Struktura práce je sestavena tak, aby postupnými kroky přispívala k naplnění daného cíle. Úvodní tři kapitoly poskytují teoretické východisko pro analýzu bezpečnosti. Obsahují souhrn klíčových procesů a nástrojů důležitých pro zajištění bezpečnosti a vychází z best practice stanovených v rámci nejnovějších norem a metodik a ze zkušeností z praxe. Na základě nich je v další kapitole vytvořen hodnotící systém, který obsahuje skupiny kritérií a k nim definované varianty zabezpečení, které mohou společnosti využívat. Samotná analýza bezpečnosti informací a vlivu regulací na bezpečnost je provedena v páté kapitole této práce. Šestá kapitola obsahuje shrnutí dané problematiky a vyhodnocení dosažených cílů.

The master thesis has analytical character and focuses on information security issues in enterprises. The mail goal of this thesis is to evaluate the impact of implemented standard ISO/IEC 27001 and regulation by American law SOX to overall information security. In order to preform the analysis, two medium-sized companies from the segment of services were selected: the first one with ISO/IEC 27001 certification and the second one regulated by SOX. The structure of the thesis contributes gradually with its steps to meet the goal. The first three chapters provide a theoretical basis for the analysis of information security. They contain a summary of key processes and tools essential for ensuring the information security and are based on the best practices included within the latest standards and methodologies and on practical experience. These chapters provide the basis for an evaluation guidance including criteria groups and defined variants of implemented security, which is described in the fourth chapter. The analysis of information security and the impact of regulations is part of the fifth chapter of this document. The sixth chapter contains final assessment and comparison of the impact, which the regulations have on information security of the selected companies. The final chapter summarizes and evaluates the results achieved with regards to the goal.