ISO 27001 -sertifiointi: rakenna kestävä ISMS

Asiakas pyytää ISO 27001 -sertifikaattianne. Kaupallinen määräaika on selvä, toteutustyö ei välttämättä ole. Johdon ensimmäinen päätös on, rakennetaanko tietoturvan hallintajärjestelmä, jota liiketoiminta pystyy ylläpitämään, vai organisoidaanko auditointipäivän ympärille väliaikainen projekti.

Hyödyllinen sertifiointisuunnitelma alkaa määrittelemällä järjestelmä, jota teidän on ylläpidettävä, ja järjestää sen jälkeen näytön, joka sen osoittaa. Tämä tarkoittaa päätöksiä siitä, mitä palveluja sertifikaatin tulee kattaa, kuka voi hyväksyä riskipäätökset, mitä resursseja kontrollien omistajat tarvitsevat ja mistä johto tietää, toimivatko kontrollit.

Sertifikaatti on tärkeä tuotos. Pysyvä liiketoimintaresurssi on kuitenkin tietoturvan hallintajärjestelmä eli ISMS, joka pysyy hyödyllisenä, kun työntekijät lähtevät, toimittajat vaihtuvat, uusia tuotteita julkaistaan ja asiakkaat esittävät vaikeampia kysymyksiä.

Mitä ISO 27001 -sertifiointi todellisuudessa osoittaa

ISO/IEC 27001 määrittelee vaatimukset ISMS:n perustamiselle, toteuttamiselle, ylläpidolle ja jatkuvalle parantamiselle. Sen tarkoituksena on hallita tiedon luottamuksellisuuteen, eheyteen ja saatavuuteen kohdistuvia riskejä organisaation toimintaympäristössä.

Luottamuksellisuus koskee asiatonta paljastumista, esimerkiksi sitä, että asiakastiedot päätyvät luvattomien käyttäjien saataville. Eheys koskee virheellisiä tai luvattomia muutoksia, esimerkiksi sitä, että joku muuttaa maksuohjeita. Saatavuus koskee pääsyä tietoon silloin, kun sitä tarvitaan, esimerkiksi tärkeän palvelun palauttamista infrastruktuurivian jälkeen.

Sertifiointi koskee tätä hallintajärjestelmää sen ilmoitetussa soveltamisalassa. Se ei takaa, että jokainen tuote on haavoittuvuuksista vapaa, että poikkeamia ei voi tapahtua tai että jokainen liiketoimintayksikkö on arvioitu. Yhtä hallinnoitua palvelua koskevaa sertifikaattia ei pidä esittää varmuutena jostakin aivan toisesta tuotteesta.

ISO ja IEC julkaisevat standardin, mutta ne eivät sertifioi organisaatiotanne. Arvioinnin ja sertifiointipäätöksen tekee riippumaton sertifiointielin. Asiakkaille annettavan varmuuden kannalta käytännöllinen suositus on valita elin, joka on akkreditoitu kyseiseen ISMS-sertifiointitoimintaan, ja varmistaa, että sen myöntämä sertifikaatti täyttää ostajien vaatimukset.

Myös vaatimustenmukaisuuden ja sertifioinnin välinen ero on tärkeä. Organisaatio voi toteuttaa standardin vaatimukset täyttävän ISMS:n hakematta ulkoista sertifiointia. Sertifiointi tuo mukaan riippumattoman arvioinnin ja virallisen sertifikaatin. Ohjelmiston hankkiminen, pätevän toteuttajan palkkaaminen tai koulutuksen suorittaminen ei tuota organisaatiolle sertifiointia.

Selvittäkää, ratkaiseeko sertifiointi liiketoiminnan ongelman

Sertifiointi on erityisen merkityksellinen silloin, kun hankintavaatimukset, sopimusvelvoitteet, arkaluonteiset tiedot tai toiminnalliset riippuvuudet oikeuttavat riippumattoman varmuuden. Se ei ole yleinen lakisääteinen velvoite kaikille yrityksille.

Ennen sitoutumista pyytäkää myynti- ja asiakkuustiimejä selvittämään todellinen vaatimus. Vaatiiko ostaja sertifikaatin ennen sopimuksen allekirjoittamista, ennen tuotantoympäristön käyttöönottoa vai sopimuksen uusimisen yhteydessä? Täytyykö sen kattaa nimetty palvelu tai oikeushenkilö? Vaatiiko ostaja silti tietoturvakyselyn, testausraportteja tai lisäsopimusehtoja?

Vastaukset vaikuttavat investointien painopisteisiin. Sertifikaatti voi tukea hankintaa, mutta se ei poista kaikkea due diligence -selvitystä. Välttäkää liikevaihtoennusteita, jotka perustuvat oletukseen, että sertifiointi automaattisesti viimeistelee jokaisen asiakkaan tietoturva-arvioinnin.

Erottakaa sertifiointi sääntelyanalyysista. ISMS voi tukea muihin velvoitteisiin liittyvää näyttöä ja hallintoa, mutta sertifiointi ei osoita GDPR:n (yleinen tietosuoja-asetus) tai NIS2:n noudattamista. Näillä säännöstöillä on omat soveltamissääntönsä ja velvoitteensa. NIS2 pannaan täytäntöön kansallisella lainsäädännöllä; GDPR-velvoitteet riippuvat käsittelytoimista ja organisaation rooleista.

Johdon perustelun tulisi siksi yksilöidä kolme asiaa: asiakkaiden tarvitsema varmuus, liiketoiminnan hallittavat tietoriskit ja jatkuvat käyttökustannukset. Hyväksykää ohjelma tältä pohjalta eikä lupauksen perusteella sertifikaatista mielivaltaiseen päivämäärään mennessä.

Rajatkaa soveltamisala, jonka asiakkaat ymmärtävät

Soveltamisala kuvaa ISMS:n rajat ja sovellettavuuden. Sen tulisi yksilöidä asiaankuuluvat palvelut, organisaatioyksiköt, sijainnit, ihmiset, tiedot, järjestelmät ja riippuvuudet. Sen on myös otettava huomioon rajapinnat rajojen ulkopuolisiin toimintoihin.

Suppea soveltamisala voi olla perusteltu erityisesti ensimmäisessä toteutuksessa. Sen on silti vastattava sitä, minkä asiakkaat odottavat sertifikaatin kattavan. Tuotantoympäristön käyttöoikeuksia hallinnoivan tiimin rajaaminen ulkopuolelle ei poista sen vaikutusta soveltamisalaan kuuluvaan asiakaspalveluun.

Isännöidyn sovelluksen osalta tarkastelkaa koko palveluketjua: kehitystä, käyttöönottoa, tuotannon operointia, tukihenkilöstön pääsyä, identiteettien hallintaa, varmuuskopioita ja merkittäviä ulkoisia palveluntarjoajia. Yhteiset HR- tai IT-prosessit voivat vaikuttaa tietoturvaan silloinkin, kun soveltamisala keskittyy tuotteeseen eikä koko yritykseen.

Käytännöllisen soveltamisalakuvauksen tulisi vastata seuraaviin kysymyksiin:

• Mikä oikeushenkilö tuottaa palvelun?
• Mitkä asiakkaille näkyvät palvelut ja tiedot ovat mukana?
• Mitkä sijainnit ja etätyöjärjestelyt ovat merkityksellisiä?
• Mitkä tiimit ja yhteiset prosessit vaikuttavat näihin palveluihin?
• Mitkä toimittajat tarjoavat infrastruktuuria tai käsittelevät asiaankuuluvia tietoja?
• Mitä jää rajauksen ulkopuolelle, ja miten sen rajapintoja hallitaan?

Testatkaa ehdotettua muotoilua ostajien kanssa työskentelevällä kollegalla. Jos hän ei pysty selittämään, kuuluuko asiakkaan palvelu soveltamisalaan, muotoilua on vielä työstettävä.

Älkää optimoiko soveltamisalaa pelkästään auditointikulujen pienentämiseksi. Pienempi rajaus voi luoda monimutkaisia rajapintoja ja jättää kaupallisen vaatimuksen täyttämättä. Toisaalta kaikkien konserniyhtiöiden ottaminen mukaan heti voi aiheuttaa tarpeetonta koordinointia. Oikea rajaus on puolustettavissa, ymmärrettävä ja toiminnallisesti hallittavissa.

Kirjatkaa perustelut sekä tilanteet, joissa rajausta on harkittava uudelleen, kuten yrityskauppa, infrastruktuurin siirto tai olennaisesti erilaisen palvelun lanseeraus. Soveltamisalan on pysyttävä johdon päätöksenä eikä unohtuneena kappaleena.

Antakaa ohjelmalle valtuudet, ei vain omistajaa

Nimetkää toteutuksen vetäjä ja vastuullinen johdon sponsori. Heillä on eri vastuut. Vetäjä koordinoi työtä ja pitää sen näkyvänä; sponsori ratkaisee prioriteetit, myöntää resurssit ja varmistaa, että tietoturvatavoitteet sopivat yhteen liiketoimintapäätösten kanssa.

Kontrollien omistajuuden tulee seurata toiminnallista päätösvaltaa. HR voi omistaa työsuhteeseen liittyvät menettelyt, IT laitehallinnan, kehitys ohjelmistokehityksen käytännöt ja hankinta voi koordinoida toimittaja-arviointeja. Compliance-vastaavan ei pidä tulla nimellisesti vastuulliseksi prosesseista, joita hän ei voi muuttaa.

Määritelkää, kuka voi hyväksyä jäännösriskin ja millä tasolla. Palvelun omistaja voi suositella rajallisen operatiivisen riskin hyväksymistä, kun taas tärkeisiin asiakassitoumuksiin vaikuttava riski voi vaatia ylimmän johdon hyväksynnän. Kirjatkaa päätös, perustelut, ehdot ja tarkastelupäivä.

Johdon on myös turvattava toteutukseen tarvittava kapasiteetti. Työn osoittaminen ilman, että sille tehdään tilaa, aiheuttaa ennustettavia viivästyksiä. Pyytäkää omistajilta arvio tarvittavasta työmäärästä, riippuvuuksista ja kompromisseista ja hyväksykää sitten realistinen suunnitelma.

Johdon katselmus on tilaisuus, jossa johto arvioi järjestelmää ja tekee päätöksiä parannuksista, muutoksista ja resursseista. Allekirjoitettu kokouspöytäkirja ilman merkityksellisiä päätöksiä tuottaa vähän käytännön arvoa. Katselmuksen tulee tuoda esiin ratkaisemattomat valinnat eikä pelkästään hyväksyä vihreää kojelautaa.

Ymmärtäkää vaatimukset ennen kuin ostatte tarkistuslistan

ISO/IEC 27001:n kohtien 4–10 vaatimukset muodostavat hallintajärjestelmän ytimen. Niitä ei voi rajata pois, kun vaatimustenmukaisuutta väitetään. Niiden käytännön tuotokset ovat eri asia kuin yksittäisten tietoturvakontrollien toteuttaminen.

Vuoden 2022 painoksen liitteessä A on 93 viitekontrollia: 37 organisatorista, kahdeksan henkilöstöön liittyvää, 14 fyysistä ja 34 teknologista kontrollia. Sovellettavuus on riskiperusteista; ei ole yleispätevää lukumäärää, joka jokaisen yrityksen pitäisi toteuttaa.

Määrittäkää riskien käsittelyyn tarvittavat kontrollit ja verratkaa niitä sitten liitteeseen A varmistaaksenne, ettei tarpeellisia kontrolleja ole jäänyt huomaamatta. Kontrollit voivat tulla myös sopimusvaatimuksista, muista lähteistä tai omasta suunnittelustanne. Liite A ei korvaa riskiarviointia, eikä se ole tyhjentävä luettelo kaikista mahdollisista tietoturvatoimista.

Soveltuvuuslausuma (Statement of Applicability, SoA) kirjaa tarvittavat kontrollit, perustelut niiden sisällyttämiselle, niiden toteutustilan sekä perustelut liitteen A kontrollien poissulkemiselle. Ylläpitäkää riittävää jäljitettävyyttä, jotta voitte selittää, miten nämä päätökset liittyvät riskien käsittelyyn ja muihin vaatimuksiin.

ISO 27002 antaa ohjeita tietoturvakontrolleista; ISO 27001 sisältää sertifioitavat hallintajärjestelmävaatimukset. Käyttäkää ohjeistusta toteutusvaihtoehtojen ymmärtämiseen, mutta räätälöikää menettelyt organisaatiollenne sen sijaan, että tuotte toimintamallin, jota ette pysty ylläpitämään.

Rakentakaa riskien käsittely ennen näytön kokoamista

Aloittakaa toistettavasta riskiarviointimenetelmästä. Määritelkää, miten riskit tunnistetaan, miten todennäköisyys ja seuraukset arvioidaan, miten tuloksia verrataan ja mitkä kriteerit ratkaisevat hyväksyttävyyden. Johdonmukainen tulkinta on tärkeämpää kuin monimutkainen pisteytyskaava.

Kuvatkaa riskit skenaarioina. ”Pilviriski” on liian epämääräinen päätöksenteon tueksi. ”Ylläpitäjän tili vaarantuu, ja sitä käytetään asiakastietojen viemiseen” yksilöi tapahtuman, kyseiset tiedot ja liiketoiminnallisen seurauksen.

Ottakaa mukaan ihmisiä, jotka tuntevat palvelun. He osaavat selittää olemassa olevat suojaukset, tukihenkilöstön pääsyn, toimittajariippuvuudet, palautumisen rajoitteet ja kiertotiet, jotka yleinen riskikirjasto voi ohittaa. Käytännöllisen kirjausrakenteen löydätte oppaastamme operatiivisesta riskirekisteristä.

Kirjatkaa jokaisesta merkittävästä riskistä omistaja, arvio, nykyiset kontrollit, käsittelypäätös, tavoiteltu lopputulos ja jäännösriskin arvio. Mahdollisia käsittelytapoja ovat altistuksen pienentäminen, toiminnosta luopuminen, riskin osien jakaminen tai riskin hyväksyminen määriteltyjen kriteerien mukaisesti. Vakuutus tai ulkoistus ei poista kaikkia seurauksia tai vastuita.

Muuntakaa käsittely vastuutetuksi työksi. ”Parannetaan käyttöoikeuksien turvallisuutta” ei ole toteutettavissa oleva suunnitelma. Määritelkää kyseiset järjestelmät, tarvittava muutos, omistaja, valmistumiskriteerit ja se, miten vaikuttavuutta arvioidaan.

Pitäkää nämä tallenteet erillään:

Niiden tulee olla keskenään yhdenmukaisia muuttumatta toistensa kopioiksi. Jos käsittely perustuu toimittajien seurantaan mutta siihen liittyvä kontrolli on rajattu pois ilman selitystä, ratkaiskaa ristiriita ennen auditointiin valmistautumista.

Tarkastelkaa riskejä suunnitelluin väliajoin ja merkittävien muutosten yhteydessä. Uusi tukipalveluntarjoaja, laajentunut tiedonkeruu, poikkeama tai merkittävä arkkitehtuurimuutos voi tehdä aiemmasta päätöksestä vanhentuneen.

Tehkää kontrolleista osa tavallista toimintaa

Politiikka ilmaisee odotukset; menettely selittää, miten työ tehdään; toiminnalliset tallenteet osoittavat, mitä todella tapahtui. Sertifiointiin valmistautuminen edellyttää kaikkia kolmea siellä, missä ne ovat merkityksellisiä.

Esimerkiksi käyttöoikeuspolitiikan tulee liittyä toteutettuun aloittavien ja lähtevien työntekijöiden prosessiin, otantana tarkastettuihin käyttöoikeusmuutoksiin ja poikkeusten katselmointiin. Pelkkä politiikka-asiakirja jättää suurimman osan tästä kokonaisuudesta osoittamatta.

Rakentakaa prosessi todellisten vastuiden ympärille. Tunnistakaa, kuka pyytää käyttöoikeuden, kuka hyväksyy sen, kuka toteuttaa sen, mitä tapahtuu henkilön roolin muuttuessa ja miten tilit poistetaan. Ottakaa mukaan palvelutilit ja ulkoiset käyttäjät, jos ne vaikuttavat soveltamisalaan.

Soveltakaa samaa ajattelua muihin tärkeisiin prosesseihin:

• Toimittaja-arvioinnin tulee yhdistää palvelun kriittisyys, pääsy tietoihin, sopimukselliset odotukset, arvioinnin tulokset ja ratkaisemattomat huolenaiheet.
• Poikkeamien hallinnan tulee yhdistää ilmoituskanavat, reagointivastuut, eskalointi, palautuminen ja opitut asiat.
• Varmuuskopioinnin ja palautumisen tulee yhdistää liiketoiminnan tarpeet, suojatut järjestelmät, palautusmenettelyt, testitulokset ja jatkotoimet.
• Muutostenhallinnan tulee yhdistää hyväksyntä, testaus, käyttöönottotallenteet, hätämuutokset ja poikkeukset.

Fyysiset ja henkilöstöön liittyvät kontrollit ovat edelleen tärkeitä myös pilvipohjaisessa organisaatiossa. Etätyötä, laitteiden suojausta, luottamuksellisia keskusteluja, työsuhteiden muutoksia ja tietoisuutta ei voi sivuuttaa sillä perusteella, että palvelimet on ulkoistettu.

Asettakaa kontrollien toistuvuus riskin ja toiminnan tarpeiden mukaan. Älkää kopioiko politiikkaan lupausta neljännesvuosittaisesta katselmoinnista, ellei omistaja pysty toteuttamaan sitä ja säilyttämään tallenteita. Politiikka, joka kuvaa prosessin, jota kukaan ei noudata, luo tarpeettoman kuilun aikomuksen ja toteutuksen välille.

Suunnitelkaa näyttö tarkastettavaksi, ei määrän vuoksi

Hyvä näyttö vastaa määriteltyyn vaatimusta tai kontrollia koskevaan kysymykseen. Suuri kansio kuvakaappauksia ei ole itsessään vahvempi kuin pienempi, hyvin selitetty joukko luotettavia tallenteita.

Määritelkää jokaisen tärkeän kontrollin osalta lähdejärjestelmä, omistaja, keräystapa, kattavuus, odotettu toistuvuus ja katselmoija. Erottakaa suunnittelua koskeva näyttö toimintaa koskevasta näytöstä. Identiteettikonfiguraatio voi osoittaa, että monivaiheinen tunnistautuminen on käytössä; hyväksyntätallenteet ja käyttöoikeuskatselmoinnit osoittavat käyttöoikeuksien hallinnan muita puolia.

Näytön merkityksen tulee olla selvä:

• Mitä palvelua, järjestelmää tai joukkoa se kattaa?
• Milloin se tuotettiin, ja mitä ajanjaksoa se edustaa?
• Onko se riittävän kattava arvioitavan kysymyksen kannalta?
• Kuka katselmoi sen, ja mitä poikkeuksia havaittiin?
• Mitä jatkotoimia poikkeuksista seurasi?

Säilyttäkää myös epäonnistuneet tulokset. Epäonnistunut palautustesti, jonka selvitys, korjaus ja onnistunut uusintatesti on dokumentoitu, voi osoittaa, että seuranta ja parantaminen toimivat. Epämieluisten tulosten poistaminen heikentää tallenteiden käyttökelpoisuutta.

Suojatkaa näyttö itsessään tietona. Vientitiedostot voivat sisältää työntekijöiden tietoja, asiakastunnisteita tai arkaluonteisia konfiguraatioita. Rajoittakaa pääsyä, minimoikaa tarpeeton sisältö ja määritelkää säilytysajat asiaankuuluvien velvoitteiden ja liiketoiminnan tarpeiden perusteella. Järjestäkää auditoijille hallittu pääsy sen sijaan, että jakaisitte laajoja arkistoja huolimattomasti.

Testatkaa valmius sisäisellä auditoinnilla ja johdon katselmuksella

Sisäinen auditointi arvioi, onko ISMS sovellettavien vaatimusten mukainen ja onko se toteutettu ja ylläpidetty vaikuttavasti. Sen tulee kattaa hallintajärjestelmä eikä pelkästään tarkistaa teknisiä asetuksia.

Suunnitelkaa auditoinnin laajuus, kriteerit, menetelmät ja raportointi. Valitkaa pätevät auditoijat ja säilyttäkää objektiivisuus ja puolueettomuus. Pieni organisaatio voi käyttää ulkopuolista tukea tai soveltuvia eri toimintojen välisiä järjestelyjä sen sijaan, että yksi henkilö arvioisi kaiken oman työnsä.

Hyödyllinen auditointitestaus seuraa yksittäistä tallennetta prosessin läpi. Valitkaa lähtenyt työntekijä ja tarkistakaa ilmoitus, tilin poisto, laitteiden käsittely ja poikkeukset. Valitkaa toimittaja ja tarkastelkaa, vastaako sen riskiarvio sen todellista pääsyä. Valitkaa käsittelytoimenpide ja todentakaa, onko ilmoitetulle valmistumiselle toiminnallista näyttöä.

Kirjatkaa havainnot tarkasti, mukaan lukien vaatimus, havaittu näyttö ja puute. Älkää supistako auditointia valmiusprosenttiin, joka peittää puuttuvat hallintaprosessit.

Johdon katselmus käsittelee sen jälkeen vaaditut syötteet, mukaan lukien suorituskyvyn, auditointitulokset, muutokset, riskiarvioinnin ja riskien käsittelyn tilan sekä parantamismahdollisuudet. Valmistelkaa tiivis päätösaineisto ja pitäkää tukevat tallenteet saatavilla. Selittäkää, missä johdon on valittava korjaamisen, lisäresurssien, muutettujen tavoitteiden tai hyväksytyn riskinoton välillä.

Erottakaa poikkeamien osalta välitön korjaus korjaavasta toimenpiteestä. Huomaamatta jääneen tilin poistaminen käytöstä korjaa välittömän ongelman. Ilmoitusprosessin korjaaminen ja myöhempien lähtöjen tarkistaminen estää toistumisen. Kirjatkaa syy, toimenpide, omistaja ja vaikuttavuuden arviointi.

Ymmärtäkää vaihe 1, vaihe 2 ja sertifiointipäätös

Ensimmäinen sertifiointi sisältää yleensä kaksi auditointivaihetta. Sopikaa järjestelyistä, odotetuista tallenteista ja valmiusodotuksista sertifiointielimen kanssa riittävän ajoissa, jotta suunnittelu onnistuu.

Vaihe 1 tarkastelee valmiutta, soveltamisalaa ja hallintajärjestelmän dokumentaatiota. Se auttaa sertifiointielintä ymmärtämään organisaation ja arvioimaan valmiutta vaiheeseen 2. Odottakaa tarkkaa tarkastelua soveltamisalan, riskiarvioinnin, käsittelyn, soveltuvuuslausuman ja hallintaprosessien välisestä suhteesta. Ratkaiskaa havaitut huolenaiheet sen sijaan, että pitäisitte vaihetta 1 hallinnollisena varausvaiheena.

Vaihe 2 arvioi toteutusta ja vaikuttavuutta. Auditoijat käyttävät haastatteluja, havainnointia ja otantana valittuja tallenteita testatakseen, toimiiko ISMS kuvatulla tavalla. Työntekijöiden tulee pystyä selittämään todelliset vastuunsa eikä toistamaan harjoiteltuja vastauksia.

Pitäkää pyynnöt järjestyksessä auditoinnin aikana. Nimetkää koordinaattori, kirjatkaa pyynnöt, tunnistakaa oikea omistaja ja toimittakaa asiaankuuluva näyttö taustatietoineen. Jos jotain puuttuu, kertokaa tilanne totuudenmukaisesti. Älkää laatiko jälkikäteen tallenteita, jotka antavat virheellisesti ymmärtää, että prosessi on toteutunut.

Poikkeama tarkoittaa, että vaatimusta ei ole täytetty. Suuret poikkeamat vaikuttavat hallintajärjestelmän kykyyn saavuttaa aiotut tuloksensa; pienillä poikkeamilla ei ole tätä vaikutusta. Luokittelu riippuu kontekstista, joten yksittäiselle puuttuvalle tallenteelle ei voi etukäteen antaa yleispätevää luokkaa.

Sertifiointielin päättää riippumattomasti havainnoista, vaadituista vastauksista, todentamisjärjestelyistä ja sertifiointipäätöksestä. Varmistakaa etukäteen sen määräajat ja jatkotoimia koskevat vaatimukset. Auditoijan suositus ei itsessään ole myönnetty sertifikaatti, ja ratkaisemattomat havainnot voivat viivästyttää päätöstä.

Sertifioinnin jälkeen tyypilliseen sykliin kuuluvat määräaikaisauditoinnit välivuosina ja uudelleensertifiointi ennen kolmivuotisen sertifikaatin päättymistä. Varmistakaa tarkka auditointiohjelma ja ehdot sertifiointielimenne kanssa. Määräaikaisauditointi ei ole lupa keskeyttää ISMS:n ylläpitoa käyntien välillä.

Suunnitelkaa aikataulu ja budjetti riippuvuuksien mukaan

Kesto riippuu kypsyydestä, soveltamisalasta, ratkaisemattomista riskeistä, näytön saatavuudesta, sisäisestä kapasiteetista ja auditoijan aikataulusta. Ei ole olemassa yleispätevää ISO 27001 -toimintanäytön jaksoa, joka tekisi jokaisesta organisaatiosta automaattisesti valmiin.

Kysykää sertifiointielimeltä, mitä sen on tarpeen poimia otantaan teidän tilanteessanne. Kuukausittain toteutettava prosessi tuottaa tallenteita eri tavalla kuin vuosittainen harjoitus. Älkää odottako auditoinnin varaamiseen asti huomataksenne, että jotakin tärkeää kontrollia ei ole koskaan toteutettu.

Erottakaa työ, jota voi nopeuttaa (keräys, koordinointi, luonnostelu ja katselmoinnin valmistelu), työstä, joka edellyttää toteutusta ja osoitettua toimintaa. Tehkää toisistaan riippumattomia tehtäviä rinnakkain, mutta säilyttäkää riippuvuudet: soveltuvuuslausumaa ei voi viimeistellä uskottavasti ilman kontrollien valinnan perusteluja, eikä vaikuttavuutta voi arvioida pelkästään ehdotetun politiikan perusteella.

Käyttäkää valmiusportteja yhden optimistisen valmistumispäivän sijaan:

Budjetoikaa sisäinen työ, korjaukset, työkalut, koulutus, mahdollinen neuvontatuki ja ulkoinen arviointi. Ottakaa mukaan määräaikaisauditoinnit, uudelleensertifiointi ja jatkuva ylläpito, ei pelkästään ensimmäisen auditoinnin laskua.

Pyytäkää sertifiointielimiä selittämään oletuksensa henkilöstöstä, toimipaikoista, toiminnoista, monimutkaisuudesta ja auditointijärjestelyistä. Vertailkaa koko sykliä ja jatkotoimien kuluja. Välttäkää pitämästä edullista alkutarjousta sertifioidun ISMS:n ylläpidon kokonaiskustannuksena.

Esimerkki: yksi palvelu, yksi kestävä suunnitelma

Tarkastellaan havainnollistavaa 30 hengen yritystä, joka tarjoaa isännöityä asiakirjojen jakopalvelua. Oletetaan, että sillä on jo identiteetinhallinta, käyttöönottojen hyväksynnät ja varmuuskopiot, mutta toimittajakatselmoinnit ja käyttöoikeuskatselmointien tallenteet ovat epäjohdonmukaisia. Sen mahdollinen asiakas haluaa varmuuden isännöidystä palvelusta tukihenkilöstön pääsy mukaan lukien.

Johto rajaa soveltamisalaan palvelun sekä sitä tukevat kehitys-, operointi- ja tukiprosessit. Se kirjaa rajapinnat HR:ään ja yhteiseen IT:hen sen sijaan, että rajaisi niiden tietoturvavaikutukset pois. Toimitusjohtaja toimii ohjelman sponsorina, toteutuksen vetäjä koordinoi sitä ja operatiiviset esihenkilöt omistavat kontrollit.

Tiimi tunnistaa skenaarion, jossa liian laajat tukihenkilöstön käyttöoikeudet paljastavat asiakkaiden asiakirjoja. Käsittelyyn kuuluvat rajatut tukiroolit, hyväksytty väliaikainen oikeuksien korotus, käyttöoikeuskatselmoinnit ja palveluun sopiva valvonta. Soveltuvuuslausuma kirjaa tarvittavat kontrollit ja niiden toteutustilan.

Käyttöoikeuksien omistaja kerää sen jälkeen roolikonfiguraation, otantana valitut hyväksyntätallenteet, valmiin katselmoinnin ja näytön siitä, että katselmoinnissa havaitut liian laajat oikeudet poistettiin. Nämä tallenteet osoittavat enemmän kuin käyttöoikeuspolitiikan olemassaolon.

Sisäisessä auditoinnissa havaitaan, että lähteneellä alihankkijalla on aktiivinen tili. Tiimi poistaa sen käytöstä, selvittää puuttuneen HR:n ja IT:n välisen ilmoituksen, lisää nimenomaisen alihankkijasuhteen päättämisvaiheen ja tarkistaa myöhemmät lähdöt vaikuttavuuden arvioimiseksi. Johdon katselmus käsittelee havainnon, jäljellä olevat riskit ja jatkuviin katselmointeihin tarvittavat resurssit.

Pelkästään budjettisuunnittelua varten oletetaan, että kahdeksan osallistujaa käyttää kukin kaksi tuntia viikossa kahdentoista viikon ajan. Se tekee 192 sisäistä tuntia ennen asiantuntijakorjauksia ja auditointiin osallistumista. Kyseessä on havainnollistava kapasiteettilaskelma, ei markkina-arvio tai lupaus sertifioinnista.

Opetus koskee johtamista: osoittakaa työ ihmisille, joilla on päätösvaltaa, varatkaa kapasiteetti ja tehkää valmius riippuvaiseksi näytöstä. Olemassa olevat tekniset suojaukset vähentävät osaa toteutustyöstä, mutta ne eivät korvaa riskipäätöksiä, sisäistä auditointia tai johdon katselmusta.

Automatisoikaa toistuva työ ja säilyttäkää harkinta

Automaatio voi tukea inventaarioiden päivittämistä, näytön keräämistä, muistutuksia, teknisiä tarkistuksia ja raportointia. Priorisoikaa toistuvaa työtä, jolla on luotettava lähdedata ja selkeä katselmoija, sen sijaan että automatisoisitte epäselvän prosessin.

Automaattinen tarkistus tarvitsee määritellyn kattavuuden ja virheiden käsittelyn. Jos yhteys lakkaa keräämästä tallenteita, erottakaa ”ongelmaa ei havaittu” tilanteesta ”ajantasaista dataa ei ole”. Varmistakaa, että lähde kattaa asiaankuuluvat järjestelmät, tilit tai sijainnit, ennen kuin luotatte tulokseen.

Pitäkää ihmisen harkinta näkyvänä riskien hyväksymisessä, kontrollien sovellettavuudessa, näyttöä koskevissa johtopäätöksissä ja johdon päätöksissä. Konfiguraatiotarkistus voi osoittaa, että salaus on käytössä; se ei osoita, että avainten käyttöä, palautumista ja poikkeuksellisia tietopolkuja hallitaan asianmukaisesti.

Samoin työnkulkujen automaatio voi järjestää sisäisen auditoinnin pyynnöt ja havainnot, mutta se ei tuota auditointiosaamista tai riippumattomuutta. Tekoälyn tuottamien yhteenvetojen ja vastaavuuksien tulee pysyä luonnoksina, kunnes katselmoija on tarkistanut lähteet ja hyväksynyt johtopäätökset.

Mitatkaa sekä tehokkuutta että vaikuttavuutta: näytön valmisteluun käytettyä aikaa, myöhässä olevia korjaavia toimenpiteitä, puutteellista kattavuutta, toistuvia epäonnistumisia ja tärkeiden poikkeusten ratkaisemiseen kulunutta aikaa. Oppaamme ISMS-mittareista selittää, miten mittareista tehdään hyödyllisiä johdon päätöksenteolle.

Pitäkää omistajuus aktiivisena sertifioinnin jälkeen

Laatikaa ylläpitokalenteri ennen kuin sertifikaatti saapuu. Käytännöllisiä suosituksia ovat omistajien säännölliset tarkistukset, olennaisten muutosten käynnistämät riskikatselmoinnit, suunnitellut kontrollien arvioinnit, sisäiset auditoinnit, johdon katselmukset ja valmistautuminen ulkoisiin arviointeihin. Valitkaa toistuvuus prosessin ja riskin mukaan sen sijaan, että jokainen toiminto tehtäisiin kuukausittain.

Siirtäkää vastuut uudelleen, kun työntekijät vaihtavat tehtäviä tai lähtevät. Tarkastelkaa soveltamisalaa ja kontrollien sovellettavuutta liiketoiminnan muuttuessa. Seuratkaa toistuvia poikkeuksia: toistuvasti myöhästyvä käyttöoikeuksien poisto viittaa prosessiongelmaan, vaikka jokainen yksittäinen tapaus lopulta suljetaankin.

Secani tukee tätä työnkulkua yhdistämällä vaatimukset, kontrollit, näytön, omistajat, tehtävät ja katselmointipäätökset yhteiseen työtilaan. Aloittakaa yhdestä edustavasta palvelusta, mallintakaa sen järjestelmät ja riippuvuudet, liittäkää olemassa oleva näyttö siihen, mitä se osoittaa, ja muuntakaa puutteet osoitetuiksi tehtäviksi. Tarkistakaa tekoälyavusteiset ehdotukset lähteitä vasten ja säilyttäkää ihmisten tekemät hyväksynnät ja päätöshistoria. Näin tiimi säilyttää sertifioinnin aikana oppimansa myös järjestelmien muuttuessa; sertifiointi on edelleen riippumattoman elimen päätös.

Kysymyksiä, jotka muuttavat toteutussuunnitelmaa

Edellyttääkö ISO 27001 tunkeutumistestausta?

ISO 27001:ssä ei ole yleistä kohtaa, joka velvoittaisi jokaisen organisaation tekemään tunkeutumistestauksen. Tarvittava testaus riippuu riskien käsittelystä, sovellettavista kontrolleista, palvelun ominaisuuksista ja sopimusvaatimuksista. Kun testausta tarvitaan, määritelkää kattavuus, korjaukset ja uusintatestaus sen sijaan, että säilyttäisitte pelkän raportin.

Pitäisikö meidän tavoitella mieluummin SOC 2:ta?

Kysykää, mitä asiakkaat vaativat ja minkä soveltamisalan he odottavat. SOC 2 tuottaa varmennusraportin; ISO 27001 tuottaa hallintajärjestelmän sertifioinnin. Osa toiminnallisesta näytöstä voi olla uudelleenkäytettävissä, mutta kumpikaan ei muunnu automaattisesti toiseksi. Arvioikaa erilliset vaatimukset ennen kuin sitoudutte molempiin.

Tarvitsemmeko ulkopuolisen konsultin?

Ei välttämättä. Ulkopuolinen apu voi auttaa tulkinnassa, kapasiteetissa tai erityisosaamista vaativissa tarpeissa. Säilyttäkää sisäinen omistajuus ja varmistakaa, että menettelyt pysyvät käyttökelpoisina toimeksiannon päätyttyä. Henkilön toteuttaja- tai auditoijapätevyys ei sertifioi hänen työnantajaansa.

Aloittakaa päätöksestä ja näyttöketjusta

Hyväksykää lyhyt toteutusperuskirja, jossa todetaan kaupallinen tarve, aiottu soveltamisala, sponsori, vetäjä, kontrollien omistajat, kapasiteetti ja valmiusportit. Ottakaa sitten yksi tärkeä palvelu ja seuratkaa yhtä kontrollia vaatimuksesta riskien käsittelyyn, toteutukseen, näyttöön ja katselmointiin.

Tämä ensimmäinen jäljitys paljastaa epäselvät vastuut ja puuttuvat tallenteet ennen kuin ne moninkertaistuvat. Käyttäkää ISO 27001 -tarkistuslistaamme jäljellä olevan työn järjestämiseen ja pitäkää samalla hallintajärjestelmän vaatimukset ja kontrollien sovellettavuus erillään.

Kestävä ISMS tekee tietoturvapäätöksistä tarkastettavia ja toistettavia. Sertifiointi tunnustaa järjestelmän sen soveltamisalassa; johto pitää sen toiminnassa sen jälkeen, kun auditointitiimi on lähtenyt.