Certifikacija ISO 27001: izgradite ISMS koji traje

Kupac traži vaš certifikat ISO 27001. Komercijalni rok je jasan; posao implementacije možda nije. Prva odluka uprave jest želite li izgraditi sustav upravljanja sigurnošću koji poslovanje može održavati ili organizirati privremeni projekt oko datuma revizije.

Koristan plan certifikacije počinje definiranjem sustava kojim trebate upravljati, a zatim slaganjem dokaza koji ga dokazuju. To znači odlučiti koje usluge certifikat treba obuhvatiti, tko može odobravati odluke o rizicima, koji su resursi potrebni vlasnicima kontrola i kako će uprava znati funkcioniraju li kontrole.

Certifikat je važan rezultat. Trajna poslovna vrijednost jest sustav upravljanja informacijskom sigurnošću, odnosno ISMS, koji ostaje koristan kada zaposlenici odu, dobavljači se promijene, novi proizvodi budu lansirani, a kupci počnu postavljati teža pitanja.

Što certifikacija ISO 27001 zapravo utvrđuje

ISO/IEC 27001 propisuje zahtjeve za uspostavu, implementaciju, održavanje i stalno poboljšavanje ISMS-a. Njegova je svrha upravljati rizicima za povjerljivost, cjelovitost i dostupnost informacija u kontekstu organizacije.

Povjerljivost se odnosi na neprimjereno otkrivanje, primjerice kada evidencije kupaca postanu dostupne neovlaštenim korisnicima. Cjelovitost se odnosi na netočne ili neovlaštene izmjene, primjerice kada netko promijeni upute za plaćanje. Dostupnost se odnosi na pristup kada je potreban, primjerice na ponovnu uspostavu važne usluge nakon kvara infrastrukture.

Certifikacija se odnosi na taj sustav upravljanja unutar njegova navedenog opsega. Ona ne jamči da je svaki proizvod bez ranjivosti, da se incidenti ne mogu dogoditi ni da je svaka poslovna jedinica ocijenjena. Certifikat koji obuhvaća jednu upravljanu uslugu ne bi se smio predstavljati kao jamstvo za nepovezani proizvod.

ISO i IEC objavljuju normu; oni ne certificiraju vašu organizaciju. Ocjenu provodi i odluku o certifikaciji donosi neovisno certifikacijsko tijelo. Kada je riječ o jamstvu prema kupcima, praktična je preporuka odabrati tijelo akreditirano za relevantnu djelatnost certifikacije ISMS-a i potvrditi da će njegova certifikacija zadovoljiti zahtjeve kupaca.

Važna je i razlika između sukladnosti i certifikacije. Organizacija može implementirati ISMS koji ispunjava normu, a da ne traži vanjsku certifikaciju. Certifikacija dodaje neovisnu ocjenu i formalni certifikat. Kupnja softvera, zapošljavanje kvalificiranog implementatora ili završetak tečaja ne donose organizaciji certifikaciju.

Odlučite rješava li certifikacija poslovni problem

Certifikacija je posebno relevantna kada zahtjevi nabave, ugovorne obveze, osjetljive informacije ili operativne ovisnosti opravdavaju neovisno jamstvo. Ona nije univerzalna zakonska obveza za svako poduzeće.

Prije nego što se obvežete, zamolite prodajne timove i timove za ključne kupce da utvrde stvarni zahtjev. Traži li kupac certifikat prije potpisivanja ugovora, prije pristupa produkciji ili pri obnovi ugovora? Mora li obuhvatiti određenu uslugu ili pravnu osobu? Hoće li kupac i dalje zahtijevati sigurnosni upitnik, izvješća o testiranju ili dodatne ugovorne kontrole?

Ti odgovori utječu na prioritete ulaganja. Certifikat može podržati nabavu, ali ne uklanja svu dubinsku analizu. Izbjegavajte predviđanje prihoda uz pretpostavku da certifikacija automatski zaključuje sigurnosni pregled svakog kupca.

Odvojite certifikaciju od regulatorne analize. ISMS može podržati dokaze i upravljanje relevantne za druge obveze, ali certifikacija ne utvrđuje usklađenost s GDPR-om (Općom uredbom o zaštiti podataka) ni s NIS2. Ti režimi imaju vlastita pravila o primjenjivosti i vlastite obveze. NIS2 se provodi kroz nacionalno zakonodavstvo; obveze iz GDPR-a ovise o aktivnostima obrade i ulogama organizacije.

Poslovni argument za upravu stoga treba utvrditi tri stvari: jamstvo koje kupcima treba, informacijske rizike kojima poslovanje mora upravljati i trajne troškove rada sustava. Odobrite program na toj osnovi, a ne na temelju obećanja certifikata do proizvoljnog datuma.

Odredite opseg koji kupci mogu razumjeti

Opseg opisuje granice i primjenjivost ISMS-a. Treba identificirati relevantne usluge, organizacijske jedinice, lokacije, ljude, informacije, sustave i ovisnosti. Mora uzeti u obzir i sučelja s aktivnostima izvan tih granica.

Uzak opseg može biti primjeren, osobito za početnu implementaciju. On ipak mora odražavati ono što kupci očekuju da certifikat obuhvaća. Isključivanje tima koji upravlja pristupom produkciji ne uklanja njegov utjecaj na uslugu za kupce koja je u opsegu.

Za hostiranu aplikaciju razmotrite cijeli lanac usluge: razvoj, implementaciju, produkcijski rad, pristup podrške, administraciju identiteta, sigurnosne kopije i značajne vanjske pružatelje. Zajednički procesi ljudskih resursa ili IT-a mogu utjecati na sigurnost čak i kada je opseg usredotočen na proizvod, a ne na cijelu tvrtku.

Praktičan zapis o opsegu trebao bi odgovoriti na sljedeća pitanja:

• Koja pravna osoba pruža uslugu?
• Koje su usluge i informacije namijenjene kupcima obuhvaćene?
• Koje su lokacije i aranžmani rada na daljinu važni?
• Koji timovi i zajednički procesi utječu na te usluge?
• Koji dobavljači pružaju infrastrukturu ili obrađuju relevantne informacije?
• Što je izvan granice i kako se upravlja sučeljima s tim?

Testirajte predloženu formulaciju s kolegom koji radi s kupcima. Ako ne može objasniti je li usluga kupca obuhvaćena, formulaciju treba doraditi.

Nemojte optimizirati opseg isključivo radi smanjenja naknada za reviziju. Manja granica može stvoriti složena sučelja i ostaviti komercijalni zahtjev bez odgovora. S druge strane, trenutačno uključivanje svih društava u grupi može stvoriti nepotrebnu koordinaciju. Prava je granica obranjiva, razumljiva i operativno upravljiva.

Zabilježite obrazloženje i okidače za njezino preispitivanje, kao što su preuzimanje poduzeća, premještanje infrastrukture ili lansiranje bitno drukčije usluge. Opseg treba ostati upravljačka odluka, a ne zaboravljeni odlomak.

Dajte programu ovlasti, a ne samo vlasnika

Imenujte voditelja implementacije i odgovornog sponzora iz uprave. Oni imaju različite odgovornosti. Voditelj koordinira rad i održava preglednost; sponzor rješava prioritete, odobrava resurse i osigurava da se sigurnosni ciljevi uklapaju u poslovne odluke.

Vlasništvo nad kontrolama treba slijediti operativne ovlasti. Ljudski resursi mogu biti vlasnici postupaka povezanih sa zapošljavanjem, IT upravljanja uređajima, inženjering razvojnih praksi, a nabava može koordinirati ocjenu dobavljača. Voditelj usklađenosti ne bi smio postati nominalno odgovoran za procese koje ne može mijenjati.

Definirajte tko može prihvatiti preostali rizik i na kojoj razini. Vlasnik usluge može preporučiti prihvaćanje ograničene operativne izloženosti, dok rizik koji utječe na važne obveze prema kupcima može zahtijevati odobrenje izvršne uprave. Zabilježite odluku, obrazloženje, uvjete i datum preispitivanja.

Uprava također mora zaštititi kapacitet za implementaciju. Dodjeljivanje posla bez oslobađanja prostora za njega stvara predvidljiva kašnjenja. Zatražite od vlasnika procjenu potrebnog napora, ovisnosti i kompromisa; zatim odobrite realan plan.

Upravina ocjena (engl. management review) mjesto je na kojem uprava ocjenjuje sustav i donosi odluke o poboljšanjima, promjenama i resursima. Potpisani zapisnik sa sastanka bez smislenih odluka ima malu praktičnu vrijednost. Ocjena treba razotkriti neriješene izbore, a ne samo potvrditi zelenu nadzornu ploču.

Razumijte zahtjeve prije nego što kupite kontrolni popis

Zahtjevi u točkama 4–10 norme ISO/IEC 27001 čine srž sustava upravljanja. Oni se ne mogu isključiti kada se tvrdi sukladnost. Njihovi praktični rezultati razlikuju se od implementacije pojedinačnih sigurnosnih kontrola.

Prilog A izdanja iz 2022. sadrži 93 referentne kontrole: 37 organizacijskih, osam kadrovskih, 14 fizičkih i 34 tehnološke kontrole. Primjenjivost se temelji na riziku; ne postoji univerzalan broj koji bi svaka tvrtka trebala implementirati.

Utvrdite kontrole potrebne za obradu rizika, a zatim ih usporedite s Prilogom A kako biste provjerili da nijedna potrebna kontrola nije previđena. Kontrole mogu proizlaziti i iz ugovornih zahtjeva, drugih izvora ili vašeg vlastitog dizajna. Prilog A nije ni zamjena za procjenu rizika ni iscrpan katalog svih mogućih sigurnosnih mjera.

Izjava o primjenjivosti (engl. Statement of Applicability, SoA) bilježi potrebne kontrole, razloge za njihovo uključivanje, status implementacije i obrazloženje za isključivanje kontrola iz Priloga A. Održavajte dovoljnu sljedivost kako biste mogli objasniti kako su te odluke povezane s obradom rizika i drugim zahtjevima.

ISO 27002 pruža smjernice o kontrolama informacijske sigurnosti; ISO 27001 sadrži certificirljive zahtjeve za sustav upravljanja. Koristite smjernice kako biste razumjeli mogućnosti implementacije, ali prilagodite postupke svojoj organizaciji umjesto da preuzimate operativni model koji ne možete održavati.

Izgradite obradu rizika prije prikupljanja dokaza

Počnite s ponovljivom metodom procjene rizika. Definirajte kako se rizici identificiraju, kako se procjenjuju vjerojatnost i posljedice, kako se rezultati uspoređuju i koji kriteriji određuju prihvatljivost. Dosljedno tumačenje važnije je od složene formule bodovanja.

Opišite rizike kao scenarije. „Rizik oblaka“ previše je nejasan da bi podržao odluku. „Administratorski račun je kompromitiran i iskorišten za izvoz evidencija kupaca“ identificira događaj, pogođene informacije i poslovnu posljedicu.

Uključite ljude koji razumiju uslugu. Oni mogu objasniti postojeće zaštitne mjere, pristup podrške, ovisnosti o dobavljačima, ograničenja oporavka i zaobilazna rješenja koja generička knjižnica rizika može propustiti. Za praktičnu strukturu zapisa pogledajte naš vodič za operativni registar rizika.

Za svaki značajan rizik zabilježite vlasnika, procjenu, postojeće kontrole, odluku o obradi, ciljani ishod i procjenu preostalog rizika. Mogući pristupi obradi uključuju smanjenje izloženosti, izbjegavanje aktivnosti, dijeljenje dijelova rizika ili njegovo prihvaćanje prema definiranim kriterijima. Osiguranje ili eksternalizacija ne uklanjaju sve posljedice ni odgovornosti.

Pretvorite obradu u posao za koji je netko odgovoran. „Poboljšati sigurnost pristupa“ nije izvršiv plan. Navedite pogođene sustave, potrebnu promjenu, vlasnika, kriterije dovršetka i način na koji će se ocijeniti učinkovitost.

Držite ove zapise odvojenima:

Oni trebaju biti usklađeni, a da pritom ne postanu međusobne kopije. Ako obrada ovisi o praćenju dobavljača, a povezana kontrola isključena je bez objašnjenja, riješite tu nedosljednost prije pripreme za reviziju.

Preispitujte rizike u planiranim intervalima i kada dođe do značajnih promjena. Novi pružatelj podrške, prošireno prikupljanje podataka, incident ili velika promjena arhitekture mogu učiniti raniju odluku zastarjelom.

Učinite kontrole dijelom redovitog rada

Politika navodi očekivanja; postupak objašnjava kako se posao odvija; operativni zapisi pokazuju što se stvarno dogodilo. Priprema za certifikaciju treba sve troje, gdje je to relevantno.

Primjerice, politika pristupa treba biti povezana s implementiranim procesom za dolazak i odlazak zaposlenika, uzorkovanim promjenama pristupa i pregledom iznimaka. Sam dokument politike ostavlja većinu te priče nedokazanom.

Izgradite proces oko stvarnih odgovornosti. Utvrdite tko traži pristup, tko ga odobrava, tko ga dodjeljuje, što se događa kada se nečija uloga promijeni i kako se računi uklanjaju. Uključite servisne račune i vanjske korisnike kada utječu na opseg.

Primijenite isto razmišljanje i na druge važne procese:

• Ocjena dobavljača treba povezivati kritičnost usluge, pristup informacijama, ugovorna očekivanja, rezultate pregleda i neriješena pitanja.
• Upravljanje incidentima treba povezivati načine prijave, odgovornosti za odgovor, eskalaciju, oporavak i naučene lekcije.
• Sigurnosne kopije i oporavak trebaju povezivati poslovne potrebe, zaštićene sustave, postupke vraćanja, rezultate testova i naknadne radnje.
• Upravljanje promjenama treba povezivati odobrenje, testiranje, zapise o implementaciji, hitne promjene i iznimke.

Fizičke i kadrovske kontrole i dalje su važne u organizaciji koja se temelji na oblaku. Rad na daljinu, zaštita uređaja, povjerljivi razgovori, promjene u radnom odnosu i podizanje svijesti ne mogu se zanemariti samo zato što su poslužitelji eksternalizirani.

Odredite učestalost kontrola prema riziku i operativnim potrebama. Ne prepisujte u politiku obećanje o tromjesečnom pregledu ako ga vlasnik ne može provesti i zadržati zapise. Politika koja opisuje proces koji nitko ne slijedi stvara izbježiv jaz između namjere i implementacije.

Oblikujte dokaze za provjeru, a ne za količinu

Dobar dokaz odgovara na definirano pitanje o zahtjevu ili kontroli. Velika mapa snimaka zaslona nije sama po sebi jača od manjeg, dobro objašnjenog skupa pouzdanih zapisa.

Za svaku važnu kontrolu navedite izvorni sustav, vlasnika, način prikupljanja, pokrivenost, očekivanu učestalost i osobu koja pregledava. Razlikujte dokaze o dizajnu od dokaza o radu. Konfiguracija identiteta može pokazati da je višefaktorska autentifikacija uključena; zapisi o odobrenjima i pregledi pristupa dokazuju druge aspekte upravljanja pristupom.

Dokaz treba jasno pokazivati svoje značenje:

• Koju uslugu, sustav ili populaciju obuhvaća?
• Kada je nastao i koje razdoblje predstavlja?
• Je li dovoljno potpun za pitanje koje se ocjenjuje?
• Tko ga je pregledao i koje su iznimke utvrđene?
• Koje su naknadne radnje proizašle iz tih iznimaka?

Zadržite i neuspješne ishode. Neuspjeli test vraćanja s dokumentiranom istragom, otklanjanjem i uspješnim ponovnim testom može pokazati da praćenje i poboljšavanje funkcioniraju. Brisanje nezgodnih rezultata narušava korisnost zapisa.

Štitite dokaze kao informacije same po sebi. Izvozi mogu sadržavati podatke o zaposlenicima, identifikatore kupaca ili osjetljive konfiguracije. Ograničite pristup, svedite nepotreban sadržaj na najmanju mjeru i definirajte zadržavanje na temelju relevantnih obveza i poslovnih potreba. Omogućite revizorima kontrolirani pristup umjesto da olako dijelite opsežne arhive.

Koristite internu reviziju i upravinu ocjenu za provjeru spremnosti

Interna revizija ocjenjuje je li ISMS sukladan primjenjivim zahtjevima te je li učinkovito implementiran i održavan. Treba obuhvatiti sustav upravljanja, a ne samo provjeravati tehničke postavke.

Planirajte opseg, kriterije, metode i izvješćivanje revizije. Odaberite kompetentne revizore i očuvajte objektivnost i nepristranost. Mala organizacija može se koristiti vanjskom podrškom ili prikladnim međufunkcijskim aranžmanima umjesto da traži od jedne osobe da ocjenjuje sav svoj vlastiti rad.

Korisno revizijsko testiranje prati zapis kroz proces. Odaberite odlazak zaposlenika i provjerite obavijest, uklanjanje računa, postupanje s opremom i iznimke. Odaberite dobavljača i ispitajte odgovara li njegova procjena rizika njegovu stvarnom pristupu. Odaberite radnju obrade i provjerite ima li prijavljeni dovršetak operativnu potporu.

Točno zabilježite nalaze, uključujući zahtjev, uočene dokaze i nedostatak. Ne svodite reviziju na postotak dovršenosti koji prikriva nedostajuće procese upravljanja.

Upravina ocjena zatim razmatra propisane ulazne podatke, uključujući učinak, rezultate revizije, promjene, status procjene i obrade rizika te prilike za poboljšanje. Pripremite sažet paket za odlučivanje uz dostupne popratne zapise. Objasnite gdje uprava mora birati između otklanjanja nedostataka, dodatnih resursa, promijenjenih ciljeva ili odobrenog prihvaćanja rizika.

Kod nesukladnosti odvojite trenutačnu korekciju od korektivne radnje. Onemogućavanje previđenog računa ispravlja neposredni problem. Popravak procesa obavještavanja i provjera kasnijih odlazaka bave se ponavljanjem. Zabilježite uzrok, radnju, vlasnika i ocjenu učinkovitosti.

Razumijte 1. fazu, 2. fazu i odluku o certifikaciji

Početna certifikacija obično uključuje dvije faze revizije. Dogovorite aranžmane, očekivane zapise i očekivanja u pogledu spremnosti s certifikacijskim tijelom dovoljno rano kako biste mogli pravilno planirati.

U 1. fazi ispituju se spremnost, opseg i dokumentacija sustava upravljanja. Ta faza pomaže tijelu razumjeti organizaciju i procijeniti pripremljenost za 2. fazu. Očekujte pomnu provjeru odnosa između opsega, procjene rizika, obrade, Izjave o primjenjivosti i procesa upravljanja. Riješite utvrđene probleme umjesto da 1. fazu tretirate kao administrativni korak rezervacije.

U 2. fazi ocjenjuju se implementacija i učinkovitost. Revizori se koriste razgovorima, promatranjem i uzorkovanim zapisima kako bi provjerili funkcionira li ISMS kako je opisano. Zaposlenici bi trebali moći objasniti svoje stvarne odgovornosti, a ne recitirati uvježbane odgovore.

Održavajte zahtjeve organiziranima tijekom revizije. Imenujte koordinatora, bilježite zahtjeve, utvrdite pravog vlasnika i dostavite relevantne dokaze s kontekstom. Ako nešto nedostaje, točno objasnite situaciju. Ne stvarajte naknadne zapise koji lažno upućuju na to da se proces odvio.

Nesukladnost znači da zahtjev nije ispunjen. Veliki nalazi utječu na sposobnost sustava upravljanja da postigne svoje predviđene rezultate; mali nalazi nemaju takav učinak. Klasifikacija ovisi o kontekstu, pa se jednom nedostajućem zapisu ne može unaprijed dodijeliti univerzalna oznaka.

Certifikacijsko tijelo neovisno utvrđuje nalaze, potrebne odgovore, aranžmane provjere i odluku o certifikaciji. Unaprijed potvrdite njegove rokove i zahtjeve za naknadno postupanje. Revizorova preporuka nije sama po sebi izdani certifikat, a neriješeni nalazi mogu odgoditi odluku.

Nakon certifikacije uobičajeni ciklus uključuje nadzorne audite u godinama između i recertifikaciju prije isteka trogodišnjeg certifikata. Potvrdite konkretan program revizije i uvjete sa svojim tijelom. Nadzorni audit nije dopuštenje da se ISMS zaustavi između posjeta.

Planirajte vremenski okvir i proračun oko ovisnosti

Trajanje ovisi o zrelosti, opsegu, neriješenim rizicima, dostupnosti dokaza, internim kapacitetima i rasporedu revizora. Ne postoji univerzalno razdoblje operativnih dokaza za ISO 27001 koje svaku organizaciju automatski čini spremnom.

Pitajte certifikacijsko tijelo što treba uzorkovati u vašim okolnostima. Proces koji se provodi mjesečno stvara zapise drukčije od godišnje vježbe. Ne čekajte rezervaciju revizije da biste otkrili da važna kontrola nikada nije provedena.

Odvojite posao koji možete ubrzati (prikupljanje, koordinaciju, izradu nacrta i pripremu pregleda) od posla koji zahtijeva implementaciju i dokazani rad. Paralelizirajte neovisne zadatke, ali sačuvajte ovisnosti: Izjava o primjenjivosti ne može se vjerodostojno dovršiti bez obrazloženja odabira kontrola, a učinkovitost se ne može ocijeniti samo na temelju predložene politike.

Koristite kontrolne točke spremnosti umjesto jednog optimističnog datuma završetka:

Predvidite proračun za interni napor, otklanjanje nedostataka, alate, obuku, neobaveznu savjetodavnu podršku i vanjsku ocjenu. Uključite nadzorne audite, recertifikaciju i trajno održavanje, a ne samo račun za prvu reviziju.

Zamolite certifikacijska tijela da objasne svoje pretpostavke o osoblju, lokacijama, aktivnostima, složenosti i aranžmanima revizije. Usporedite cijeli ciklus i naknade za naknadno postupanje. Izbjegavajte tretiranje niske početne ponude kao ukupnog troška rada certificiranog ISMS-a.

Razrađeni primjer: jedna usluga, jedan održiv plan

Zamislite ilustrativnu tvrtku s 30 zaposlenika koja pruža hostiranu uslugu za dijeljenje dokumenata. Pretpostavimo da već ima upravljanje identitetima, odobrenja implementacija i sigurnosne kopije, ali da su pregledi dobavljača i zapisi o pregledima pristupa nedosljedni. Njezin potencijalni kupac želi jamstvo za hostiranu uslugu, uključujući pristup podrške.

Uprava u opseg uključuje uslugu i prateće procese razvoja, rada i podrške. Bilježi sučelja s ljudskim resursima i zajedničkim IT-om umjesto da isključi njihove sigurnosne učinke. Izvršni direktor sponzorira program; voditelj implementacije ga koordinira; operativni rukovoditelji vlasnici su kontrola.

Tim identificira scenarij u kojem pretjerane ovlasti podrške izlažu dokumente kupaca. Obrada uključuje ograničene uloge podrške, odobreno privremeno podizanje ovlasti, preglede pristupa i praćenje primjereno usluzi. Izjava o primjenjivosti bilježi potrebne kontrole i status implementacije.

Vlasnik pristupa zatim prikuplja konfiguraciju uloga, uzorkovane zapise o odobrenjima, dovršeni pregled i dokaze da su pretjerane ovlasti otkrivene tijekom tog pregleda uklonjene. Ti zapisi dokazuju više od samog postojanja politike pristupa.

Tijekom interne revizije otkriva se da je vanjski suradnik koji je otišao i dalje imao aktivan račun. Tim ga onemogućuje, istražuje propuštenu obavijest od ljudskih resursa prema IT-u, dodaje izričit korak prestanka suradnje s vanjskim suradnicima i provjerava kasnije odlaske kako bi ocijenio učinkovitost. Upravina ocjena razmatra nalaz, preostale rizike i resurse potrebne za kontinuirane preglede.

Samo za potrebe planiranja proračuna pretpostavimo da osam suradnika provodi po dva sata tjedno tijekom dvanaest tjedana. To je 192 interna sata, ne računajući specijalističko otklanjanje nedostataka i sudjelovanje u reviziji. Ovo je ilustrativan izračun kapaciteta, a ne tržišna procjena ni obećanje certifikacije.

Pouka je upravljačka: dodijelite posao ljudima s ovlastima, rezervirajte kapacitet i učinite spremnost ovisnom o dokazima. Postojeće tehničke zaštitne mjere smanjuju dio implementacijskog posla, ali ne zamjenjuju odluke o rizicima, internu reviziju ni upravinu ocjenu.

Automatizirajte ponovljivi posao, a prosudbu zadržite

Automatizacija može podržati ažuriranje popisa imovine, prikupljanje dokaza, podsjetnike, tehničke provjere i izvješćivanje. Dajte prednost ponavljajućem poslu s pouzdanim izvornim podacima i jasnim recenzentom umjesto automatiziranja nejasnog procesa.

Automatizirana provjera treba definiranu pokrivenost i postupanje u slučaju neuspjeha. Ako veza prestane prikupljati zapise, razlikujte „nije otkriven problem“ od „nema aktualnih podataka“. Prije nego što se oslonite na rezultat, potvrdite da izvor obuhvaća relevantne sustave, račune ili lokacije.

Ljudsku prosudbu zadržite izričitom za prihvaćanje rizika, primjenjivost kontrola, zaključke o dokazima i odluke uprave. Provjera konfiguracije može pokazati da je šifriranje uključeno; ona ne utvrđuje da se pristupom ključevima, oporavkom i iznimnim putovima podataka primjereno upravlja.

Isto tako, automatizacija tijeka rada može organizirati zahtjeve i nalaze interne revizije, ali ne pruža revizijsku kompetenciju ni neovisnost. Sažeci i mapiranja koje generira umjetna inteligencija trebaju ostati nacrti dok recenzent ne provjeri izvore i odobri zaključke.

Mjerite i učinkovitost i djelotvornost: vrijeme utrošeno na pripremu dokaza, zakašnjele korektivne radnje, nepotpunu pokrivenost, ponovljene neuspjehe i vrijeme potrebno za rješavanje važnih iznimaka. Naš vodič za metrike ISMS-a objašnjava kako mjere učiniti korisnima za upravljačke odluke.

Održavajte vlasništvo aktivnim i nakon certifikacije

Prije nego što certifikat stigne, uspostavite kalendar održavanja. Praktične preporuke uključuju redovite provjere vlasnika, preispitivanja rizika potaknuta bitnim promjenama, planirana vrednovanja kontrola, interne revizije, upravine ocjene i pripremu za vanjske ocjene. Učestalost odaberite prema procesu i riziku umjesto da svaku aktivnost učinite mjesečnom.

Preraspodijelite odgovornosti kada zaposlenici promijene radno mjesto ili odu. Preispitajte opseg i primjenjivost kontrola kada se poslovanje promijeni. Pratite ponavljajuće iznimke: opetovano kasno uklanjanje pristupa upućuje na problem u procesu, čak i ako se svaki pojedinačni slučaj na kraju zatvori.

Secani podržava ovaj tijek rada povezujući zahtjeve, kontrole, dokaze, vlasnike, zadatke i odluke o pregledima u zajedničkom radnom prostoru. Počnite s jednom reprezentativnom uslugom, modelirajte njezine sustave i ovisnosti, povežite postojeće dokaze s onim što dokazuju i pretvorite nedostatke u dodijeljene zadatke. Provjerite prijedloge potpomognute umjetnom inteligencijom u odnosu na njihove izvore i sačuvajte ljudska odobrenja i povijest odluka. To pomaže timu da zadrži ono što nauči tijekom certifikacije dok se sustavi mijenjaju; certifikacija ostaje odluka neovisnog tijela.

Pitanja koja mijenjaju plan implementacije

Zahtijeva li ISO 27001 penetracijski test?

Ne postoji univerzalna točka norme ISO 27001 koja od svake organizacije zahtijeva provedbu penetracijskog testa. Potrebno testiranje ovisi o obradi rizika, primjenjivim kontrolama, značajkama usluge i ugovornim zahtjevima. Kada je testiranje potrebno, definirajte pokrivenost, otklanjanje nedostataka i ponovno testiranje umjesto da zadržite samo izvješće.

Trebamo li umjesto toga ići na SOC 2?

Pitajte što kupci zahtijevaju i koji opseg očekuju. SOC 2 rezultira izvješćem o atestaciji; ISO 27001 rezultira certifikacijom sustava upravljanja. Neki operativni dokazi mogu se ponovno upotrijebiti, ali nijedno se automatski ne pretvara u drugo. Ocijenite zasebne zahtjeve prije nego što se obvežete na oboje.

Trebamo li vanjskog konzultanta?

Ne nužno. Vanjska pomoć može riješiti pitanja tumačenja, kapaciteta ili specijalističkih potreba. Zadržite interno vlasništvo i osigurajte da postupci ostanu upotrebljivi i nakon završetka angažmana. Nečija kvalifikacija implementatora ili revizora ne certificira njegova poslodavca.

Počnite s odlukom i tragom dokaza

Odobrite kratku povelju implementacije u kojoj su navedeni komercijalna potreba, predviđeni opseg, sponzor, voditelj, vlasnici kontrola, kapacitet i kontrolne točke spremnosti. Zatim uzmite jednu važnu uslugu i pratite kontrolu od zahtjeva preko obrade rizika, implementacije i dokaza do pregleda.

Taj prvi trag otkrit će nejasne odgovornosti i nedostajuće zapise prije nego što se umnože. Koristite naš kontrolni popis za ISO 27001 za organizaciju preostalog posla, pri čemu zahtjeve sustava upravljanja i primjenjivost kontrola držite odvojenima.

Trajan ISMS čini sigurnosne odluke provjerljivima i ponovljivima. Certifikacija priznaje sustav unutar njegova opsega; uprava ga održava u radu i nakon što revizorski tim ode.