NIST CSF και ISO 27001: επιλέξτε τον λειτουργικό ρόλο

Το NIST CSF και το ISO 27001 βοηθούν τους οργανισμούς να οργανώσουν την ασφάλεια, αλλά εξυπηρετούν διαφορετικούς λειτουργικούς ρόλους. Η απόφαση της διοίκησης γίνεται σαφέστερη όταν ρωτάτε ποιο αποτέλεσμα χρειάζεται η επιχείρηση: μια κοινή εικόνα των προτεραιοτήτων κυβερνοασφάλειας, ένα πρόγραμμα ασφάλειας πληροφοριών με επίσημη διαχείριση, ανεξάρτητη διασφάλιση για τους πελάτες ή έναν συνδυασμό αυτών.

Η επιλογή ενός πλαισίου δεν μεταφέρει την ευθύνη μακριά από τη διοίκηση. Οι επικεφαλής εξακολουθούν να πρέπει να ορίζουν το πεδίο εφαρμογής, να χρηματοδοτούν βελτιώσεις, να αναθέτουν κατόχους και να αποφασίζουν ποιους υπολειπόμενους κινδύνους θα αποδεχθεί η επιχείρηση. Το χρήσιμο ερώτημα επομένως δεν είναι «Ποιο πλαίσιο είναι καλύτερο;». Είναι «Ποιον ρόλο πρέπει να παίζει το καθένα στον τρόπο με τον οποίο λειτουργούμε και αποδεικνύουμε την ασφάλεια;».

Συγκρίνετε τα αποτελέσματα, όχι μόνο τις λίστες μέτρων ελέγχου

Το NIST Cybersecurity Framework, σήμερα στην έκδοση CSF 2.0, περιγράφει αποτελέσματα κυβερνοασφάλειας. Δίνει στις τεχνικές ομάδες και στα ανώτατα στελέχη μια κοινή γλώσσα για τη συζήτηση κινδύνων, δυνατοτήτων και προτεραιοτήτων χωρίς να επιβάλλει μία υλοποίηση για κάθε οργανισμό.

Το ISO/IEC 27001 καθορίζει απαιτήσεις για ένα σύστημα διαχείρισης ασφάλειας πληροφοριών, ή ΣΔΑΠ. Το σύστημα αυτό καθορίζει πώς ένας οργανισμός εντοπίζει κινδύνους ασφάλειας πληροφοριών, επιλέγει αντιμετωπίσεις, αναθέτει ευθύνες, αξιολογεί τις επιδόσεις και βελτιώνεται. Η ανεξάρτητη πιστοποίηση μπορεί να παρέχει διασφάλιση για τη συμμόρφωση του συστήματος διαχείρισης εντός του καθορισμένου πεδίου εφαρμογής του.

Και τα δύο είναι αξιοποιήσιμα από οργανισμούς διαφορετικού μεγέθους και επιπέδου ωριμότητας. Το NIST CSF δεν είναι μόνο για αρχάριους ή για επιχειρήσεις των ΗΠΑ, και το ISO 27001 δεν προορίζεται αποκλειστικά για μεγάλες διεθνείς επιχειρήσεις. Η ετοιμότητα επηρεάζει την απαιτούμενη προσπάθεια, όχι το αν η προσέγγιση είναι εννοιολογικά κατάλληλη.

Τι συνεισφέρει το NIST CSF στις αποφάσεις της διοίκησης

Το CSF 2.0 οργανώνει τα αποτελέσματα σε έξι λειτουργίες. Αυτές λειτουργούν μαζί· δεν είναι έξι φάσεις έργου που ολοκληρώνονται οριστικά η μία μετά την άλλη.

Η λειτουργία Govern είναι ιδιαίτερα σημαντική για τα ανώτατα στελέχη. Συνδέει την κυβερνοασφάλεια με τους επιχειρηματικούς στόχους, τη λογοδοσία, την πολιτική και την εποπτεία. Εμποδίζει την ασφάλεια να γίνει ένα τεχνικό backlog χωρίς ρητό επιχειρηματικό κάτοχο.

Μετατρέψτε τα αποτελέσματα σε επενδυτικό σχέδιο

Ένα Τρέχον Προφίλ περιγράφει τα αποτελέσματα κυβερνοασφάλειας που επιτυγχάνει σήμερα ο οργανισμός. Ένα Στοχευόμενο Προφίλ περιγράφει τα αποτελέσματα που θέλει να επιτύχει, με βάση τους στόχους, τις απειλές, τις υποχρεώσεις και τις προσδοκίες των ενδιαφερόμενων μερών. Το χάσμα μεταξύ τους παρέχει βάση για την ιεράρχηση της εργασίας.

Για παράδειγμα, μια επιχείρηση μπορεί να διαθέτει αντίγραφα ασφαλείας, αλλά ελάχιστα τεκμήρια ότι η πιο σημαντική υπηρεσία της μπορεί να αποκατασταθεί υπό ρεαλιστικές συνθήκες. Το χρήσιμο χάσμα δεν είναι απλώς «ημιτελής αποκατάσταση». Είναι ένα καθορισμένο αποτέλεσμα, μια επηρεαζόμενη υπηρεσία, ένας κάτοχος, μια προτεινόμενη άσκηση επαναφοράς και μια απόφαση για την αποδεκτή διαταραχή.

Τα Tiers του CSF περιγράφουν χαρακτηριστικά των πρακτικών διακυβέρνησης και διαχείρισης κινδύνων κυβερνοασφάλειας. Παρέχουν πλαίσιο για συζητήσεις σχετικά με την αυστηρότητα και τη συνέπεια· δεν είναι βαθμοί πιστοποίησης ούτε καθολική βαθμολογία ωριμότητας που κάθε οργανισμός πρέπει να μεγιστοποιήσει.

Το ίδιο το CSF δεν είναι πρότυπο πιστοποίησης τύπου ISO. Ένας οργανισμός μπορεί να αναθέσει μια αξιολόγηση και να τεκμηριώσει το Προφίλ του με αποδείξεις, αλλά δεν πρέπει να το παρουσιάζει ως πιστοποίηση που εκδίδει το NIST. Η επιχειρηματική αξία προέρχεται από τη σαφήνεια της αξιολόγησης και τις βελτιώσεις που αυτή οδηγεί.

Τι προσθέτει το ISO 27001 στο λειτουργικό σύστημα

Το ISO 27001 εστιάζει σε ένα σύστημα διαχείρισης με καθορισμένο πεδίο. Οι ρήτρες 4–10 αφορούν το πλαίσιο του οργανισμού, την ηγεσία, τον σχεδιασμό, την υποστήριξη, τη λειτουργία, την αξιολόγηση των επιδόσεων και τη βελτίωση. Η εφαρμογή του σημαίνει την καθιέρωση ενός λειτουργικού κύκλου διαχείρισης, όχι απλώς τη συγκέντρωση πολιτικών για έναν ελεγκτή.

Η ασφάλεια πληροφοριών περιλαμβάνει την εμπιστευτικότητα, την ακεραιότητα και τη διαθεσιμότητα. Η εμπιστευτικότητα αφορά την κατάλληλη πρόσβαση· η ακεραιότητα αφορά την ακρίβεια, την πληρότητα και την προστασία από ακατάλληλες αλλαγές· η διαθεσιμότητα αφορά την εξουσιοδοτημένη πρόσβαση όταν χρειάζεται. Η ακεραιότητα δεν σημαίνει ότι οι πληροφορίες δεν μπορούν ποτέ να αλλάξουν: οι νόμιμες αλλαγές χρειάζονται κατάλληλη εξουσιοδότηση και έλεγχο.

Το ΣΔΑΠ εφαρμόζει αυτά τα ζητήματα μέσω της εκτίμησης και της αντιμετώπισης κινδύνων. Δεν είναι μια γενική οδηγία για την ανάπτυξη κάθε δυνατής τεχνολογίας ασφάλειας.

Κρατήστε τα κύρια παραδοτέα του ΣΔΑΠ διακριτά

Αρκετά έγγραφα σχετίζονται στενά, αλλά απαντούν σε διαφορετικά ερωτήματα:

• Πεδίο εφαρμογής: Ποιες οργανωτικές δραστηριότητες, τοποθεσίες, πληροφορίες, συστήματα και διεπαφές καλύπτει το ΣΔΑΠ;
• Εκτίμηση κινδύνων: Τι θα μπορούσε να συμβεί, πόσο σημαντικό θα ήταν και πώς διατυπώνεται αυτή η κρίση με συνέπεια;
• Σχέδιο αντιμετώπισης κινδύνων: Ποιες ενέργειες θα αντιμετωπίσουν τους κινδύνους που εντοπίστηκαν, ποιος είναι ο κάτοχός τους και ποιες εγκρίσεις απαιτούνται;
• Δήλωση Εφαρμοσιμότητας: Ποια απαραίτητα μέτρα ελέγχου περιλαμβάνονται, γιατί περιλαμβάνονται, αν έχουν εφαρμοστεί και γιατί εξαιρούνται τυχόν μέτρα ελέγχου του Παραρτήματος Α;
• Εσωτερικός έλεγχος: Συμμορφώνεται το ΣΔΑΠ με τις εφαρμοστέες απαιτήσεις και λειτουργεί αποτελεσματικά, βάσει μιας κατάλληλα αμερόληπτης εξέτασης;
• Ανασκόπηση από τη διοίκηση: Εξετάζει η διοίκηση τις επιδόσεις, τις αλλαγές, τα ευρήματα και τις ανάγκες βελτίωσης και λαμβάνει τις απορρέουσες αποφάσεις;

Ένα μητρώο κινδύνων δεν αντικαθιστά μια Δήλωση Εφαρμοσιμότητας. Μια σύσκεψη της διοίκησης δεν αποτελεί αυτομάτως ανασκόπηση από τη διοίκηση. Κάθε παραδοτέο χρειάζεται τον δικό του σκοπό, τις δικές του εισροές και καταγεγραμμένα συμπεράσματα.

Το Παράρτημα Α του ISO 27001:2022 περιέχει 93 μέτρα ελέγχου ομαδοποιημένα σε οργανωτικές κατηγορίες, κατηγορίες που αφορούν ανθρώπους, φυσικές και τεχνολογικές κατηγορίες. Η εφαρμοσιμότητα βασίζεται στον κίνδυνο. Οι οργανισμοί προσδιορίζουν τα απαραίτητα μέτρα ελέγχου και τα συγκρίνουν με το Παράρτημα Α ώστε να μην παραβλεφθούν απαραίτητα μέτρα ελέγχου· μπορεί να χρειάζονται μέτρα ελέγχου πέρα από αυτό το σύνολο αναφοράς. Το ISO 27002 παρέχει καθοδήγηση υλοποίησης για τα μέτρα ελέγχου.

Ο οδηγός μας για το Παράρτημα Α εξηγεί τη δομή των μέτρων ελέγχου λεπτομερέστερα. Για τη διοίκηση, το ουσιώδες σημείο είναι ότι μια συμπληρωμένη λίστα ελέγχου δεν είναι το ίδιο με ένα ΣΔΑΠ που λειτουργεί.

Κατανοήστε τι αποδεικνύει η πιστοποίηση

Η πιστοποίηση είναι προαιρετική, εκτός αν την απαιτεί μια σύμβαση ή άλλη εφαρμοστέα υποχρέωση. Ένας οργανισμός μπορεί να λειτουργεί ένα ΣΔΑΠ χωρίς να επιδιώκει πιστοποιητικό.

Όπου χρειάζεται πιστοποίηση, ένας ανεξάρτητος φορέας πιστοποίησης αξιολογεί το ΣΔΑΠ· ο ISO δεν εκδίδει το πιστοποιητικό. Η αρχική πιστοποίηση περιλαμβάνει γενικά μια επανεξέταση πρώτου σταδίου της ετοιμότητας και των τεκμηριωμένων ρυθμίσεων, ακολουθούμενη από μια αξιολόγηση δεύτερου σταδίου της εφαρμογής. Η διατήρηση της πιστοποίησης περιλαμβάνει συνεχή αξιολόγηση και επαναπιστοποίηση σύμφωνα με τις ρυθμίσεις του φορέα πιστοποίησης.

Διαβάστε το πεδίο εφαρμογής πριν βασιστείτε σε ένα πιστοποιητικό. Η πιστοποίηση μίας υπηρεσίας ή επιχειρηματικής μονάδας δεν πρέπει να παρουσιάζεται ότι καλύπτει κάθε προϊόν, θυγατρική ή τοποθεσία. Επίσης, δεν εγγυάται ότι δεν θα συμβούν ποτέ περιστατικά ούτε τεκμηριώνει συμμόρφωση με κάθε εφαρμοστέο νόμο.

Επιλέξτε με βάση την απόφαση που πρέπει να λάβει η επιχείρηση

Ξεκινήστε με τις εξωτερικές προσδοκίες και στη συνέχεια εξετάστε τις εσωτερικές λειτουργικές ανάγκες. Ζητήστε από τις ομάδες πωλήσεων και προμηθειών να διακρίνουν τι πραγματικά απαιτούν οι πελάτες από ό,τι απλώς προτιμούν.

Τα «συμμορφούμενο με το ISO 27001», «πιστοποιημένο κατά ISO 27001» και «ευθυγραμμισμένο με το NIST CSF» είναι διαφορετικοί ισχυρισμοί. Αν μια σύμβαση απαιτεί πιστοποιητικό, μια αξιολόγηση CSF δεν θα ικανοποιεί αυτή τη διατύπωση. Αν το διοικητικό συμβούλιο χρειάζεται ένα σαφές σχέδιο βελτίωσης, ένα πιστοποιητικό από μόνο του μπορεί να μην εξηγεί πού πρέπει να επενδύσει στη συνέχεια ο οργανισμός.

Χρησιμοποιήστε αυτά τα σημεία απόφασης:

• Επιλέξτε το CSF ως κύρια δομή επικοινωνίας όταν η άμεση ανάγκη είναι να καθιερωθεί μια κοινή βάση αναφοράς, να συγκριθούν τα τρέχοντα με τα επιθυμητά αποτελέσματα και να ιεραρχηθούν οι επενδύσεις κυβερνοασφάλειας.
• Επιλέξτε το ISO 27001 ως κύρια δομή διαχείρισης όταν ο οργανισμός χρειάζεται ένα επίσημο ΣΔΑΠ με συνεπή αντιμετώπιση κινδύνων, αξιολόγηση και βελτίωση.
• Επιδιώξτε πιστοποίηση όταν η ανεξάρτητη διασφάλιση με καθορισμένο πεδίο εξυπηρετεί έναν τεκμηριωμένο στόχο που αφορά πελάτες, συμβάσεις ή την επιχείρηση.
• Χρησιμοποιήστε και τα δύο όταν το ΣΔΑΠ μπορεί να διέπει την υλοποίηση ενώ τα Προφίλ CSF επικοινωνούν τα επιδιωκόμενα αποτελέσματα στη διοίκηση και στα ενδιαφερόμενα μέρη.

Ένας ώριμος οργανισμός μπορεί να χρησιμοποιήσει το CSF για να επαναξιολογήσει τις προτεραιότητες μετά από μια εξαγορά. Μια μικρή επιχείρηση μπορεί να καθιερώσει νωρίς ένα ΣΔΑΠ κατά ISO 27001 επειδή το απαιτούν οι προσδοκίες στις προμήθειες. Αποφύγετε να κάνετε το μέγεθος της εταιρείας υποκατάστατο της κατανόησης της πραγματικής ανάγκης.

Καμία από τις δύο προσεγγίσεις δεν εξαλείφει την ανάγκη χωριστής ανάλυσης των νομικών υποχρεώσεων. Για παράδειγμα, ένα πιστοποιητικό ISO δεν τεκμηριώνει συμμόρφωση με τον ΓΚΠΔ ή την NIS2. Οι εφαρμοστέες νομικές υποχρεώσεις πρέπει να τροφοδοτούν την εκτίμηση κινδύνων και την επιλογή μέτρων ελέγχου, με τα δικά τους τεκμήρια και τη δική τους λογοδοσία.

Καθιερώστε ένα μοντέλο υλοποίησης, με επανεξετασμένες αντιστοιχίσεις

Η χρήση και των δύο προσεγγίσεων δεν πρέπει να σημαίνει τη δημιουργία δύο ασύνδετων προγραμμάτων ασφάλειας. Ως πρακτική σύσταση, οργανώστε την υλοποίηση γύρω από υπηρεσίες, κινδύνους, μέτρα ελέγχου, κατόχους και τεκμήρια και στη συνέχεια συσχετίστε αυτή την εργασία με κάθε πλαίσιο.

Ένα χρήσιμο αρχείο υλοποίησης περιέχει τα ακόλουθα:

Οι αντιστοιχίσεις είναι πολλά-προς-πολλά. Μία διαδικασία απόκρισης σε περιστατικά μπορεί να στηρίζει πολλά αποτελέσματα του CSF και πολλαπλές απαιτήσεις του ΣΔΑΠ. Αντίστροφα, ένα αποτέλεσμα μπορεί να εξαρτάται από πολιτικές, τεχνικές δικλίδες, εκπαίδευση και ρυθμίσεις με προμηθευτές.

Για την απόκριση σε περιστατικά, το CSF περιγράφει επιδιωκόμενες δυνατότητες όπως ο συντονισμός της απόκρισης και η ανάλυση περιστατικών. Το ΣΔΑΠ προσθέτει ρυθμίσεις διαχείρισης γύρω από την ιδιοκτησία, την αντιμετώπιση κινδύνων, την αξιολόγηση και τη βελτίωση. Ένα αρχείο άσκησης μπορεί να στηρίζει και τα δύο, αλλά δεν αποδεικνύει ότι κάθε αντιστοιχισμένη απαίτηση έχει ικανοποιηθεί.

Κρατήστε ρητά το πεδίο εφαρμογής και τις εκδόσεις των πλαισίων. Μην εφαρμόζετε μια αντιστοίχιση που αναπτύχθηκε για μια υπηρεσία παραγωγής σε μια θυγατρική που εξαγοράστηκε χωρίς να επανεξετάσετε τις διαφορές. Ο οδηγός μας για αντιστοιχίσεις μεταξύ πλαισίων εξηγεί πώς να μοιράζεστε εργασία χωρίς να αντιμετωπίζετε διαφορετικές απαιτήσεις ως ισοδύναμες.

Παράδειγμα: μια επιχείρηση υπηρεσιών με δύο απαιτήσεις

Ας εξετάσουμε, ενδεικτικά, μια επιχείρηση λογισμικού με μία υπηρεσία προς τους πελάτες. Ας υποθέσουμε ότι το διοικητικό της συμβούλιο θέλει ένα σαφέστερο σχέδιο επενδύσεων στην ασφάλεια και ότι ένας υποψήφιος πελάτης απαιτεί πιστοποίηση ISO 27001 που να καλύπτει αυτή την υπηρεσία. Πρόκειται για υποθετικές παραδοχές, όχι για μελέτη περίπτωσης πελάτη.

Ο CEO ορίζει έναν υπόλογο χορηγό από τα ανώτατα στελέχη και ζητά από τον επικεφαλής ασφάλειας να προτείνει ένα πεδίο εφαρμογής που περιλαμβάνει τη λειτουργία της υπηρεσίας και τις σχετικές υποστηρικτικές διαδικασίες. Η πρόταση προσδιορίζει την υποδομή cloud, την εξυπηρέτηση πελατών, την ανάπτυξη, τη διαχείριση ταυτοτήτων και τους εξωτερικούς παρόχους. Η διοίκηση ελέγχει ότι το όριο αντιστοιχεί στην απαίτηση του πελάτη αντί να επιλέγει το μικρότερο βολικό πεδίο.

Η ομάδα αναπτύσσει ένα Τρέχον Προφίλ CSF. Διαπιστώνει ότι οι εγκρίσεις πρόσβασης καταγράφονται, αλλά οι επανεξετάσεις της προνομιακής πρόσβασης είναι ασυνεπείς. Υπάρχουν αντίγραφα ασφαλείας, αλλά τα τεκμήρια επαναφοράς είναι ελλιπή. Οι ρόλοι για τα περιστατικά είναι τεκμηριωμένοι, αλλά η κλιμάκωση προς τους προμηθευτές δεν έχει δοκιμαστεί σε άσκηση.

Το Στοχευόμενο Προφίλ θέτει τρεις προτεραιότητες: συνεπή διακυβέρνηση της προνομιακής πρόσβασης, αποδεδειγμένη ικανότητα επαναφοράς και συντονισμένη απόκριση σε περιστατικά. Η εκτίμηση κινδύνων του ΣΔΑΠ αξιολογεί τις αντίστοιχες επιχειρηματικές συνέπειες και καθορίζει τις αποφάσεις αντιμετώπισης.

Η διοίκηση επανεξετάζει την πρόοδο σε σχέση με το Στοχευόμενο Προφίλ και τους στόχους του ΣΔΑΠ. Χρηματοδοτεί τις ανεπίλυτες εξαρτήσεις αποκατάστασης και αποφασίζει πώς θα αντιμετωπιστούν οι προσωρινές εξαιρέσεις πρόσβασης. Ο εσωτερικός έλεγχος εξετάζει το σύστημα διαχείρισης και την υλοποίηση· οι διορθωτικές ενέργειες αντιμετωπίζονται πριν από την αξιολόγηση πιστοποίησης.

Το αποτέλεσμα δεν είναι δύο σύνολα στιγμιοτύπων οθόνης. Είναι ένα ενιαίο σύνολο τεκμηρίων υλοποίησης, που ερμηνεύεται σε σχέση με διαφορετικές απαιτήσεις, με ορατή ιδιοκτησία και αποφάσεις της διοίκησης.

Προϋπολογίστε την υλοποίηση και τη συνεχή λειτουργία

Το NIST CSF διατίθεται δωρεάν, αλλά η εφαρμογή του δεν είναι χωρίς κόστος. Και οι δύο προσεγγίσεις απαιτούν χρόνο προσωπικού για την κατανόηση των κινδύνων, τη βελτίωση των μέτρων ελέγχου, τη συλλογή τεκμηρίων, την εκπαίδευση των ανθρώπων και τη διατήρηση των πρακτικών. Το ISO 27001 περιλαμβάνει επιπλέον την απόκτηση του προτύπου και, όπου επιδιώκεται, τις αμοιβές του φορέα πιστοποίησης.

Καταρτίστε τον προϋπολογισμό γύρω από πακέτα εργασίας αντί για μια υποτιθέμενη τιμή αγοράς:

• Αξιολόγηση βάσης αναφοράς και ορισμός πεδίου εφαρμογής.
• Αλλαγές στα μέτρα ελέγχου, συμπεριλαμβανομένης εργασίας μηχανικής και προμηθευτών.
• Τεκμηρίωση, επανεξέταση τεκμηρίων και εκπαίδευση προσωπικού.
• Εσωτερικός έλεγχος, ανασκόπηση από τη διοίκηση και διορθωτικές ενέργειες.
• Εξωτερική αξιολόγηση πιστοποίησης, όπου χρειάζεται.
• Επαναλαμβανόμενη ιδιοκτησία, παρακολούθηση, ασκήσεις και επαναξιολόγηση.

Ζητήστε προσφορές πιστοποίησης για το ίδιο πεδίο εφαρμογής ώστε να μπορούν να συγκριθούν ουσιαστικά. Ρωτήστε ποιες αξιολογήσεις, τοποθεσίες, εργασίες παρακολούθησης και δαπάνες περιλαμβάνονται. Κρατήστε την αποκατάσταση των μέτρων ελέγχου χωριστά από τις αμοιβές πιστοποίησης: μια φθηνή προσφορά ελέγχου δεν καθιστά έτοιμο ένα υποχρηματοδοτούμενο πρόγραμμα ασφάλειας.

Αξιολογήστε την εμπορική αξία με βάση τεκμηριωμένες απαιτήσεις και ευκαιρίες πελατών, όχι με την υπόσχεση ότι η πιστοποίηση παράγει αυτομάτως έσοδα.

Αποφύγετε ισχυρισμούς που τα τεκμήρια δεν μπορούν να στηρίξουν

Συνήθη λάθη είναι η δήλωση «συμμόρφωσης με το NIST» χωρίς εξήγηση του Προφίλ και του πεδίου εφαρμογής, η παρουσίαση ενός στενού πιστοποιητικού ως διασφάλισης για ολόκληρη την εταιρεία και η αντιμετώπιση των αντιστοιχισμένων μέτρων ελέγχου ως απόδειξης αποτελεσματικότητας.

Ένα άλλο λάθος είναι η μέτρηση της επιτυχίας μόνο με βάση τα έγγραφα που ολοκληρώθηκαν. Η διοίκηση πρέπει επίσης να ρωτά αν οι σημαντικές υπηρεσίες έχουν δοκιμασμένες διαδρομές αποκατάστασης, αν οι εξαιρέσεις έχουν κατόχους, αν οι καθυστερημένες αντιμετωπίσεις κλιμακώνονται και αν τα προηγούμενα ευρήματα επαναλαμβάνονται. Αυτά τα ερωτήματα συνδέουν το σύστημα διαχείρισης με τις λειτουργικές επιδόσεις.

Δεν υπάρχει υπερασπίσιμο καθολικό ποσοστό που να δείχνει πόσο κοντά βρίσκεται μια υλοποίηση του CSF στη συμμόρφωση με το ISO 27001. Τα υφιστάμενα μέτρα ελέγχου μπορεί να είναι επαναχρησιμοποιήσιμα, αλλά οι ελλείπουσες απαιτήσεις του συστήματος διαχείρισης, οι διαφορές στο πεδίο εφαρμογής και τα αδύναμα τεκμήρια εξακολουθούν να χρειάζονται αξιολόγηση.

Κάντε το επόμενο βήμα μια απόφαση διαχείρισης με καθορισμένο πεδίο

Συντάξτε ένα σύντομο σημείωμα απόφασης που αναφέρει το απαιτούμενο αποτέλεσμα, το προτεινόμενο όριο, τις προσδοκίες των πελατών, τον υπόλογο χορηγό, τα κύρια κενά και τους πόρους που χρειάζονται. Αποφασίστε αν το επόμενο ορόσημο είναι ένα επανεξετασμένο Προφίλ CSF, ένα ΣΔΑΠ σε λειτουργία ή η ετοιμότητα για πιστοποίηση. Δώστε σε κάθε ορόσημο κριτήρια αποδοχής που περιλαμβάνουν τεκμήρια, όχι μόνο την ολοκλήρωση εγγράφων.

Η Secani υποστηρίζει αυτή τη ροή εργασίας μοντελοποιώντας συστήματα και υπηρεσίες, συνδέοντας τεκμήρια με απαιτήσεις, μέτρα ελέγχου και αποφάσεις και αναθέτοντας κατόχους και εργασίες επανεξέτασης. Οι ομάδες μπορούν να διατηρούν συνδέσμους προς πηγές, σχόλια, εγκρίσεις και χρονοσφραγίδες, αντιμετωπίζοντας τις προτάσεις που υποβοηθούνται από ΤΝ ως προσχέδια που απαιτούν ανθρώπινη επανεξέταση. Ξεκινήστε με ένα αντιπροσωπευτικό πεδίο εφαρμογής και τα υφιστάμενα τεκμήριά του πριν επεκτείνετε την κάλυψη.

Η ευθύνη της διοίκησης παραμένει ρητή: εγκρίνει τις προτεραιότητες, εξασφαλίζει πόρους για την εργασία και επανεξετάζει αν τα τεκμήρια στηρίζουν τους ισχυρισμούς που διατυπώνει η επιχείρηση.