Πιστοποίηση ISO 27001: δημιουργήστε ένα ΣΔΑΠ που διαρκεί

Ένας πελάτης ζητά το πιστοποιητικό ISO 27001 σας. Η εμπορική προθεσμία είναι σαφής· η εργασία υλοποίησης ίσως όχι. Η πρώτη απόφαση της διοίκησης είναι αν θα οικοδομήσει ένα σύστημα διαχείρισης ασφάλειας που η επιχείρηση μπορεί να συντηρεί ή αν θα οργανώσει ένα προσωρινό έργο γύρω από μια ημερομηνία ελέγχου.

Ένα χρήσιμο σχέδιο πιστοποίησης ξεκινά με τον ορισμό του συστήματος που πρέπει να λειτουργείτε και στη συνέχεια οργανώνει τα τεκμήρια που το αποδεικνύουν. Αυτό σημαίνει να αποφασίσετε ποιες υπηρεσίες πρέπει να καλύπτει το πιστοποιητικό, ποιος μπορεί να εγκρίνει αποφάσεις για κινδύνους, ποιους πόρους χρειάζονται οι κάτοχοι των μέτρων ελέγχου και πώς θα γνωρίζει η διοίκηση αν τα μέτρα ελέγχου λειτουργούν.

Το πιστοποιητικό είναι ένα σημαντικό παραδοτέο. Το διαρκές επιχειρηματικό περιουσιακό στοιχείο είναι ένα σύστημα διαχείρισης ασφάλειας πληροφοριών, ή ΣΔΑΠ, που παραμένει χρήσιμο όταν φεύγουν εργαζόμενοι, αλλάζουν προμηθευτές, κυκλοφορούν νέα προϊόντα και οι πελάτες θέτουν δυσκολότερα ερωτήματα.

Τι πραγματικά τεκμηριώνει η πιστοποίηση ISO 27001

Το ISO/IEC 27001 καθορίζει απαιτήσεις για τη θέσπιση, την εφαρμογή, τη διατήρηση και τη συνεχή βελτίωση ενός ΣΔΑΠ. Σκοπός του είναι η διαχείριση των κινδύνων για την εμπιστευτικότητα, την ακεραιότητα και τη διαθεσιμότητα των πληροφοριών στο πλαίσιο του οργανισμού.

Η εμπιστευτικότητα αφορά την ακατάλληλη αποκάλυψη, για παράδειγμα όταν αρχεία πελατών γίνονται προσβάσιμα σε μη εξουσιοδοτημένους χρήστες. Η ακεραιότητα αφορά ανακριβείς ή μη εξουσιοδοτημένες αλλαγές, για παράδειγμα όταν κάποιος τροποποιεί εντολές πληρωμής. Η διαθεσιμότητα αφορά την πρόσβαση όταν χρειάζεται, για παράδειγμα την αποκατάσταση μιας σημαντικής υπηρεσίας μετά από αστοχία υποδομής.

Η πιστοποίηση αφορά αυτό το σύστημα διαχείρισης εντός του δηλωμένου πεδίου εφαρμογής του. Δεν εγγυάται ότι κάθε προϊόν είναι απαλλαγμένο από ευπάθειες, ότι δεν μπορούν να συμβούν περιστατικά ή ότι έχει αξιολογηθεί κάθε επιχειρηματική μονάδα. Ένα πιστοποιητικό που καλύπτει μία διαχειριζόμενη υπηρεσία δεν πρέπει να παρουσιάζεται ως διασφάλιση για ένα άσχετο προϊόν.

Οι ISO και IEC δημοσιεύουν το πρότυπο· δεν πιστοποιούν τον οργανισμό σας. Ένας ανεξάρτητος φορέας πιστοποίησης διενεργεί την αξιολόγηση και λαμβάνει την απόφαση πιστοποίησης. Για τη διασφάλιση των πελατών, μια πρακτική σύσταση είναι να επιλέξετε φορέα διαπιστευμένο για τη σχετική δραστηριότητα πιστοποίησης ΣΔΑΠ και να επιβεβαιώσετε ότι η πιστοποίησή του θα ικανοποιεί τις απαιτήσεις των αγοραστών.

Σημασία έχει επίσης η διάκριση μεταξύ συμμόρφωσης και πιστοποίησης. Ένας οργανισμός μπορεί να εφαρμόσει ένα ΣΔΑΠ που πληροί το πρότυπο χωρίς να επιδιώξει εξωτερική πιστοποίηση. Η πιστοποίηση προσθέτει ανεξάρτητη αξιολόγηση και ένα επίσημο πιστοποιητικό. Η αγορά λογισμικού, η πρόσληψη ενός καταρτισμένου υλοποιητή ή η ολοκλήρωση ενός εκπαιδευτικού προγράμματος δεν παρέχουν πιστοποίηση στον οργανισμό.

Αποφασίστε αν η πιστοποίηση λύνει το επιχειρηματικό πρόβλημα

Η πιστοποίηση είναι ιδιαίτερα σημαντική όταν απαιτήσεις προμηθειών, συμβατικές δεσμεύσεις, ευαίσθητες πληροφορίες ή λειτουργικές εξαρτήσεις δικαιολογούν ανεξάρτητη διασφάλιση. Δεν αποτελεί καθολική νομική υποχρέωση για κάθε επιχείρηση.

Πριν δεσμευτείτε, ζητήστε από τις ομάδες πωλήσεων και διαχείρισης πελατών να προσδιορίσουν την πραγματική απαίτηση. Απαιτεί ο αγοραστής πιστοποιητικό πριν από την υπογραφή της σύμβασης, πριν από την πρόσβαση στην παραγωγή ή κατά την ανανέωση; Πρέπει να καλύπτει μια συγκεκριμένη υπηρεσία ή νομική οντότητα; Θα εξακολουθεί ο αγοραστής να απαιτεί ερωτηματολόγιο ασφάλειας, εκθέσεις δοκιμών ή πρόσθετα συμβατικά μέτρα ελέγχου;

Οι απαντήσεις αυτές επηρεάζουν τις προτεραιότητες επένδυσης. Ένα πιστοποιητικό μπορεί να στηρίξει τις προμήθειες, αλλά δεν εξαλείφει κάθε δέουσα επιμέλεια. Αποφύγετε να προβλέπετε έσοδα με την παραδοχή ότι η πιστοποίηση ολοκληρώνει αυτομάτως τον έλεγχο ασφάλειας κάθε πελάτη.

Διαχωρίστε την πιστοποίηση από την κανονιστική ανάλυση. Ένα ΣΔΑΠ μπορεί να στηρίξει τεκμήρια και διακυβέρνηση που σχετίζονται με άλλες υποχρεώσεις, αλλά η πιστοποίηση δεν τεκμηριώνει συμμόρφωση με τον ΓΚΠΔ ή την NIS2. Τα καθεστώτα αυτά έχουν τους δικούς τους κανόνες εφαρμογής και τις δικές τους υποχρεώσεις. Η NIS2 εφαρμόζεται μέσω εθνικού δικαίου· οι υποχρεώσεις του ΓΚΠΔ εξαρτώνται από τις δραστηριότητες επεξεργασίας και τους ρόλους του οργανισμού.

Η τεκμηρίωση προς τη διοίκηση πρέπει επομένως να προσδιορίζει τρία πράγματα: τη διασφάλιση που χρειάζονται οι πελάτες, τους κινδύνους πληροφοριών που πρέπει να διαχειρίζεται η επιχείρηση και το συνεχές λειτουργικό κόστος. Εγκρίνετε το πρόγραμμα σε αυτή τη βάση και όχι με βάση την υπόσχεση ενός πιστοποιητικού έως μια αυθαίρετη ημερομηνία.

Ορίστε ένα πεδίο εφαρμογής που οι πελάτες μπορούν να κατανοήσουν

Το πεδίο εφαρμογής περιγράφει τα όρια και την εφαρμοσιμότητα του ΣΔΑΠ. Πρέπει να προσδιορίζει τις σχετικές υπηρεσίες, οργανωτικές μονάδες, τοποθεσίες, ανθρώπους, πληροφορίες, συστήματα και εξαρτήσεις. Πρέπει επίσης να λαμβάνει υπόψη τις διεπαφές με δραστηριότητες εκτός αυτών των ορίων.

Ένα στενό πεδίο εφαρμογής μπορεί να είναι κατάλληλο, ιδίως για μια αρχική υλοποίηση. Πρέπει όμως να αντικατοπτρίζει αυτό που οι πελάτες αναμένουν να καλύπτει το πιστοποιητικό. Ο αποκλεισμός της ομάδας που διαχειρίζεται την πρόσβαση στην παραγωγή δεν αφαιρεί την επιρροή της σε μια υπηρεσία πελατών που περιλαμβάνεται στο πεδίο.

Για μια φιλοξενούμενη εφαρμογή, εξετάστε ολόκληρη την αλυσίδα της υπηρεσίας: ανάπτυξη, διάθεση, λειτουργίες παραγωγής, πρόσβαση υποστήριξης, διαχείριση ταυτοτήτων, αντίγραφα ασφαλείας και σημαντικούς εξωτερικούς παρόχους. Κοινές διαδικασίες HR ή IT μπορεί να επηρεάζουν την ασφάλεια ακόμη και όταν το πεδίο επικεντρώνεται σε ένα προϊόν και όχι σε ολόκληρη την εταιρεία.

Ένα πρακτικό αρχείο πεδίου εφαρμογής πρέπει να απαντά:

• Ποια νομική οντότητα λειτουργεί την υπηρεσία;
• Ποιες υπηρεσίες και πληροφορίες που αφορούν τους πελάτες καλύπτονται;
• Ποιες τοποθεσίες και ρυθμίσεις τηλεργασίας έχουν σημασία;
• Ποιες ομάδες και κοινές διαδικασίες επηρεάζουν αυτές τις υπηρεσίες;
• Ποιοι προμηθευτές παρέχουν υποδομή ή χειρίζονται σχετικές πληροφορίες;
• Τι βρίσκεται εκτός των ορίων και πώς γίνεται η διαχείριση των διεπαφών του;

Δοκιμάστε την προτεινόμενη διατύπωση με έναν συνάδελφο που έρχεται σε επαφή με αγοραστές. Αν δεν μπορεί να εξηγήσει αν η υπηρεσία του πελάτη καλύπτεται, η διατύπωση χρειάζεται δουλειά.

Μη βελτιστοποιείτε το πεδίο εφαρμογής αποκλειστικά για να μειώσετε τις αμοιβές ελέγχου. Ένα μικρότερο όριο μπορεί να δημιουργήσει περίπλοκες διεπαφές και να αφήσει την εμπορική απαίτηση αναπάντητη. Αντίστροφα, η άμεση συμπερίληψη κάθε εταιρείας του ομίλου μπορεί να δημιουργήσει περιττό συντονισμό. Το σωστό όριο είναι υπερασπίσιμο, κατανοητό και λειτουργικά διαχειρίσιμο.

Καταγράψτε το σκεπτικό και τα γεγονότα που θα οδηγήσουν σε επανεξέτασή του, όπως η εξαγορά μιας επιχείρησης, η μετεγκατάσταση υποδομής ή η κυκλοφορία μιας ουσιωδώς διαφορετικής υπηρεσίας. Το πεδίο εφαρμογής πρέπει να παραμένει απόφαση της διοίκησης και όχι μια ξεχασμένη παράγραφος.

Δώστε στο πρόγραμμα εξουσία, όχι απλώς έναν υπεύθυνο

Ορίστε έναν επικεφαλής υλοποίησης και έναν υπόλογο χορηγό από τη διοίκηση. Έχουν διαφορετικές αρμοδιότητες. Ο επικεφαλής συντονίζει την εργασία και διατηρεί την εποπτεία· ο χορηγός επιλύει ζητήματα προτεραιοτήτων, εγκρίνει πόρους και διασφαλίζει ότι οι στόχοι ασφάλειας ταιριάζουν με τις επιχειρηματικές αποφάσεις.

Η ιδιοκτησία των μέτρων ελέγχου πρέπει να ακολουθεί τη λειτουργική εξουσία. Το HR μπορεί να έχει την ευθύνη για διαδικασίες που σχετίζονται με την απασχόληση, το IT για τη διαχείριση συσκευών, η ομάδα μηχανικών για τις πρακτικές ανάπτυξης και οι προμήθειες για τον συντονισμό της αξιολόγησης προμηθευτών. Ο υπεύθυνος συμμόρφωσης δεν πρέπει να γίνεται τυπικά υπεύθυνος για διαδικασίες που δεν μπορεί να αλλάξει.

Ορίστε ποιος μπορεί να αποδεχθεί υπολειπόμενο κίνδυνο και σε ποιο επίπεδο. Ένας κάτοχος υπηρεσίας μπορεί να προτείνει την αποδοχή μιας περιορισμένης λειτουργικής έκθεσης, ενώ ένας κίνδυνος που επηρεάζει σημαντικές δεσμεύσεις προς πελάτες μπορεί να απαιτεί έγκριση από την ανώτατη διοίκηση. Καταγράψτε την απόφαση, το σκεπτικό, τους όρους και την ημερομηνία επανεξέτασης.

Η διοίκηση πρέπει επίσης να προστατεύει τη διαθέσιμη ικανότητα για την υλοποίηση. Η ανάθεση εργασίας χωρίς να δημιουργείται χώρος γι' αυτήν προκαλεί προβλέψιμες καθυστερήσεις. Ζητήστε από τους κατόχους την απαιτούμενη προσπάθεια, τις εξαρτήσεις και τους συμβιβασμούς· στη συνέχεια εγκρίνετε ένα ρεαλιστικό σχέδιο.

Η ανασκόπηση από τη διοίκηση είναι το σημείο όπου η διοίκηση αξιολογεί το σύστημα και λαμβάνει αποφάσεις για βελτιώσεις, αλλαγές και πόρους. Ένα υπογεγραμμένο πρακτικό συνάντησης χωρίς ουσιαστικές αποφάσεις έχει μικρή πρακτική αξία. Η ανασκόπηση πρέπει να αναδεικνύει τις εκκρεμείς επιλογές, όχι απλώς να επικυρώνει ένα πράσινο dashboard.

Κατανοήστε τις απαιτήσεις πριν αγοράσετε μια λίστα ελέγχου

Οι απαιτήσεις των ρητρών 4–10 του ISO/IEC 27001 αποτελούν τον πυρήνα του συστήματος διαχείρισης. Δεν μπορούν να εξαιρεθούν όταν δηλώνεται συμμόρφωση. Τα πρακτικά τους αποτελέσματα διαφέρουν από την εφαρμογή μεμονωμένων μέτρων ελέγχου ασφάλειας.

Το Παράρτημα Α της έκδοσης 2022 περιέχει 93 μέτρα ελέγχου αναφοράς: 37 οργανωτικά, οκτώ που αφορούν ανθρώπους, 14 φυσικά και 34 τεχνολογικά. Η εφαρμοσιμότητα βασίζεται στον κίνδυνο· δεν υπάρχει καθολικός αριθμός που κάθε εταιρεία πρέπει να εφαρμόσει.

Προσδιορίστε τα μέτρα ελέγχου που είναι απαραίτητα για την αντιμετώπιση των κινδύνων και στη συνέχεια συγκρίνετέ τα με το Παράρτημα Α για να ελέγξετε ότι δεν έχουν παραβλεφθεί απαραίτητα μέτρα ελέγχου. Τα μέτρα ελέγχου μπορούν επίσης να προέρχονται από συμβατικές απαιτήσεις, άλλες πηγές ή τον δικό σας σχεδιασμό. Το Παράρτημα Α δεν υποκαθιστά την εκτίμηση κινδύνων ούτε αποτελεί εξαντλητικό κατάλογο κάθε πιθανού μέτρου ασφάλειας.

Η Δήλωση Εφαρμοσιμότητας (SoA) καταγράφει τα απαραίτητα μέτρα ελέγχου, τους λόγους συμπερίληψής τους, την κατάσταση εφαρμογής τους και την αιτιολόγηση για την εξαίρεση μέτρων ελέγχου του Παραρτήματος Α. Διατηρήστε επαρκή ιχνηλασιμότητα ώστε να εξηγείτε πώς οι αποφάσεις αυτές σχετίζονται με την αντιμετώπιση κινδύνων και άλλες απαιτήσεις.

Το ISO 27002 παρέχει καθοδήγηση για τα μέτρα ελέγχου ασφάλειας πληροφοριών· το ISO 27001 παρέχει τις πιστοποιήσιμες απαιτήσεις του συστήματος διαχείρισης. Χρησιμοποιήστε την καθοδήγηση για να κατανοήσετε τις επιλογές υλοποίησης, αλλά προσαρμόστε τις διαδικασίες στον οργανισμό σας αντί να εισάγετε ένα λειτουργικό μοντέλο που δεν μπορείτε να συντηρήσετε.

Οργανώστε την αντιμετώπιση κινδύνων πριν συγκεντρώσετε τεκμήρια

Ξεκινήστε με μια επαναλήψιμη μέθοδο εκτίμησης κινδύνων. Ορίστε πώς εντοπίζονται οι κίνδυνοι, πώς εκτιμώνται η πιθανότητα και οι συνέπειες, πώς συγκρίνονται τα αποτελέσματα και ποια κριτήρια καθορίζουν την αποδεκτότητα. Η συνεπής ερμηνεία έχει μεγαλύτερη σημασία από έναν περίπλοκο τύπο βαθμολόγησης.

Περιγράψτε τους κινδύνους ως σενάρια. Ο «κίνδυνος cloud» είναι υπερβολικά αόριστος για να στηρίξει μια απόφαση. Το «ένας λογαριασμός διαχειριστή παραβιάζεται και χρησιμοποιείται για την εξαγωγή αρχείων πελατών» προσδιορίζει ένα γεγονός, τις επηρεαζόμενες πληροφορίες και μια επιχειρηματική συνέπεια.

Εμπλέξτε ανθρώπους που κατανοούν την υπηρεσία. Μπορούν να εξηγήσουν υφιστάμενες δικλίδες, την πρόσβαση υποστήριξης, εξαρτήσεις από προμηθευτές, περιορισμούς αποκατάστασης και παρακάμψεις που μια γενική βιβλιοθήκη κινδύνων μπορεί να παραλείψει. Για μια πρακτική δομή αρχείου, δείτε τον οδηγό μας για ένα λειτουργικό μητρώο κινδύνων.

Για κάθε σημαντικό κίνδυνο, καταγράψτε τον κάτοχο, την εκτίμηση, τα υφιστάμενα μέτρα ελέγχου, την απόφαση αντιμετώπισης, το επιδιωκόμενο αποτέλεσμα και την εκτίμηση του υπολειπόμενου κινδύνου. Πιθανές προσεγγίσεις αντιμετώπισης περιλαμβάνουν τη μείωση της έκθεσης, την αποφυγή μιας δραστηριότητας, τον επιμερισμό πτυχών του κινδύνου ή την αποδοχή του βάσει καθορισμένων κριτηρίων. Η ασφάλιση ή η εξωτερική ανάθεση δεν εξαλείφει κάθε συνέπεια ή ευθύνη.

Μετατρέψτε την αντιμετώπιση σε εργασία με σαφή υπευθυνότητα. Το «βελτίωση της ασφάλειας πρόσβασης» δεν είναι εκτελέσιμο σχέδιο. Προσδιορίστε τα επηρεαζόμενα συστήματα, την απαιτούμενη αλλαγή, τον κάτοχο, τα κριτήρια ολοκλήρωσης και τον τρόπο αξιολόγησης της αποτελεσματικότητας.

Κρατήστε αυτά τα αρχεία διακριτά:

Πρέπει να συμφωνούν μεταξύ τους χωρίς να γίνονται αντίγραφα το ένα του άλλου. Αν μια αντιμετώπιση εξαρτάται από την παρακολούθηση προμηθευτών, αλλά το σχετικό μέτρο ελέγχου έχει εξαιρεθεί χωρίς εξήγηση, επιλύστε την ασυνέπεια πριν από την προετοιμασία του ελέγχου.

Επανεξετάζετε τους κινδύνους σε προγραμματισμένα διαστήματα και όταν συμβαίνουν σημαντικές αλλαγές. Ένας νέος πάροχος υποστήριξης, η διευρυμένη συλλογή δεδομένων, ένα περιστατικό ή μια μεγάλη αλλαγή αρχιτεκτονικής μπορεί να καταστήσει μια προηγούμενη απόφαση παρωχημένη.

Κάντε τα μέτρα ελέγχου μέρος της καθημερινής λειτουργίας

Μια πολιτική διατυπώνει προσδοκίες· μια διαδικασία εξηγεί πώς γίνεται η εργασία· τα λειτουργικά αρχεία αποδεικνύουν τι πραγματικά συνέβη. Η προετοιμασία για την πιστοποίηση χρειάζεται και τα τρία, όπου είναι σχετικό.

Για παράδειγμα, μια πολιτική πρόσβασης πρέπει να συνδέεται με μια εφαρμοσμένη διαδικασία εισόδου και αποχώρησης προσωπικού, δειγματοληπτικές αλλαγές πρόσβασης και επανεξέταση των εξαιρέσεων. Ένα έγγραφο πολιτικής από μόνο του αφήνει το μεγαλύτερο μέρος αυτής της ιστορίας αναπόδεικτο.

Οικοδομήστε τη διαδικασία γύρω από τις πραγματικές αρμοδιότητες. Προσδιορίστε ποιος ζητά πρόσβαση, ποιος την εγκρίνει, ποιος την παρέχει, τι συμβαίνει όταν αλλάζει ο ρόλος κάποιου και πώς καταργούνται οι λογαριασμοί. Συμπεριλάβετε λογαριασμούς υπηρεσιών και εξωτερικούς χρήστες όπου επηρεάζουν το πεδίο εφαρμογής.

Εφαρμόστε την ίδια σκέψη σε άλλες σημαντικές διαδικασίες:

• Η αξιολόγηση προμηθευτών πρέπει να συνδέει την κρισιμότητα της υπηρεσίας, την πρόσβαση σε πληροφορίες, τις συμβατικές προσδοκίες, τα αποτελέσματα των επανεξετάσεων και τα ανεπίλυτα ζητήματα.
• Η διαχείριση περιστατικών πρέπει να συνδέει τους διαύλους αναφοράς, τις αρμοδιότητες απόκρισης, την κλιμάκωση, την αποκατάσταση και τα διδάγματα.
• Τα αντίγραφα ασφαλείας και η αποκατάσταση πρέπει να συνδέουν τις επιχειρηματικές ανάγκες, τα προστατευόμενα συστήματα, τις διαδικασίες επαναφοράς, τα αποτελέσματα δοκιμών και τις εργασίες παρακολούθησης.
• Η διαχείριση αλλαγών πρέπει να συνδέει την έγκριση, τις δοκιμές, τα αρχεία διάθεσης, τις έκτακτες αλλαγές και τις εξαιρέσεις.

Τα φυσικά μέτρα ελέγχου και τα μέτρα που αφορούν ανθρώπους εξακολουθούν να έχουν σημασία σε έναν οργανισμό που βασίζεται στο cloud. Η τηλεργασία, η προστασία συσκευών, οι εμπιστευτικές συνομιλίες, οι αλλαγές στην απασχόληση και η ευαισθητοποίηση δεν μπορούν να παραβλεφθούν επειδή οι διακομιστές έχουν ανατεθεί σε τρίτους.

Ορίστε τη συχνότητα των μέτρων ελέγχου ανάλογα με τον κίνδυνο και τις λειτουργικές ανάγκες. Μην αντιγράφετε σε μια πολιτική την υπόσχεση τριμηνιαίας επανεξέτασης, εκτός αν ο κάτοχος μπορεί να την εκτελεί και να διατηρεί αρχεία. Μια πολιτική που περιγράφει μια διαδικασία που κανείς δεν ακολουθεί δημιουργεί ένα αποφεύξιμο χάσμα μεταξύ πρόθεσης και εφαρμογής.

Σχεδιάστε τεκμήρια για επιθεώρηση, όχι για όγκο

Τα καλά τεκμήρια απαντούν σε ένα καθορισμένο ερώτημα σχετικά με μια απαίτηση ή ένα μέτρο ελέγχου. Ένας μεγάλος φάκελος με στιγμιότυπα οθόνης δεν είναι από τη φύση του ισχυρότερος από ένα μικρότερο, καλά εξηγημένο σύνολο αξιόπιστων αρχείων.

Για κάθε σημαντικό μέτρο ελέγχου, προσδιορίστε το σύστημα προέλευσης, τον κάτοχο, τη μέθοδο συλλογής, την κάλυψη, την αναμενόμενη συχνότητα και τον ελεγκτή. Διακρίνετε τα τεκμήρια σχεδιασμού από τα τεκμήρια λειτουργίας. Μια διαμόρφωση ταυτοτήτων μπορεί να δείχνει ότι ο έλεγχος ταυτότητας πολλαπλών παραγόντων είναι ενεργοποιημένος· τα αρχεία εγκρίσεων και οι επανεξετάσεις πρόσβασης αποδεικνύουν άλλες πτυχές της διακυβέρνησης πρόσβασης.

Τα τεκμήρια πρέπει να καθιστούν σαφές το νόημά τους:

• Ποια υπηρεσία, ποιο σύστημα ή ποιον πληθυσμό καλύπτουν;
• Πότε παρήχθησαν και ποια περίοδο αντιπροσωπεύουν;
• Είναι αρκετά πλήρη για το ερώτημα που αξιολογείται;
• Ποιος τα επανεξέτασε και ποιες εξαιρέσεις εντοπίστηκαν;
• Ποια συνέχεια δόθηκε σε αυτές τις εξαιρέσεις;

Διατηρήστε και τα ανεπιτυχή αποτελέσματα. Μια αποτυχημένη δοκιμή επαναφοράς με τεκμηριωμένη διερεύνηση, αποκατάσταση και επιτυχή επαναληπτική δοκιμή μπορεί να αποδείξει ότι η παρακολούθηση και η βελτίωση λειτουργούν. Η διαγραφή άβολων αποτελεσμάτων βλάπτει τη χρησιμότητα του αρχείου.

Προστατεύστε τα τεκμήρια ως πληροφορίες με δική τους αξία. Οι εξαγωγές μπορεί να περιέχουν στοιχεία εργαζομένων, αναγνωριστικά πελατών ή ευαίσθητες διαμορφώσεις. Περιορίστε την πρόσβαση, ελαχιστοποιήστε το περιττό περιεχόμενο και ορίστε τη διατήρηση με βάση τις σχετικές υποχρεώσεις και τις επιχειρηματικές ανάγκες. Οργανώστε ελεγχόμενη πρόσβαση για τους ελεγκτές αντί να διανέμετε πρόχειρα εκτεταμένα αρχεία.

Χρησιμοποιήστε τον εσωτερικό έλεγχο και την ανασκόπηση από τη διοίκηση για να δοκιμάσετε την ετοιμότητα

Ο εσωτερικός έλεγχος αξιολογεί αν το ΣΔΑΠ συμμορφώνεται με τις εφαρμοστέες απαιτήσεις και αν εφαρμόζεται και διατηρείται αποτελεσματικά. Πρέπει να καλύπτει το σύστημα διαχείρισης και όχι απλώς να ελέγχει τεχνικές ρυθμίσεις.

Σχεδιάστε το πεδίο, τα κριτήρια, τις μεθόδους και την αναφορά του ελέγχου. Επιλέξτε ικανούς ελεγκτές και διαφυλάξτε την αντικειμενικότητα και την αμεροληψία. Ένας μικρός οργανισμός μπορεί να χρησιμοποιήσει εξωτερική υποστήριξη ή κατάλληλες διατμηματικές ρυθμίσεις αντί να ζητά από ένα άτομο να αξιολογεί όλη τη δική του εργασία.

Ο χρήσιμος έλεγχος ακολουθεί ένα αρχείο σε όλη τη διαδικασία. Επιλέξτε την αποχώρηση ενός εργαζομένου και ελέγξτε την ειδοποίηση, την κατάργηση λογαριασμών, τον χειρισμό του εξοπλισμού και τις εξαιρέσεις. Επιλέξτε έναν προμηθευτή και εξετάστε αν η εκτίμηση κινδύνου του αντιστοιχεί στην πραγματική του πρόσβαση. Επιλέξτε μια ενέργεια αντιμετώπισης και επαληθεύστε αν η δηλωμένη ολοκλήρωση στηρίζεται λειτουργικά.

Καταγράψτε τα ευρήματα με ακρίβεια, συμπεριλαμβανομένων της απαίτησης, των τεκμηρίων που παρατηρήθηκαν και του κενού. Μην περιορίζετε τον έλεγχο σε ένα ποσοστό ολοκλήρωσης που αποκρύπτει ελλείπουσες διαδικασίες διαχείρισης.

Η ανασκόπηση από τη διοίκηση εξετάζει στη συνέχεια τις απαιτούμενες εισροές, όπως τις επιδόσεις, τα αποτελέσματα ελέγχων, τις αλλαγές, την κατάσταση της εκτίμησης και αντιμετώπισης κινδύνων και τις ευκαιρίες βελτίωσης. Ετοιμάστε ένα συνοπτικό πακέτο αποφάσεων με διαθέσιμα τα υποστηρικτικά αρχεία. Εξηγήστε πού η διοίκηση πρέπει να επιλέξει μεταξύ αποκατάστασης, πρόσθετων πόρων, αλλαγμένων στόχων ή εγκεκριμένης αποδοχής κινδύνου.

Για τις μη συμμορφώσεις, διαχωρίστε την άμεση διόρθωση από τη διορθωτική ενέργεια. Η απενεργοποίηση ενός λογαριασμού που παραβλέφθηκε διορθώνει το άμεσο ζήτημα. Η επισκευή της διαδικασίας ειδοποίησης και ο έλεγχος των επόμενων αποχωρήσεων αντιμετωπίζουν την επανάληψη. Καταγράψτε την αιτία, την ενέργεια, τον κάτοχο και την αξιολόγηση της αποτελεσματικότητας.

Κατανοήστε το Στάδιο 1, το Στάδιο 2 και την απόφαση πιστοποίησης

Η αρχική πιστοποίηση περιλαμβάνει συνήθως δύο στάδια ελέγχου. Συμφωνήστε τις ρυθμίσεις, τα αναμενόμενα αρχεία και τις προσδοκίες ετοιμότητας με τον φορέα πιστοποίησης αρκετά νωρίς ώστε να σχεδιάσετε σωστά.

Το Στάδιο 1 εξετάζει την ετοιμότητα, το πεδίο εφαρμογής και την τεκμηρίωση του συστήματος διαχείρισης. Βοηθά τον φορέα να κατανοήσει τον οργανισμό και να αξιολογήσει την προετοιμασία για το Στάδιο 2. Να αναμένετε εξέταση της σχέσης μεταξύ πεδίου εφαρμογής, εκτίμησης κινδύνων, αντιμετώπισης, SoA και διαδικασιών διαχείρισης. Επιλύστε τα ζητήματα που εντοπίζονται αντί να αντιμετωπίζετε το Στάδιο 1 ως διοικητικό βήμα κράτησης.

Το Στάδιο 2 αξιολογεί την εφαρμογή και την αποτελεσματικότητα. Οι ελεγκτές χρησιμοποιούν συνεντεύξεις, παρατήρηση και δειγματοληπτικά αρχεία για να ελέγξουν αν το ΣΔΑΠ λειτουργεί όπως περιγράφεται. Οι εργαζόμενοι πρέπει να μπορούν να εξηγήσουν τις πραγματικές τους αρμοδιότητες, όχι να απαγγέλλουν προετοιμασμένες απαντήσεις.

Κρατήστε τα αιτήματα οργανωμένα κατά τη διάρκεια του ελέγχου. Ορίστε έναν συντονιστή, καταγράφετε τα αιτήματα, εντοπίζετε τον σωστό κάτοχο και παρέχετε σχετικά τεκμήρια με το πλαίσιό τους. Αν κάτι λείπει, εξηγήστε την κατάσταση με ακρίβεια. Μη δημιουργείτε αναδρομικά αρχεία που υπονοούν ψευδώς ότι μια διαδικασία πραγματοποιήθηκε.

Μη συμμόρφωση σημαίνει ότι μια απαίτηση δεν έχει εκπληρωθεί. Τα μείζονα ευρήματα επηρεάζουν την ικανότητα του συστήματος διαχείρισης να επιτυγχάνει τα επιδιωκόμενα αποτελέσματά του· τα ελάσσονα ευρήματα δεν έχουν αυτή την επίδραση. Η κατάταξη εξαρτάται από το πλαίσιο, επομένως σε ένα μεμονωμένο ελλείπον αρχείο δεν μπορεί να αποδοθεί εκ των προτέρων καθολικός χαρακτηρισμός.

Ο φορέας πιστοποίησης καθορίζει ανεξάρτητα τα ευρήματα, τις απαιτούμενες απαντήσεις, τις ρυθμίσεις επαλήθευσης και την απόφαση πιστοποίησης. Επιβεβαιώστε εκ των προτέρων τις προθεσμίες και τις απαιτήσεις παρακολούθησης. Η σύσταση ενός ελεγκτή δεν αποτελεί από μόνη της εκδοθέν πιστοποιητικό, και τα ανεπίλυτα ευρήματα μπορούν να καθυστερήσουν την απόφαση.

Μετά την πιστοποίηση, ένας τυπικός κύκλος περιλαμβάνει ελέγχους επιτήρησης τα ενδιάμεσα έτη και επαναπιστοποίηση πριν από τη λήξη του τριετούς πιστοποιητικού. Επιβεβαιώστε το συγκεκριμένο πρόγραμμα ελέγχων και τους όρους με τον φορέα σας. Η επιτήρηση δεν αποτελεί άδεια να «παγώσει» το ΣΔΑΠ μεταξύ των επισκέψεων.

Σχεδιάστε το χρονοδιάγραμμα και τον προϋπολογισμό γύρω από τις εξαρτήσεις

Η διάρκεια εξαρτάται από την ωριμότητα, το πεδίο εφαρμογής, τους ανεπίλυτους κινδύνους, τη διαθεσιμότητα τεκμηρίων, την εσωτερική ικανότητα και τον προγραμματισμό των ελεγκτών. Δεν υπάρχει καθολική περίοδος λειτουργικών τεκμηρίων για το ISO 27001 που να καθιστά κάθε οργανισμό αυτομάτως έτοιμο.

Ρωτήστε τον φορέα πιστοποίησης τι χρειάζεται να ελέγξει δειγματοληπτικά για τις δικές σας συνθήκες. Μια διαδικασία που εκτελείται μηνιαία παράγει αρχεία διαφορετικά από μια ετήσια άσκηση. Μην περιμένετε την κράτηση του ελέγχου για να ανακαλύψετε ότι ένα σημαντικό μέτρο ελέγχου δεν έχει εφαρμοστεί ποτέ στην πράξη.

Διαχωρίστε την εργασία που μπορείτε να επιταχύνετε (συλλογή, συντονισμός, σύνταξη και προετοιμασία επανεξετάσεων) από την εργασία που απαιτεί υλοποίηση και αποδεδειγμένη λειτουργία. Εκτελέστε παράλληλα τις ανεξάρτητες εργασίες, αλλά διατηρήστε τις εξαρτήσεις: μια SoA δεν μπορεί να οριστικοποιηθεί αξιόπιστα χωρίς σκεπτικό επιλογής μέτρων ελέγχου, και η αποτελεσματικότητα δεν μπορεί να αξιολογηθεί μόνο από μια προτεινόμενη πολιτική.

Χρησιμοποιήστε σημεία ελέγχου ετοιμότητας αντί για μία αισιόδοξη ημερομηνία ολοκλήρωσης:

Προϋπολογίστε την εσωτερική προσπάθεια, την αποκατάσταση, τα εργαλεία, την εκπαίδευση, την προαιρετική συμβουλευτική υποστήριξη και την εξωτερική αξιολόγηση. Συμπεριλάβετε την επιτήρηση, την επαναπιστοποίηση και τη συνεχή συντήρηση, όχι μόνο το τιμολόγιο του πρώτου ελέγχου.

Ζητήστε από τους φορείς πιστοποίησης να εξηγήσουν τις παραδοχές τους για το προσωπικό, τις εγκαταστάσεις, τις δραστηριότητες, την πολυπλοκότητα και τις ρυθμίσεις του ελέγχου. Συγκρίνετε ολόκληρο τον κύκλο και τις χρεώσεις παρακολούθησης. Αποφύγετε να θεωρείτε μια χαμηλή αρχική προσφορά ως το πλήρες κόστος λειτουργίας ενός πιστοποιημένου ΣΔΑΠ.

Παράδειγμα: μία υπηρεσία, ένα βιώσιμο σχέδιο

Ας εξετάσουμε, ενδεικτικά, μια εταιρεία 30 ατόμων που λειτουργεί μια φιλοξενούμενη υπηρεσία κοινής χρήσης εγγράφων. Ας υποθέσουμε ότι διαθέτει ήδη διαχείριση ταυτοτήτων, εγκρίσεις διάθεσης και αντίγραφα ασφαλείας, αλλά οι επανεξετάσεις προμηθευτών και τα αρχεία επανεξέτασης πρόσβασης είναι ασυνεπή. Ο υποψήφιος πελάτης της θέλει διασφάλιση για τη φιλοξενούμενη υπηρεσία, συμπεριλαμβανομένης της πρόσβασης υποστήριξης.

Η διοίκηση ορίζει ως πεδίο εφαρμογής την υπηρεσία και τις υποστηρικτικές διαδικασίες ανάπτυξης, λειτουργίας και υποστήριξης. Καταγράφει τις διεπαφές με το HR και το κοινό IT αντί να αποκλείει τις επιπτώσεις τους στην ασφάλεια. Ο CEO είναι ο χορηγός του προγράμματος· ένας επικεφαλής υλοποίησης το συντονίζει· οι διευθυντές λειτουργίας είναι κάτοχοι των μέτρων ελέγχου.

Η ομάδα εντοπίζει ένα σενάριο στο οποίο υπερβολικά δικαιώματα υποστήριξης εκθέτουν έγγραφα πελατών. Η αντιμετώπιση περιλαμβάνει περιορισμένους ρόλους υποστήριξης, εγκεκριμένη προσωρινή αναβάθμιση δικαιωμάτων, επανεξετάσεις πρόσβασης και παρακολούθηση κατάλληλη για την υπηρεσία. Η SoA καταγράφει τα απαραίτητα μέτρα ελέγχου και την κατάσταση εφαρμογής τους.

Στη συνέχεια, ο κάτοχος της πρόσβασης συλλέγει μια διαμόρφωση ρόλων, δειγματοληπτικά αρχεία εγκρίσεων, μια ολοκληρωμένη επανεξέταση και τεκμήρια ότι υπερβολικά δικαιώματα που εντοπίστηκαν κατά την επανεξέταση αφαιρέθηκαν. Τα αρχεία αυτά τεκμηριώνουν κάτι περισσότερο από την ύπαρξη μιας πολιτικής πρόσβασης.

Κατά τον εσωτερικό έλεγχο, εντοπίζεται ενεργός λογαριασμός ενός συνεργάτη που έχει αποχωρήσει. Η ομάδα τον απενεργοποιεί, διερευνά την ειδοποίηση από το HR προς το IT που παραλείφθηκε, προσθέτει ένα ρητό βήμα λήξης συνεργασίας για εξωτερικούς συνεργάτες και ελέγχει τις μεταγενέστερες αποχωρήσεις για να αξιολογήσει την αποτελεσματικότητα. Η ανασκόπηση από τη διοίκηση εξετάζει το εύρημα, τους εναπομείναντες κινδύνους και τους πόρους που χρειάζονται για τις συνεχείς επανεξετάσεις.

Μόνο για σκοπούς σχεδιασμού του προϋπολογισμού, ας υποθέσουμε ότι οκτώ συμμετέχοντες αφιερώνουν ο καθένας δύο ώρες την εβδομάδα για δώδεκα εβδομάδες. Αυτό αντιστοιχεί σε 192 εσωτερικές ώρες, πριν από την εξειδικευμένη αποκατάσταση και τη συμμετοχή στον έλεγχο. Πρόκειται για ενδεικτικό υπολογισμό ικανότητας, όχι για εκτίμηση της αγοράς ή υπόσχεση πιστοποίησης.

Το δίδαγμα αφορά τη διοίκηση: αναθέστε εργασία σε ανθρώπους με εξουσία, δεσμεύστε χρόνο και κάντε την ετοιμότητα να εξαρτάται από τεκμήρια. Οι υφιστάμενες τεχνικές δικλίδες μειώνουν μέρος της εργασίας υλοποίησης, αλλά δεν αντικαθιστούν τις αποφάσεις για κινδύνους, τον εσωτερικό έλεγχο ή την ανασκόπηση από τη διοίκηση.

Αυτοματοποιήστε την επαναλαμβανόμενη εργασία διατηρώντας την κρίση

Ο αυτοματισμός μπορεί να στηρίξει την ενημέρωση απογραφών, τη συλλογή τεκμηρίων, τις υπενθυμίσεις, τους τεχνικούς ελέγχους και την αναφορά. Δώστε προτεραιότητα σε επαναλαμβανόμενη εργασία με αξιόπιστα δεδομένα προέλευσης και σαφή ελεγκτή, αντί να αυτοματοποιείτε μια ασαφή διαδικασία.

Ένας αυτοματοποιημένος έλεγχος χρειάζεται καθορισμένη κάλυψη και χειρισμό αποτυχιών. Αν μια σύνδεση σταματήσει να συλλέγει αρχεία, διακρίνετε το «δεν εντοπίστηκε ζήτημα» από το «δεν υπάρχουν τρέχοντα δεδομένα». Επιβεβαιώστε ότι η πηγή καλύπτει τα σχετικά συστήματα, λογαριασμούς ή τοποθεσίες πριν βασιστείτε στο αποτέλεσμα.

Διατηρήστε ρητή την ανθρώπινη κρίση για την αποδοχή κινδύνων, την εφαρμοσιμότητα των μέτρων ελέγχου, τα συμπεράσματα από τα τεκμήρια και τις αποφάσεις της διοίκησης. Ένας έλεγχος διαμόρφωσης μπορεί να δείχνει ότι η κρυπτογράφηση είναι ενεργοποιημένη· δεν τεκμηριώνει ότι η πρόσβαση στα κλειδιά, η αποκατάσταση και οι έκτακτες διαδρομές δεδομένων τυγχάνουν κατάλληλης διαχείρισης.

Ομοίως, ο αυτοματισμός ροών εργασίας μπορεί να οργανώνει τα αιτήματα και τα ευρήματα του εσωτερικού ελέγχου, αλλά δεν παρέχει ελεγκτική επάρκεια ή ανεξαρτησία. Οι περιλήψεις και οι αντιστοιχίσεις που παράγονται από ΤΝ πρέπει να παραμένουν προσχέδια έως ότου ένας ελεγκτής ελέγξει τις πηγές και εγκρίνει τα συμπεράσματα.

Μετρήστε τόσο την αποδοτικότητα όσο και την αποτελεσματικότητα: τον χρόνο προετοιμασίας τεκμηρίων, τις καθυστερημένες διορθωτικές ενέργειες, την ελλιπή κάλυψη, τις επαναλαμβανόμενες αποτυχίες και τον χρόνο επίλυσης σημαντικών εξαιρέσεων. Ο οδηγός μας για τους δείκτες ΣΔΑΠ εξηγεί πώς να γίνουν οι μετρήσεις χρήσιμες για τις αποφάσεις της διοίκησης.

Διατηρήστε την ιδιοκτησία ενεργή μετά την πιστοποίηση

Πριν φτάσει το πιστοποιητικό, καθορίστε το ημερολόγιο συντήρησης. Πρακτικές συστάσεις περιλαμβάνουν τακτικούς ελέγχους από τους κατόχους, επανεξετάσεις κινδύνων που ενεργοποιούνται από ουσιώδεις αλλαγές, προγραμματισμένες αξιολογήσεις μέτρων ελέγχου, εσωτερικούς ελέγχους, ανασκοπήσεις από τη διοίκηση και προετοιμασία για εξωτερικές αξιολογήσεις. Επιλέξτε συχνότητες ανάλογα με τη διαδικασία και τον κίνδυνο αντί να κάνετε κάθε δραστηριότητα μηνιαία.

Αναθέστε εκ νέου αρμοδιότητες όταν εργαζόμενοι μετακινούνται ή αποχωρούν. Επανεξετάζετε το πεδίο εφαρμογής και την εφαρμοσιμότητα των μέτρων ελέγχου όταν αλλάζει η επιχείρηση. Παρακολουθείτε τις επαναλαμβανόμενες εξαιρέσεις: η επανειλημμένα καθυστερημένη κατάργηση πρόσβασης υποδηλώνει πρόβλημα διαδικασίας ακόμη κι αν κάθε μεμονωμένη περίπτωση κλείνει τελικά.

Η Secani υποστηρίζει αυτή τη ροή εργασίας συνδέοντας απαιτήσεις, μέτρα ελέγχου, τεκμήρια, κατόχους, εργασίες και αποφάσεις επανεξέτασης σε έναν κοινό χώρο εργασίας. Ξεκινήστε με μία αντιπροσωπευτική υπηρεσία, μοντελοποιήστε τα συστήματα και τις εξαρτήσεις της, συνδέστε τα υφιστάμενα τεκμήρια με αυτό που αποδεικνύουν και μετατρέψτε τα κενά σε ανατεθειμένες εργασίες. Επανεξετάζετε τις προτάσεις που υποβοηθούνται από ΤΝ σε σχέση με τις πηγές τους και διατηρείτε τις ανθρώπινες εγκρίσεις και το ιστορικό αποφάσεων. Αυτό βοηθά την ομάδα να διατηρεί όσα μαθαίνει κατά την πιστοποίηση καθώς αλλάζουν τα συστήματα· η πιστοποίηση παραμένει απόφαση του ανεξάρτητου φορέα.

Ερωτήματα που αλλάζουν το σχέδιο υλοποίησης

Απαιτεί το ISO 27001 δοκιμή διείσδυσης;

Δεν υπάρχει καθολική ρήτρα του ISO 27001 που να απαιτεί από κάθε οργανισμό να διενεργεί δοκιμή διείσδυσης. Οι απαραίτητες δοκιμές εξαρτώνται από την αντιμετώπιση κινδύνων, τα εφαρμοστέα μέτρα ελέγχου, τα χαρακτηριστικά της υπηρεσίας και τις συμβατικές απαιτήσεις. Όπου απαιτούνται δοκιμές, ορίστε την κάλυψη, την αποκατάσταση και την επαναληπτική δοκιμή αντί να διατηρείτε μόνο μια έκθεση.

Μήπως πρέπει να επιδιώξουμε SOC 2;

Ρωτήστε τι απαιτούν οι πελάτες και ποιο πεδίο εφαρμογής αναμένουν. Το SOC 2 παράγει μια έκθεση βεβαίωσης· το ISO 27001 παράγει πιστοποίηση συστήματος διαχείρισης. Ορισμένα λειτουργικά τεκμήρια μπορεί να είναι επαναχρησιμοποιήσιμα, αλλά κανένα δεν μετατρέπεται αυτομάτως στο άλλο. Αξιολογήστε τις χωριστές απαιτήσεις πριν δεσμευτείτε και στα δύο.

Χρειαζόμαστε εξωτερικό σύμβουλο;

Όχι απαραίτητα. Η εξωτερική βοήθεια μπορεί να καλύψει ανάγκες ερμηνείας, ικανότητας ή εξειδίκευσης. Διατηρήστε την εσωτερική ιδιοκτησία και διασφαλίστε ότι οι διαδικασίες παραμένουν χρήσιμες μετά τη λήξη της συνεργασίας. Η πιστοποίηση ενός ατόμου ως υλοποιητή ή ελεγκτή δεν πιστοποιεί τον εργοδότη του.

Ξεκινήστε με μια απόφαση και ένα ίχνος τεκμηρίων

Εγκρίνετε έναν σύντομο χάρτη υλοποίησης που αναφέρει την εμπορική ανάγκη, το επιδιωκόμενο πεδίο εφαρμογής, τον χορηγό, τον επικεφαλής, τους κατόχους των μέτρων ελέγχου, την ικανότητα και τα σημεία ελέγχου ετοιμότητας. Στη συνέχεια, πάρτε μία σημαντική υπηρεσία και ακολουθήστε ένα μέτρο ελέγχου από την απαίτηση στην αντιμετώπιση κινδύνων, στην εφαρμογή, στα τεκμήρια και στην επανεξέταση.

Αυτή η πρώτη ιχνηλάτηση θα αναδείξει ασαφείς αρμοδιότητες και ελλείποντα αρχεία πριν πολλαπλασιαστούν. Χρησιμοποιήστε τη λίστα ελέγχου ISO 27001 για να οργανώσετε την υπόλοιπη εργασία, κρατώντας διακριτές τις απαιτήσεις του συστήματος διαχείρισης και την εφαρμοσιμότητα των μέτρων ελέγχου.

Ένα διαρκές ΣΔΑΠ καθιστά τις αποφάσεις ασφάλειας επιθεωρήσιμες και επαναλήψιμες. Η πιστοποίηση αναγνωρίζει το σύστημα εντός του πεδίου εφαρμογής του· η διοίκηση το διατηρεί σε λειτουργία αφού αποχωρήσει η ομάδα ελέγχου.