ISO 27001 sertifitseerimine: looge püsiv ISMS

Klient küsib teie ISO 27001 sertifikaati. Äriline tähtaeg on selge, juurutustöö aga ei pruugi olla. Juhtkonna esimene otsus on, kas luua turvalisuse juhtimissüsteem, mida ettevõte suudab püsivalt ülal pidada, või korraldada auditikuupäeva ümber ajutine projekt.

Kasulik sertifitseerimiskava algab süsteemi määratlemisest, mida teil on vaja käitada, ning alles seejärel korraldatakse tõendid, mis seda süsteemi näitavad. See tähendab otsustamist, milliseid teenuseid sertifikaat peaks hõlmama, kes võib riskiotsuseid heaks kiita, milliseid ressursse kontrollimeetmete omanikud vajavad ja kuidas juhtkond saab teada, kas kontrollimeetmed toimivad.

Sertifikaat on oluline väljund. Püsiv ärivara on aga infoturbe juhtimissüsteem ehk ISMS, mis jääb kasulikuks ka siis, kui töötajad lahkuvad, tarnijad vahetuvad, turule tulevad uued tooted ja kliendid esitavad keerulisemaid küsimusi.

Mida ISO 27001 sertifitseerimine tegelikult kinnitab

ISO/IEC 27001 määrab kindlaks nõuded ISMS-i loomiseks, rakendamiseks, säilitamiseks ja pidevaks täiustamiseks. Selle eesmärk on juhtida teabe konfidentsiaalsuse, terviklikkuse ja käideldavuse riske organisatsiooni kontekstis.

Konfidentsiaalsus puudutab teabe sobimatut avalikustamist, näiteks kui kliendiandmed muutuvad volitamata kasutajatele kättesaadavaks. Terviklikkus puudutab ebatäpseid või volitamata muudatusi, näiteks kui keegi muudab maksejuhiseid. Käideldavus puudutab juurdepääsu siis, kui seda vajatakse, näiteks olulise teenuse taastamist pärast taristutõrget.

Sertifitseerimine puudutab seda juhtimissüsteemi selle määratud ulatuses. See ei garanteeri, et ükski toode pole haavatav, et intsidente ei saa juhtuda või et iga äriüksust on hinnatud. Ühte hallatud teenust hõlmavat sertifikaati ei tohiks esitada kindlustandvusena mõne sellega mitteseotud toote kohta.

ISO ja IEC avaldavad standardi, kuid ei sertifitseeri teie organisatsiooni. Hindamise teeb ja sertifitseerimisotsuse langetab sõltumatu sertifitseerimisasutus. Klientidele kindlustunde andmiseks on praktiline soovitus valida asutus, mis on akrediteeritud asjaomaseks ISMS-i sertifitseerimistegevuseks, ning veenduda, et selle sertifikaat vastab ostjate nõuetele.

Oluline on ka vastavuse ja sertifitseerimise erinevus. Organisatsioon võib rakendada standardile vastava ISMS-i ilma välist sertifitseerimist taotlemata. Sertifitseerimine lisab sõltumatu hindamise ja ametliku sertifikaadi. Tarkvara ostmine, kvalifitseeritud juurutaja palkamine või koolituse läbimine ei anna organisatsioonile sertifikaati.

Otsustage, kas sertifitseerimine lahendab äriprobleemi

Sertifitseerimine on eriti asjakohane, kui sõltumatut kindlustandvust õigustavad hankenõuded, lepingulised kohustused, tundlik teave või tegevuslikud sõltuvused. See ei ole iga ettevõtte jaoks universaalne seaduslik kohustus.

Enne otsuse tegemist paluge müügi- ja kliendihaldusmeeskondadel välja selgitada tegelik nõue. Kas ostja nõuab sertifikaati enne lepingu allkirjastamist, enne tootmiskeskkonnale juurdepääsu või lepingu pikendamisel? Kas see peab hõlmama konkreetset teenust või juriidilist isikut? Kas ostja nõuab endiselt turvaküsimustikku, testiaruandeid või täiendavaid lepingulisi kontrollimeetmeid?

Need vastused mõjutavad investeeringute prioriteete. Sertifikaat võib hanget toetada, kuid see ei kõrvalda kogu hoolsuskontrolli. Ärge prognoosige tulu eeldusel, et sertifitseerimine lõpetab automaatselt iga kliendi turvaülevaatuse.

Hoidke sertifitseerimine regulatiivsest analüüsist lahus. ISMS võib toetada muude kohustuste jaoks vajalikke tõendeid ja juhtimist, kuid sertifitseerimine ei tõenda vastavust GDPR-ile ega NIS2-le. Neil režiimidel on oma kohaldamisreeglid ja kohustused. NIS2 võetakse üle riigisisese õigusega; GDPR-i kohustused sõltuvad isikuandmete töötlemise toimingutest ja organisatsiooni rollidest.

Juhtkonna põhjendus peaks seega määratlema kolm asja: klientide vajatava kindlustandvuse, infoga seotud riskid, mida ettevõte peab juhtima, ning jooksvad tegevuskulud. Kiitke programm heaks nende alusel, mitte lubaduse alusel saada sertifikaat suvaliseks kuupäevaks.

Määrake ulatus, millest kliendid aru saavad

Ulatus kirjeldab ISMS-i piire ja kohaldatavust. See peaks määratlema asjaomased teenused, organisatsiooniüksused, asukohad, inimesed, teabe, süsteemid ja sõltuvused. Samuti tuleb arvesse võtta liideseid nendest piiridest väljapoole jäävate tegevustega.

Kitsas ulatus võib olla asjakohane, eriti esmasel juurutamisel. See peab siiski kajastama seda, mida kliendid ootavad sertifikaadilt. Tootmiskeskkonna juurdepääsu haldava meeskonna väljajätmine ei kõrvalda selle mõju ulatusse kuuluvale kliendile pakutavale teenusele.

Majutatud rakenduse puhul vaadake läbi kogu teenuseahel: arendus, juurutus, tootmiskeskkonna käitamine, tugiteenuse juurdepääs, identiteedihaldus, varukoopiad ja olulised välised teenusepakkujad. Jagatud personali- või IT-protsessid võivad mõjutada turvalisust ka siis, kui ulatus keskendub tootele, mitte kogu ettevõttele.

Praktiline ulatuse kirje peaks vastama järgmistele küsimustele.

• Milline juriidiline isik teenust osutab?
• Milliseid kliendile suunatud teenuseid ja millist teavet hõlmatakse?
• Millised asukohad ja kaugtöökorraldused on olulised?
• Millised meeskonnad ja jagatud protsessid neid teenuseid mõjutavad?
• Millised tarnijad pakuvad taristut või käsitlevad asjaomast teavet?
• Mis jääb piiridest välja ja kuidas selle liideseid hallatakse?

Testige pakutud sõnastust kolleegiga, kes suhtleb ostjatega. Kui ta ei oska selgitada, kas kliendi teenus on hõlmatud, vajab sõnastus parandamist.

Ärge optimeerige ulatust üksnes auditikulude vähendamiseks. Väiksem piir võib tekitada keerulisi liideseid ja jätta ärilise nõude vastuseta. Vastupidi võib kõigi kontserni ettevõtete kohene kaasamine tekitada tarbetut koordineerimist. Õige piir on põhjendatav, arusaadav ja tegevuslikult hallatav.

Dokumenteerige põhjendus ja ajendid selle ülevaatamiseks, näiteks ettevõtte omandamine, taristu kolimine või oluliselt erineva teenuse käivitamine. Ulatus peaks jääma juhtkonna otsuseks, mitte unustatud lõiguks.

Andke programmile volitused, mitte ainult omanik

Määrake juurutusjuht ja vastutav juhtkonna sponsor. Neil on erinevad kohustused. Juht koordineerib tööd ja hoiab ülevaadet; sponsor lahendab prioriteete, kiidab heaks ressursid ja tagab, et turvaeesmärgid sobivad äriotsustega.

Kontrollimeetmete omanikud peaksid olema need, kellel on tegevuslik pädevus. Personaliosakond võib vastutada töösuhetega seotud protseduuride eest, IT seadmehalduse eest, arendus arendustavade eest ning hankeosakond võib koordineerida tarnijate hindamist. Vastavusjuht ei tohiks saada nominaalselt vastutavaks protsesside eest, mida ta ei saa muuta.

Määrake, kes ja millisel tasemel võib jääkriski aktsepteerida. Teenuse omanik võib soovitada piiratud tegevusliku riski aktsepteerimist, samas kui oluliste klientidele antud lubadustega seotud risk võib nõuda tippjuhtkonna heakskiitu. Dokumenteerige otsus, põhjendus, tingimused ja ülevaatuskuupäev.

Juhtkond peab kaitsma ka juurutamiseks vajalikku võimekust. Töö jagamine ilma sellele ruumi tegemata põhjustab ennustatavaid viivitusi. Küsige omanikelt vajaliku töömahu, sõltuvuste ja kompromisside kohta ning kiitke seejärel heaks realistlik kava.

Juhtkonnapoolne ülevaatus on koht, kus juhtkond hindab süsteemi ja teeb otsuseid täiustamise, muudatuste ja ressursside kohta. Allkirjastatud koosolekuprotokoll ilma sisuliste otsusteta on vähese praktilise väärtusega. Ülevaatus peaks tooma esile lahendamata valikud, mitte üksnes kinnitama rohelist armatuurlauda.

Mõistke nõudeid enne kontroll-loendi ostmist

ISO/IEC 27001 punktide 4–10 nõuded moodustavad juhtimissüsteemi tuuma. Neid ei saa vastavust väites välja jätta. Nende praktilised väljundid erinevad üksikute turvameetmete rakendamisest.

2022. aasta väljaande lisa A sisaldab 93 viitemeedet: 37 organisatsioonilist, kaheksa inimestega seotud, 14 füüsilist ja 34 tehnoloogilist meedet. Kohaldatavus on riskipõhine; puudub universaalne arv, mida iga ettevõte peaks rakendama.

Määrake riskikäsitluseks vajalikud kontrollimeetmed ja võrrelge neid seejärel lisaga A, et veenduda, et ühtegi vajalikku meedet pole kahe silma vahele jäänud. Kontrollimeetmed võivad tuleneda ka lepingulistest nõuetest, muudest allikatest või teie enda kavandist. Lisa A ei asenda riskihindamist ega ole kõigi võimalike turvameetmete ammendav kataloog.

Kohaldatavuse avaldus (SoA) dokumenteerib vajalikud kontrollimeetmed, nende kaasamise põhjused, rakendusoleku ja lisa A meetmete väljajätmise põhjendused. Säilitage piisav jälgitavus, et selgitada, kuidas need otsused on seotud riskikäsitluse ja muude nõuetega.

ISO 27002 annab juhiseid infoturbe meetmete kohta; ISO 27001 sisaldab sertifitseeritavaid juhtimissüsteemi nõudeid. Kasutage juhiseid rakendusvõimaluste mõistmiseks, kuid kohandage protseduurid oma organisatsioonile, selle asemel et võtta üle tegevusmudel, mida te ei suuda ülal pidada.

Looge riskikäsitlus enne tõendite kogumist

Alustage korratavast riskihindamise meetodist. Määratlege, kuidas riske tuvastatakse, kuidas hinnatakse tõenäosust ja tagajärgi, kuidas tulemusi võrreldakse ja millised kriteeriumid määravad aktsepteeritavuse. Järjepidev tõlgendus on olulisem kui keeruline hindamisvalem.

Kirjeldage riske stsenaariumidena. „Pilveteenuse risk“ on otsuse toetamiseks liiga ebamäärane. „Administraatori konto kompromiteeritakse ja seda kasutatakse kliendiandmete eksportimiseks“ määratleb sündmuse, mõjutatud teabe ja ärilise tagajärje.

Kaasake inimesi, kes teenust tunnevad. Nad oskavad selgitada olemasolevaid kaitsemeetmeid, tugiteenuse juurdepääsu, tarnijasõltuvusi, taastamise piiranguid ja möödahiilimisviise, mis üldisest riskiteegist võivad välja jääda. Praktilise kirjestruktuuri kohta vaadake meie juhendit tegevusriskide registri kohta.

Iga olulise riski puhul dokumenteerige omanik, hinnang, praegused kontrollimeetmed, käsitlusotsus, sihttulemus ja jääkriski hinnang. Võimalikud käsitlusviisid on riski vähendamine, tegevusest loobumine, riski teatud aspektide jagamine või riski aktsepteerimine määratletud kriteeriumide alusel. Kindlustus või allhange ei kõrvalda kõiki tagajärgi ega vastutust.

Muutke käsitlus vastutusega tööks. „Parandada juurdepääsuturvet“ ei ole elluviidav kava. Täpsustage mõjutatud süsteemid, vajalik muudatus, omanik, valmimiskriteeriumid ja see, kuidas tõhusust hinnatakse.

Hoidke need kirjed lahus:

Need peaksid olema omavahel kooskõlas, muutumata üksteise koopiateks. Kui käsitlus sõltub tarnijate seirest, kuid seotud kontrollimeede on ilma selgituseta välja jäetud, lahendage vastuolu enne auditiks valmistumist.

Vaadake riskid üle kavandatud ajavahemike järel ja oluliste muudatuste korral. Uus tugiteenuse pakkuja, laiendatud andmekogumine, intsident või suur arhitektuurimuudatus võib varasema otsuse aegunuks muuta.

Muutke kontrollimeetmed igapäevatöö osaks

Poliitika sõnastab ootused; protseduur selgitab, kuidas töö käib; tegevuskirjed näitavad, mis tegelikult toimus. Sertifitseerimiseks valmistumisel on asjakohastel juhtudel vaja kõiki kolme.

Näiteks peaks juurdepääsupoliitika olema seotud rakendatud liitumis- ja lahkumisprotsessiga, valimisse võetud juurdepääsumuudatustega ja erandite ülevaatusega. Ainult poliitikadokument jätab suurema osa sellest loost tõendamata.

Kujundage protsess tegelike vastutusalade ümber. Määrake, kes juurdepääsu taotleb, kes selle heaks kiidab, kes selle annab, mis juhtub, kui kellegi roll muutub, ja kuidas kontod eemaldatakse. Kaasake teenusekontod ja välised kasutajad, kui need ulatust mõjutavad.

Rakendage sama mõtteviisi ka teistes olulistes protsessides.

• Tarnijate hindamine peaks siduma teenuse kriitilisuse, juurdepääsu teabele, lepingulised ootused, ülevaatuste tulemused ja lahendamata probleemid.
• Intsidentide haldus peaks siduma teavitamiskanalid, reageerimiskohustused, eskaleerimise, taastamise ja saadud õppetunnid.
• Varundamine ja taastamine peaks siduma ärivajadused, kaitstud süsteemid, taastamisprotseduurid, testitulemused ja järeltegevused.
• Muudatuste haldus peaks siduma heakskiidu, testimise, juurutuskirjed, erakorralised muudatused ja erandid.

Füüsilised ja inimestega seotud kontrollimeetmed on olulised ka pilvepõhises organisatsioonis. Kaugtööd, seadmete kaitset, konfidentsiaalseid vestlusi, töösuhete muutusi ja teadlikkust ei saa kõrvale jätta seetõttu, et serverid on sisse ostetud.

Määrake kontrollimeetmete sagedus riski ja tegevusvajaduste järgi. Ärge kopeerige poliitikasse kord kvartalis toimuva ülevaatuse lubadust, kui omanik ei suuda seda täita ja kirjeid säilitada. Poliitika, mis kirjeldab protsessi, mida keegi ei järgi, tekitab välditava lõhe kavatsuse ja rakenduse vahel.

Kavandage tõendid kontrollimiseks, mitte mahu jaoks

Hea tõend vastab kindlale küsimusele nõude või kontrollimeetme kohta. Suur ekraanipiltide kaust ei ole iseenesest tugevam kui väiksem, hästi selgitatud usaldusväärsete kirjete kogum.

Iga olulise kontrollimeetme puhul määrake lähtesüsteem, omanik, kogumisviis, katvus, eeldatav sagedus ja ülevaataja. Eristage kavandi tõendeid toimimise tõenditest. Identiteedikonfiguratsioon võib näidata, et mitmikautentimine on lubatud; heakskiidukirjed ja juurdepääsu ülevaatused näitavad juurdepääsu juhtimise muid aspekte.

Tõend peaks oma tähenduse selgeks tegema.

• Millist teenust, süsteemi või kogumit see hõlmab?
• Millal see loodi ja millist perioodi see esindab?
• Kas see on hinnatava küsimuse jaoks piisavalt täielik?
• Kes selle üle vaatas ja milliseid erandeid tuvastati?
• Millised järeltegevused nendest eranditest tulenesid?

Säilitage ka ebaõnnestunud tulemused. Ebaõnnestunud taastetest koos dokumenteeritud uurimise, parandustöö ja eduka kordustestiga võib näidata, et seire ja täiustamine toimivad. Ebamugavate tulemuste kustutamine kahjustab kirje kasulikkust.

Kaitske tõendeid kui omaette teavet. Ekspordid võivad sisaldada töötajate andmeid, kliendiidentifikaatoreid või tundlikke konfiguratsioone. Piirake juurdepääsu, vähendage tarbetut sisu ja määrake säilitamine asjaomaste kohustuste ja ärivajaduste alusel. Korraldage audiitoritele kontrollitud juurdepääs, selle asemel et jagada muretult laiu arhiive.

Kasutage siseauditit ja juhtkonnapoolset ülevaatust valmisoleku testimiseks

Siseaudit hindab, kas ISMS vastab kohaldatavatele nõuetele ning kas see on tõhusalt rakendatud ja säilitatud. See peaks hõlmama juhtimissüsteemi, mitte üksnes kontrollima tehnilisi seadistusi.

Kavandage auditi ulatus, kriteeriumid, meetodid ja aruandlus. Valige pädevad audiitorid ning säilitage objektiivsus ja erapooletus. Väike organisatsioon võib kasutada välist tuge või sobivaid funktsiooniüleseid lahendusi, selle asemel et paluda ühel inimesel hinnata kogu oma tööd.

Kasulik auditi testimine järgib kirjet läbi protsessi. Valige töötaja lahkumine ja kontrollige teavitamist, konto eemaldamist, seadmete käsitlemist ja erandeid. Valige tarnija ja uurige, kas selle riskihinnang vastab tegelikule juurdepääsule. Valige käsitlustegevus ja kontrollige, kas deklareeritud lõpetamisel on tegevuslik tugi.

Dokumenteerige leiud täpselt, sealhulgas nõue, täheldatud tõendid ja lünk. Ärge taandage auditit valmidusprotsendile, mis varjab puuduvaid juhtimisprotsesse.

Seejärel käsitleb juhtkonnapoolne ülevaatus nõutavaid sisendeid, sealhulgas toimivust, auditi tulemusi, muudatusi, riskihindamise ja -käsitluse olekut ning täiustamisvõimalusi. Valmistage ette lühike otsustuspakett koos kättesaadavate toetavate kirjetega. Selgitage, kus juhtkond peab valima parandustöö, lisaressursside, muudetud eesmärkide või heakskiidetud riski aktsepteerimise vahel.

Mittevastavuste puhul eristage kohest korrigeerimist parandustegevusest. Tähelepanuta jäänud konto keelamine korrigeerib kohest probleemi. Teavitusprotsessi parandamine ja hilisemate lahkumiste kontrollimine tegeleb kordumisega. Dokumenteerige põhjus, tegevus, omanik ja tõhususe hindamine.

Mõistke 1. etappi, 2. etappi ja sertifitseerimisotsust

Esmane sertifitseerimine hõlmab tavaliselt kahte auditietappi. Leppige sertifitseerimisasutusega korraldus, oodatavad kirjed ja valmisolekuootused kokku piisavalt varakult, et saaksite korralikult planeerida.

1. etapp uurib valmisolekut, ulatust ja juhtimissüsteemi dokumentatsiooni. See aitab asutusel organisatsiooni mõista ja hinnata valmisolekut 2. etapiks. Oodake, et põhjalikult vaadeldakse ulatuse, riskihindamise, käsitluse, kohaldatavuse avalduse ja juhtimisprotsesside omavahelist seost. Lahendage tuvastatud probleemid, selle asemel et käsitleda 1. etappi haldusliku broneerimisetapina.

2. etapp hindab rakendamist ja tõhusust. Audiitorid kasutavad intervjuusid, vaatlust ja valimisse võetud kirjeid, et testida, kas ISMS toimib nii, nagu kirjeldatud. Töötajad peaksid suutma selgitada oma tegelikke kohustusi, mitte esitama päheõpitud vastuseid.

Hoidke päringud auditi ajal korras. Määrake koordinaator, registreerige päringud, leidke õige omanik ja esitage asjakohased tõendid koos kontekstiga. Kui midagi puudub, selgitage olukorda täpselt. Ärge looge tagantjärele kirjeid, mis jätavad vale mulje, et mingi protsess toimus.

Mittevastavus tähendab, et nõue ei ole täidetud. Suured mittevastavused mõjutavad juhtimissüsteemi võimet saavutada kavandatud tulemusi; väikesed mittevastavused sellist mõju ei avalda. Liigitus sõltub kontekstist, mistõttu ei saa ühele puuduvale kirjele eelnevalt universaalset silti anda.

Sertifitseerimisasutus määrab leiud, nõutavad vastused, kontrollikorra ja sertifitseerimisotsuse sõltumatult. Kontrollige selle tähtajad ja järeltegevuse nõuded eelnevalt üle. Audiitori soovitus ei ole iseenesest väljastatud sertifikaat ja lahendamata leiud võivad otsust edasi lükata.

Pärast sertifitseerimist hõlmab tüüpiline tsükkel vahepealsetel aastatel järelevalveauditeid ja taassertifitseerimist enne kolmeaastase sertifikaadi aegumist. Kontrollige konkreetne auditiprogramm ja tingimused oma asutusega üle. Järelevalve ei ole luba ISMS-i külastuste vahel peatada.

Planeerige ajakava ja eelarve sõltuvuste järgi

Kestus sõltub küpsusest, ulatusest, lahendamata riskidest, tõendite kättesaadavusest, sisemisest võimekusest ja audiitori ajakavast. Puudub universaalne ISO 27001 toimimistõendite periood, mis muudaks iga organisatsiooni automaatselt valmis.

Küsige sertifitseerimisasutuselt, mida see teie olukorras valimisse võtma peab. Igakuiselt tehtav protsess tekitab kirjeid teisiti kui iga-aastane harjutus. Ärge oodake auditi broneerimiseni, et avastada, et mõnda olulist kontrollimeedet pole kunagi rakendatud.

Eristage tööd, mida saate kiirendada – kogumine, koordineerimine, koostamine ja ülevaatuseks valmistumine –, tööst, mis nõuab rakendamist ja tõendatud toimimist. Tehke sõltumatuid ülesandeid paralleelselt, kuid säilitage sõltuvused: kohaldatavuse avaldust ei saa usutavalt lõplikuks vormistada ilma kontrollimeetmete valiku põhjenduseta ning tõhusust ei saa hinnata üksnes kavandatud poliitika põhjal.

Kasutage ühe optimistliku lõppkuupäeva asemel valmisolekuväravaid:

Planeerige eelarvesse sisemine töö, parandustööd, tööriistad, koolitus, valikuline nõustamine ja väline hindamine. Arvestage järelevalve, taassertifitseerimise ja jooksva hooldusega, mitte ainult esimese auditi arvega.

Paluge sertifitseerimisasutustel selgitada oma eeldusi personali, asukohtade, tegevuste, keerukuse ja auditikorralduse kohta. Võrrelge kogu tsüklit ja järeltegevuse tasusid. Ärge käsitlege madalat esialgset hinnapakkumist sertifitseeritud ISMS-i käitamise täieliku kuluna.

Näide: üks teenus, üks jätkusuutlik kava

Võtame illustreeriva näitena 30 töötajaga ettevõtte, mis osutab majutatud dokumendijagamise teenust. Oletame, et sellel on juba identiteedihaldus, juurutuste heakskiidud ja varukoopiad, kuid tarnijate ülevaatused ja juurdepääsu ülevaatuste kirjed on ebaühtlased. Selle potentsiaalne klient soovib kindlustandvust majutatud teenuse kohta, sealhulgas tugiteenuse juurdepääsu kohta.

Juhtkond määrab ulatusse teenuse ning seda toetavad arendus-, käitus- ja tugiprotsessid. See dokumenteerib liidesed personaliosakonna ja jagatud IT-ga, selle asemel et nende turvamõju välja jätta. Programmi sponsor on tegevjuht; juurutusjuht koordineerib seda; tegevjuhid on kontrollimeetmete omanikud.

Meeskond tuvastab stsenaariumi, kus tugiteenuse liigsed õigused paljastavad kliendidokumente. Käsitlus hõlmab piiratud tugirolle, heakskiidetud ajutist õiguste tõstmist, juurdepääsu ülevaatusi ja teenusele sobivat seiret. Kohaldatavuse avaldus dokumenteerib vajalikud kontrollimeetmed ja nende rakendusoleku.

Seejärel kogub juurdepääsu omanik rollikonfiguratsiooni, valimisse võetud heakskiidukirjed, lõpetatud ülevaatuse ja tõendi selle kohta, et ülevaatuse käigus avastatud liigsed õigused eemaldati. Need kirjed tõendavad enamat kui juurdepääsupoliitika olemasolu.

Siseauditi käigus leitakse lahkunud lepingupartner, kelle konto on endiselt aktiivne. Meeskond keelab konto, uurib vahele jäänud teavitust personaliosakonnast IT-le, lisab selgesõnalise lepingupartneri lepingu lõpetamise sammu ja kontrollib hilisemaid lahkumisi, et hinnata tõhusust. Juhtkonnapoolne ülevaatus käsitleb leidu, allesjäänud riske ja jooksvateks ülevaatusteks vajalikke ressursse.

Ainult eelarve planeerimiseks oletame, et kaheksa osalejat kulutavad igaüks kaksteist nädalat kaks tundi nädalas. See teeb 192 sisemist tundi, enne spetsialistide parandustöid ja auditis osalemist. See on illustreeriv võimekuse arvutus, mitte turuhinnang ega sertifitseerimislubadus.

Õppetund on juhtimisalane: andke töö inimestele, kellel on volitused, reserveerige võimekus ja seadke valmisolek sõltuvusse tõenditest. Olemasolevad tehnilised kaitsemeetmed vähendavad osa juurutustööst, kuid ei asenda riskiotsuseid, siseauditit ega juhtkonnapoolset ülevaatust.

Automatiseerige korduv töö, säilitades otsustusõiguse

Automatiseerimine võib toetada inventari uuendamist, tõendite kogumist, meeldetuletusi, tehnilisi kontrolle ja aruandlust. Eelistage korduvat tööd, millel on usaldusväärsed lähteandmed ja selge ülevaataja, selle asemel et automatiseerida ebaselget protsessi.

Automatiseeritud kontrollil peab olema määratletud katvus ja tõrkekäsitlus. Kui ühendus lõpetab kirjete kogumise, eristage olukorda „probleemi ei tuvastatud“ olukorrast „ajakohased andmed puuduvad“. Enne tulemusele toetumist veenduge, et allikas hõlmab asjaomaseid süsteeme, kontosid või asukohti.

Hoidke inimese otsustus selgesõnaline riski aktsepteerimisel, kontrollimeetmete kohaldatavuse, tõendite põhjal tehtavate järelduste ja juhtkonna otsuste puhul. Konfiguratsioonikontroll võib näidata, et krüpteerimine on lubatud; see ei tõenda, et võtmetele juurdepääsu, taastamist ja erandlikke andmeteid hallatakse asjakohaselt.

Samuti võib töövoo automatiseerimine korraldada siseauditi päringuid ja leide, kuid see ei anna auditipädevust ega sõltumatust. Tehisintellekti loodud kokkuvõtted ja vastendused peaksid jääma mustanditeks, kuni ülevaataja on allikad kontrollinud ja järeldused heaks kiitnud.

Mõõtke nii tõhusust kui ka mõjusust: tõendite ettevalmistamisele kulunud aega, tähtaja ületanud parandustegevusi, puudulikku katvust, korduvaid tõrkeid ja oluliste erandite lahendamiseks kulunud aega. Meie juhend ISMS-i mõõdikute kohta selgitab, kuidas muuta mõõdikud juhtkonna otsuste jaoks kasulikuks.

Hoidke omanikutunne aktiivsena ka pärast sertifitseerimist

Enne sertifikaadi saabumist koostage hoolduskalender. Praktilised soovitused hõlmavad omanike regulaarseid kontrolle, oluliste muudatuste ajendatud riskiülevaatusi, kavandatud kontrollimeetmete hindamisi, siseauditeid, juhtkonnapoolseid ülevaatusi ja välishindamisteks valmistumist. Valige sagedus protsessi ja riski järgi, selle asemel et muuta iga tegevus igakuiseks.

Määrake vastutus ümber, kui töötajad liiguvad teisele ametikohale või lahkuvad. Vaadake ulatus ja kontrollimeetmete kohaldatavus üle, kui ettevõte muutub. Jälgige korduvaid erandeid: korduvalt hilinenud juurdepääsu eemaldamine viitab protsessiprobleemile isegi siis, kui iga üksikjuhtum lõpuks suletakse.

Secani toetab seda töövoogu, sidudes nõuded, kontrollimeetmed, tõendid, omanikud, ülesanded ja ülevaatusotsused ühises tööruumis. Alustage ühest esinduslikust teenusest, modelleerige selle süsteemid ja sõltuvused, siduge olemasolevad tõendid sellega, mida need tõendavad, ning muutke lüngad määratud ülesanneteks. Vaadake tehisintellekti abil tehtud soovitused allikate põhjal üle ning säilitage inimeste heakskiidud ja otsuste ajalugu. See aitab meeskonnal säilitada sertifitseerimise käigus õpitut ka süsteemide muutudes; sertifitseerimine jääb sõltumatu asutuse otsuseks.

Küsimused, mis muudavad juurutuskava

Kas ISO 27001 nõuab läbistustesti?

ISO 27001-s puudub universaalne punkt, mis nõuaks igalt organisatsioonilt läbistustesti tegemist. Vajalik testimine sõltub riskikäsitlusest, kohaldatavatest kontrollimeetmetest, teenuse omadustest ja lepingulistest nõuetest. Kui testimist on vaja, määratlege katvus, parandustööd ja kordustestimine, selle asemel et säilitada ainult aruanne.

Kas peaksime selle asemel taotlema SOC 2?

Küsige, mida kliendid nõuavad ja millist ulatust nad ootavad. SOC 2 tulemuseks on atesteerimisaruanne; ISO 27001 tulemuseks on juhtimissüsteemi sertifikaat. Osa toimimistõenditest võib olla taaskasutatav, kuid kumbki ei muutu automaatselt teiseks. Hinnake eraldi nõudeid enne, kui otsustate mõlema kasuks.

Kas vajame välist konsultanti?

Mitte tingimata. Välisabi võib aidata tõlgendamise, võimekuse või eriteadmiste vajaduste puhul. Säilitage sisemine vastutus ja tagage, et protseduurid jäävad kasutatavaks ka pärast koostöö lõppu. Inimese juurutaja- või audiitorikvalifikatsioon ei sertifitseeri tema tööandjat.

Alustage otsusest ja tõendite jäljest

Kiitke heaks lühike juurutusharta, milles on kirjas äriline vajadus, kavandatud ulatus, sponsor, juht, kontrollimeetmete omanikud, võimekus ja valmisolekuväravad. Seejärel võtke üks oluline teenus ja järgige üht kontrollimeedet nõudest riskikäsitluse, rakenduse, tõendite ja ülevaatuseni.

See esimene jälg toob ebaselged vastutusalad ja puuduvad kirjed esile enne, kui need paljunevad. Kasutage meie ISO 27001 kontroll-loendit ülejäänud töö korraldamiseks, hoides juhtimissüsteemi nõuded ja kontrollimeetmete kohaldatavuse lahus.

Püsiv ISMS muudab turvaotsused kontrollitavaks ja korratavaks. Sertifitseerimine tunnustab süsteemi selle ulatuses; juhtkond hoiab seda toimimas ka pärast auditimeeskonna lahkumist.