ISO 27001 tanúsítás: építsen tartós IBIR-t

Egy ügyfél elkéri az ISO 27001 tanúsítványát. Az üzleti határidő egyértelmű; a bevezetési munka talán kevésbé. Az első vezetői döntés az, hogy olyan biztonságirányítási rendszert épít-e, amelyet az üzlet fenn tud tartani, vagy egy auditidőpont köré szervezett ideiglenes projektet.

Egy hasznos tanúsítási terv azzal kezdődik, hogy meghatározza a működtetendő rendszert, majd megszervezi az azt igazoló bizonyítékokat. Ez azt jelenti, hogy el kell dönteni, mely szolgáltatásokra terjedjen ki a tanúsítvány, ki hagyhatja jóvá a kockázati döntéseket, milyen erőforrásokra van szükségük a kontrollfelelősöknek, és honnan fogja tudni a vezetés, hogy a kontrollok működnek-e.

A tanúsítvány fontos eredménytermék. A tartós üzleti érték azonban az információbiztonsági irányítási rendszer (IBIR), amely akkor is hasznos marad, amikor munkatársak távoznak, beszállítók változnak, új termékek indulnak, és az ügyfelek egyre nehezebb kérdéseket tesznek fel.

Mit igazol valójában az ISO 27001 tanúsítás

Az ISO/IEC 27001 az IBIR kialakítására, bevezetésére, fenntartására és folyamatos fejlesztésére vonatkozó követelményeket határoz meg. Célja az információk bizalmasságát, sértetlenségét és rendelkezésre állását fenyegető kockázatok kezelése a szervezet környezetében.

A bizalmasság a nem megfelelő felfedésre vonatkozik, például amikor ügyfélrekordok jogosulatlan felhasználók számára válnak elérhetővé. A sértetlenség a pontatlan vagy jogosulatlan módosításokra, például amikor valaki megváltoztatja a fizetési utasításokat. A rendelkezésre állás a szükség szerinti hozzáférésre, például egy fontos szolgáltatás helyreállítására egy infrastruktúra-hiba után.

A tanúsítás az irányítási rendszerre vonatkozik, annak meghatározott hatókörén belül. Nem garantálja, hogy minden termék sebezhetőségmentes, hogy nem fordulhatnak elő incidensek, vagy hogy minden üzleti egységet értékeltek. Egy felügyelt szolgáltatásra kiterjedő tanúsítványt nem szabad egy azzal össze nem függő termékre vonatkozó bizonyosságként bemutatni.

Az ISO és az IEC kiadja a szabványt; a szervezetet nem ők tanúsítják. Az értékelést független tanúsító szervezet végzi, és ő hozza meg a tanúsítási döntést. Az ügyfelek felé nyújtott bizonyosság érdekében gyakorlati ajánlás olyan szervezetet választani, amely az adott IBIR-tanúsítási tevékenységre akkreditált, és megerősíteni, hogy tanúsítása megfelel a vevői követelményeknek.

A megfelelés és a tanúsítás közötti különbség is számít. Egy szervezet külső tanúsítás nélkül is bevezethet a szabványnak megfelelő IBIR-t. A tanúsítás független értékelést és formális tanúsítványt ad hozzá. Szoftver vásárlása, képzett bevezetési szakember alkalmazása vagy egy tanfolyam elvégzése nem jár a szervezet tanúsításával.

Döntse el, hogy a tanúsítás megoldja-e az üzleti problémát

A tanúsítás különösen akkor releváns, ha beszerzési követelmények, szerződéses kötelezettségvállalások, érzékeny információk vagy működési függőségek indokolják a független bizonyosságot. Nem minden vállalkozásra vonatkozó egyetemes jogi kötelezettség.

Mielőtt elköteleződne, kérje meg az értékesítési és ügyfélkapcsolati csapatokat, hogy azonosítsák a tényleges követelményt. A vevő a szerződés aláírása, a termelési hozzáférés vagy a megújítás előtt követeli meg a tanúsítványt? Egy megnevezett szolgáltatásra vagy jogalanyra kell kiterjednie? Továbbra is kérni fog-e a vevő biztonsági kérdőívet, tesztjelentéseket vagy további szerződéses kontrollokat?

Ezek a válaszok befolyásolják a beruházási prioritásokat. Egy tanúsítvány támogathatja a beszerzést, de nem szünteti meg az összes átvilágítást. Kerülje az olyan bevételi előrejelzést, amely azt feltételezi, hogy a tanúsítás automatikusan lezárja minden ügyfél biztonsági felülvizsgálatát.

Válassza szét a tanúsítást a szabályozási elemzéstől. Egy IBIR támogathatja a más kötelezettségek szempontjából releváns bizonyítékokat és irányítást, de a tanúsítás nem igazolja a GDPR-nak vagy a NIS2-nek való megfelelést. Ezeknek a szabályozásoknak saját alkalmazhatósági szabályaik és kötelezettségeik vannak. A NIS2-t nemzeti jogszabályok ültetik át; a GDPR szerinti kötelezettségek az adatkezelési tevékenységektől és a szervezeti szerepektől függenek.

A vezetői döntés megalapozásának ezért három dolgot kell azonosítania: az ügyfelek által igényelt bizonyosságot, az üzlet által kezelendő információs kockázatokat és a folyamatos működési költséget. A programot ezek alapján hagyja jóvá, ne egy önkényes dátumra ígért tanúsítvány alapján.

Húzzon az ügyfelek számára érthető hatókört

A hatókör az IBIR határait és alkalmazhatóságát írja le. Azonosítania kell a releváns szolgáltatásokat, szervezeti egységeket, telephelyeket, személyeket, információkat, rendszereket és függőségeket. Számításba kell vennie a határokon kívül eső tevékenységekkel való interfészeket is.

Egy szűk hatókör megfelelő lehet, különösen egy első bevezetésnél. Ennek is tükröznie kell azonban, amire az ügyfelek a tanúsítvány kiterjedését várják. A termelési hozzáféréseket adminisztráló csapat kizárása nem szünteti meg annak hatását egy hatókörbe tartozó ügyfélszolgáltatásra.

Egy hosztolt alkalmazásnál vizsgálja meg a teljes szolgáltatási láncot: fejlesztés, telepítés, termelési üzemeltetés, ügyfélszolgálati hozzáférés, identitásadminisztráció, biztonsági mentések és jelentős külső szolgáltatók. A közös HR- vagy IT-folyamatok akkor is befolyásolhatják a biztonságot, ha a hatókör egy termékre összpontosít, nem pedig az egész vállalatra.

Egy gyakorlati hatókör-nyilvántartásnak választ kell adnia a következőkre:

• Melyik jogalany üzemelteti a szolgáltatást?
• Mely ügyfeleknek nyújtott szolgáltatásokra és információkra terjed ki?
• Mely telephelyek és távmunka-megoldások számítanak?
• Mely csapatok és közös folyamatok befolyásolják ezeket a szolgáltatásokat?
• Mely beszállítók biztosítanak infrastruktúrát vagy kezelnek releváns információkat?
• Mi esik a határon kívül, és hogyan kezelik az ahhoz kapcsolódó interfészeket?

Tesztelje a javasolt megfogalmazást egy vevőkkel kapcsolatban álló kollégával. Ha nem tudja elmagyarázni, hogy az ügyfél szolgáltatása a hatókörbe tartozik-e, a megfogalmazáson dolgozni kell.

Ne pusztán az auditdíjak csökkentése érdekében optimalizálja a hatókört. Egy kisebb határ bonyolult interfészeket hozhat létre, és megválaszolatlanul hagyhatja az üzleti követelményt. Fordítva: ha azonnal minden csoportvállalatot bevon, szükségtelen koordinációs terhet teremthet. A helyes határ megvédhető, érthető és működés szempontjából kezelhető.

Rögzítse az indoklást és azokat az eseményeket, amelyek az újragondolását kiváltják, például egy vállalkozás felvásárlását, az infrastruktúra áthelyezését vagy egy lényegesen eltérő szolgáltatás bevezetését. A hatókör maradjon vezetői döntés, ne elfelejtett bekezdés.

Adjon a programnak jogkört, ne csak felelőst

Jelöljön ki egy bevezetési vezetőt és egy elszámoltatható vezetői szponzort. Felelősségük eltérő. A vezető koordinálja a munkát és fenntartja az átláthatóságot; a szponzor feloldja a prioritási konfliktusokat, engedélyezi az erőforrásokat, és biztosítja, hogy a biztonsági célok illeszkedjenek az üzleti döntésekhez.

A kontrollfelelősségnek a működési jogkört kell követnie. A HR felelhet a foglalkoztatással kapcsolatos eljárásokért, az IT az eszközkezelésért, a mérnöki terület a fejlesztési gyakorlatokért, a beszerzés pedig koordinálhatja a beszállítók értékelését. A megfelelési vezető ne váljon névlegesen felelőssé olyan folyamatokért, amelyeken nem tud változtatni.

Határozza meg, ki és milyen szinten fogadhat el maradványkockázatot. Egy szolgáltatásfelelős javasolhatja egy korlátozott működési kitettség elfogadását, míg egy fontos ügyfélvállalásokat érintő kockázat felsővezetői jóváhagyást igényelhet. Rögzítse a döntést, az indoklást, a feltételeket és a felülvizsgálati dátumot.

A vezetésnek a bevezetési kapacitást is védenie kell. Ha munkát oszt ki anélkül, hogy helyet teremtene neki, előre látható késésekhez vezet. Kérdezze meg a felelősöket a szükséges ráfordításról, a függőségekről és a kompromisszumokról; majd hagyjon jóvá egy reális tervet.

A vezetőségi átvizsgálás az a fórum, ahol a vezetés értékeli a rendszert, és döntéseket hoz a fejlesztésről, a változásokról és az erőforrásokról. Egy érdemi döntések nélküli, aláírt jegyzőkönyvnek kevés gyakorlati értéke van. Az átvizsgálásnak a nyitott döntéseket kell feltárnia, nem csupán jóváhagynia egy zöld irányítópultot.

Értse meg a követelményeket, mielőtt ellenőrzőlistát vásárolna

Az ISO/IEC 27001 4–10. fejezetének követelményei alkotják az irányítási rendszer magját. Megfelelés állítása esetén ezek nem zárhatók ki. Gyakorlati eredményeik elkülönülnek az egyes biztonsági kontrollok megvalósításától.

A 2022-es kiadás A melléklete 93 referenciakontrollt tartalmaz: 37 szervezeti, nyolc személyi, 14 fizikai és 34 technológiai kontrollt. Az alkalmazhatóság kockázatalapú; nincs olyan egyetemes szám, amelyet minden vállalatnak meg kellene valósítania.

Határozza meg a kockázatkezeléshez szükséges kontrollokat, majd vesse össze őket az A melléklettel, hogy ellenőrizze, egyetlen szükséges kontroll sem maradt-e ki. A kontrollok szerződéses követelményekből, más forrásokból vagy a saját tervezéséből is származhatnak. Az A melléklet nem helyettesíti a kockázatértékelést, és nem is minden lehetséges biztonsági intézkedés kimerítő katalógusa.

Az alkalmazhatósági nyilatkozat (Statement of Applicability, SoA) rögzíti a szükséges kontrollokat, a felvételük indokait, a megvalósításuk állapotát, valamint az A melléklet szerinti kontrollok kizárásának indoklását. Tartson fenn annyi nyomon követhetőséget, hogy meg tudja magyarázni, hogyan kapcsolódnak ezek a döntések a kockázatkezeléshez és más követelményekhez.

Az ISO 27002 útmutatást ad az információbiztonsági kontrollokhoz; az ISO 27001 adja a tanúsítható irányítási rendszerbeli követelményeket. Az útmutatást a megvalósítási lehetőségek megértésére használja, de az eljárásokat szabja a saját szervezetére, ahelyett hogy egy olyan működési modellt venne át, amelyet nem tud fenntartani.

Építse fel a kockázatkezelést, mielőtt bizonyítékokat gyűjtene

Kezdjen egy megismételhető kockázatértékelési módszerrel. Határozza meg, hogyan azonosítják a kockázatokat, hogyan értékelik a valószínűséget és a következményeket, hogyan hasonlítják össze az eredményeket, és mely kritériumok határozzák meg az elfogadhatóságot. A következetes értelmezés többet számít egy bonyolult pontozási képletnél.

A kockázatokat forgatókönyvként írja le. A „felhőkockázat” túl homályos ahhoz, hogy döntést támogasson. Az „egy adminisztrátori fiókot kompromittálnak, és ügyfélrekordok exportálására használják” egy eseményt, az érintett információkat és egy üzleti következményt azonosít.

Vonja be azokat, akik értik a szolgáltatást. Ők meg tudják magyarázni a meglévő védelmi intézkedéseket, az ügyfélszolgálati hozzáférést, a beszállítói függőségeket, a helyreállítási korlátokat és azokat a kerülőutakat, amelyeket egy általános kockázati könyvtár nem vesz észre. Gyakorlati rekordstruktúráért lásd az operatív kockázati nyilvántartásról szóló útmutatónkat.

Minden jelentős kockázathoz rögzítse a felelőst, az értékelést, a jelenlegi kontrollokat, a kezelési döntést, a célállapotot és a maradványkockázat értékelését. A lehetséges kezelési megközelítések közé tartozik a kitettség csökkentése, egy tevékenység elkerülése, a kockázat egyes aspektusainak megosztása, vagy meghatározott kritériumok szerinti elfogadása. A biztosítás vagy a kiszervezés nem szüntet meg minden következményt vagy felelősséget.

A kezelést alakítsa elszámoltatható munkává. A „javítsa a hozzáférés biztonságát” nem végrehajtható terv. Határozza meg az érintett rendszereket, a szükséges változtatást, a felelőst, a teljesítési kritériumokat, és azt, hogyan értékelik a hatékonyságot.

Tartsa külön ezeket a rekordokat:

Ezeknek összhangban kell lenniük anélkül, hogy egymás másolataivá válnának. Ha egy kezelés beszállítói monitorozástól függ, de a kapcsolódó kontrollt magyarázat nélkül kizárták, az auditfelkészülés előtt oldja fel az ellentmondást.

A kockázatokat tervezett időközönként és jelentős változások bekövetkezésekor vizsgálja felül. Egy új ügyfélszolgálati szolgáltató, a kibővített adatgyűjtés, egy incidens vagy egy jelentős architekturális változás elavulttá tehet egy korábbi döntést.

Tegye a kontrollokat a mindennapi működés részévé

Egy politika elvárásokat fogalmaz meg; egy eljárás elmagyarázza, hogyan történik a munka; a működési nyilvántartások igazolják, mi történt ténylegesen. A tanúsításra való felkészüléshez, ahol releváns, mindhárom szükséges.

Egy hozzáférési politikának például egy megvalósított belépési és kilépési folyamathoz, mintavételezett hozzáférés-módosításokhoz és a kivételek felülvizsgálatához kell kapcsolódnia. Egy politikai dokumentum önmagában e történet nagy részét bizonyítatlanul hagyja.

A folyamatot a tényleges felelősségek köré építse. Azonosítsa, ki kéri a hozzáférést, ki hagyja jóvá, ki biztosítja, mi történik, ha valakinek megváltozik a szerepköre, és hogyan szüntetik meg a fiókokat. Vegye fel a szolgáltatásfiókokat és a külső felhasználókat is, ha befolyásolják a hatókört.

Ugyanezt a gondolkodásmódot alkalmazza a többi fontos folyamatra is:

• A beszállítói értékelésnek össze kell kapcsolnia a szolgáltatás kritikusságát, az információkhoz való hozzáférést, a szerződéses elvárásokat, a felülvizsgálati eredményeket és a nyitott aggályokat.
• Az incidenskezelésnek össze kell kapcsolnia a bejelentési útvonalakat, a reagálási felelősségeket, az eszkalációt, a helyreállítást és a tanulságokat.
• A mentésnek és a helyreállításnak össze kell kapcsolnia az üzleti igényeket, a védett rendszereket, a visszaállítási eljárásokat, a teszteredményeket és a nyomon követő munkát.
• A változáskezelésnek össze kell kapcsolnia a jóváhagyást, a tesztelést, a telepítési nyilvántartásokat, a sürgősségi változtatásokat és a kivételeket.

A fizikai és személyi kontrollok egy felhőalapú szervezetben is számítanak. A távmunka, az eszközvédelem, a bizalmas beszélgetések, a munkaviszony változásai és a tudatosság nem hagyhatók figyelmen kívül azzal, hogy a szerverek ki vannak szervezve.

A kontrollok gyakoriságát a kockázat és a működési igények szerint határozza meg. Ne másoljon be negyedéves felülvizsgálati ígéretet egy politikába, hacsak a felelős nem tudja végrehajtani és megőrizni a nyilvántartásokat. Egy olyan folyamatot leíró politika, amelyet senki sem követ, elkerülhető rést teremt a szándék és a megvalósítás között.

A bizonyítékokat ellenőrzésre tervezze, ne mennyiségre

A jó bizonyíték egy követelményre vagy kontrollra vonatkozó meghatározott kérdésre ad választ. Egy nagy, képernyőképekkel teli mappa nem eredendően erősebb egy kisebb, jól megmagyarázott, megbízható nyilvántartásokból álló készletnél.

Minden fontos kontrollhoz határozza meg a forrásrendszert, a felelőst, a gyűjtési módszert, a lefedettséget, a várt gyakoriságot és a felülvizsgálót. Különböztesse meg a kialakításra vonatkozó bizonyítékot a működésre vonatkozótól. Egy identitáskonfiguráció megmutathatja, hogy a többtényezős hitelesítés be van kapcsolva; a jóváhagyási nyilvántartások és a hozzáférés-felülvizsgálatok a hozzáférés-irányítás más aspektusait igazolják.

A bizonyítéknak egyértelművé kell tennie a jelentését:

• Milyen szolgáltatásra, rendszerre vagy populációra terjed ki?
• Mikor készült, és milyen időszakot képvisel?
• Elég teljes-e az értékelt kérdéshez?
• Ki vizsgálta felül, és milyen kivételeket azonosítottak?
• Milyen nyomon követő intézkedés következett ezekből a kivételekből?

A sikertelen eredményeket is őrizze meg. Egy sikertelen visszaállítási teszt dokumentált vizsgálattal, javítással és sikeres újrateszteléssel igazolhatja, hogy a monitorozás és a fejlesztés működik. A kellemetlen eredmények törlése rontja a nyilvántartás használhatóságát.

A bizonyítékokat önálló információként is védje. Az exportok tartalmazhatnak munkavállalói adatokat, ügyfélazonosítókat vagy érzékeny konfigurációkat. Korlátozza a hozzáférést, minimalizálja a szükségtelen tartalmat, és a megőrzést a releváns kötelezettségek és üzleti igények alapján határozza meg. Az auditoroknak biztosítson ellenőrzött hozzáférést, ahelyett hogy alkalmanként széles körű archívumokat terjesztene.

Használja a belső auditot és a vezetőségi átvizsgálást a felkészültség tesztelésére

A belső audit azt értékeli, hogy az IBIR megfelel-e az alkalmazandó követelményeknek, és hatékonyan van-e bevezetve és fenntartva. Az irányítási rendszerre kell kiterjednie, nem csupán műszaki beállítások ellenőrzésére.

Tervezze meg az audit hatókörét, kritériumait, módszereit és jelentéstételét. Válasszon kompetens auditorokat, és őrizze meg az objektivitást és a pártatlanságot. Egy kisebb szervezet igénybe vehet külső támogatást vagy megfelelő, területeken átívelő megoldásokat, ahelyett hogy egyetlen személyt kérne meg arra, hogy a saját munkáját értékelje.

A hasznos audittesztelés egy rekordot követ végig a folyamaton. Válasszon ki egy munkatárs távozását, és ellenőrizze az értesítést, a fiók megszüntetését, az eszközök kezelését és a kivételeket. Válasszon ki egy beszállítót, és vizsgálja meg, hogy kockázatértékelése megfelel-e tényleges hozzáférésének. Válasszon ki egy kezelési intézkedést, és ellenőrizze, hogy a bejelentett befejezést alátámasztja-e a működés.

A megállapításokat pontosan rögzítse, beleértve a követelményt, a megfigyelt bizonyítékot és a hiányosságot. Ne szűkítse az auditot egy százalékos készültségi pontszámra, amely elrejti a hiányzó irányítási folyamatokat.

A vezetőségi átvizsgálás ezután figyelembe veszi a kötelező bemeneteket, beleértve a teljesítményt, az auditeredményeket, a változásokat, a kockázatértékelés és -kezelés állapotát, valamint a fejlesztési lehetőségeket. Készítsen tömör döntési anyagot, a rendelkezésre álló alátámasztó nyilvántartásokkal. Magyarázza el, hol kell a vezetésnek választania a javítás, a további erőforrások, a módosított célok vagy a jóváhagyott kockázatelfogadás között.

A nemmegfelelőségeknél válassza szét az azonnali javítást a korrekciós intézkedéstől. Egy figyelmen kívül hagyott fiók letiltása az azonnali problémát javítja. Az értesítési folyamat kijavítása és a későbbi távozások ellenőrzése az ismétlődést kezeli. Rögzítse az okot, az intézkedést, a felelőst és a hatékonyság értékelését.

Értse meg az 1. szakaszt, a 2. szakaszt és a tanúsítási döntést

Az első tanúsítás általában két auditszakaszból áll. Az eljárásokat, a várt nyilvántartásokat és a felkészültségi elvárásokat elég korán egyeztesse a tanúsító szervezettel ahhoz, hogy megfelelően tervezni tudjon.

Az 1. szakasz a felkészültséget, a hatókört és az irányítási rendszer dokumentációját vizsgálja. Segít a tanúsító szervezetnek megérteni a szervezetet, és felmérni a 2. szakaszra való felkészültséget. Számítson arra, hogy alaposan megvizsgálják a hatókör, a kockázatértékelés, a kezelés, az SoA és az irányítási folyamatok közötti kapcsolatot. Az azonosított aggályokat oldja meg, ahelyett hogy az 1. szakaszt adminisztratív foglalási lépésnek tekintené.

A 2. szakasz a megvalósítást és a hatékonyságot értékeli. Az auditorok interjúkkal, megfigyeléssel és mintavételezett nyilvántartásokkal tesztelik, hogy az IBIR a leírtak szerint működik-e. A munkatársaknak el kell tudniuk magyarázni tényleges felelősségeiket, nem betanult válaszokat kell felmondaniuk.

Az audit során tartsa rendezetten a kéréseket. Jelöljön ki koordinátort, rögzítse a kéréseket, azonosítsa a megfelelő felelőst, és a releváns bizonyítékokat kontextussal együtt adja át. Ha valami hiányzik, pontosan magyarázza el a helyzetet. Ne hozzon létre utólag olyan nyilvántartásokat, amelyek hamisan azt sugallják, hogy egy folyamat lezajlott.

A nemmegfelelőség azt jelenti, hogy egy követelmény nem teljesült. A súlyos megállapítások befolyásolják az irányítási rendszer képességét a kitűzött eredmények elérésére; az enyhe megállapításoknak nincs ilyen hatásuk. A besorolás a kontextustól függ, ezért egyetlen hiányzó nyilvántartáshoz sem lehet előre egyetemes címkét rendelni.

A tanúsító szervezet függetlenül határozza meg a megállapításokat, a szükséges válaszokat, az ellenőrzési eljárásokat és a tanúsítási döntést. Előre erősítse meg a határidőit és a nyomon követési követelményeit. Egy auditor ajánlása önmagában nem kiadott tanúsítvány, és a nyitott megállapítások késleltethetik a döntést.

A tanúsítás után egy tipikus ciklus a közbenső években felügyeleti auditokat, a hároméves tanúsítvány lejárta előtt pedig újratanúsítást foglal magában. A konkrét auditprogramot és feltételeket egyeztesse a tanúsító szervezettel. A felügyeleti auditok nem jelentenek engedélyt arra, hogy az IBIR a látogatások között szüneteljen.

Az ütemtervet és a költségvetést a függőségek köré tervezze

Az időtartam az érettségtől, a hatókörtől, a nyitott kockázatoktól, a bizonyítékok elérhetőségétől, a belső kapacitástól és az auditorok ütemezésétől függ. Nincs olyan egyetemes ISO 27001 szerinti működési bizonyítási időszak, amely minden szervezetet automatikusan felkészültté tenne.

Kérdezze meg a tanúsító szervezetet, mit kell mintavételeznie az Ön körülményei között. Egy havonta végzett folyamat másként termel nyilvántartásokat, mint egy éves gyakorlat. Ne várjon az audit lefoglalásáig azzal, hogy kiderüljön: egy fontos kontrollt még soha nem működtettek.

Válassza szét azt a munkát, amelyet felgyorsíthat (gyűjtés, koordináció, megfogalmazás és felülvizsgálati előkészítés), attól a munkától, amely megvalósítást és igazolt működést igényel. A független feladatokat végezze párhuzamosan, de őrizze meg a függőségeket: egy SoA nem véglegesíthető hitelesen a kontrollkiválasztás indoklása nélkül, és a hatékonyság nem értékelhető pusztán egy javasolt politika alapján.

Egyetlen optimista befejezési dátum helyett használjon felkészültségi kapukat:

Tervezzen költségvetést a belső ráfordításra, a javításokra, az eszközökre, a képzésre, az opcionális tanácsadói támogatásra és a külső értékelésre. Vegye bele a felügyeleti auditokat, az újratanúsítást és a folyamatos karbantartást is, ne csak az első audit számláját.

Kérje meg a tanúsító szervezeteket, hogy magyarázzák el a személyzetre, telephelyekre, tevékenységekre, összetettségre és auditmegoldásokra vonatkozó feltevéseiket. Hasonlítsa össze a teljes ciklust és a nyomon követési díjakat. Ne tekintsen egy alacsony kezdeti ajánlatot egy tanúsított IBIR működtetésének teljes költségének.

Kidolgozott példa: egy szolgáltatás, egy fenntartható terv

Vegyünk egy szemléltető, 30 fős vállalatot, amely hosztolt dokumentummegosztó szolgáltatást üzemeltet. Tegyük fel, hogy már rendelkezik identitáskezeléssel, telepítési jóváhagyásokkal és biztonsági mentésekkel, de a beszállítói felülvizsgálatok és a hozzáférés-felülvizsgálati nyilvántartások következetlenek. Leendő ügyfele bizonyosságot vár a hosztolt szolgáltatásra, beleértve az ügyfélszolgálati hozzáférést.

A vezetés a szolgáltatást, valamint az azt támogató fejlesztési, üzemeltetési és ügyfélszolgálati folyamatokat veszi hatókörbe. Rögzíti a HR-rel és a közös IT-val való interfészeket, ahelyett hogy kizárná azok biztonsági hatásait. A vezérigazgató szponzorálja a programot; egy bevezetési vezető koordinálja; a kontrollokért az operatív vezetők felelnek.

A csapat azonosít egy forgatókönyvet, amelyben a túlzott ügyfélszolgálati jogosultságok ügyféldokumentumokat tesznek elérhetővé. A kezelés magában foglalja a korlátozott ügyfélszolgálati szerepköröket, a jóváhagyott ideiglenes jogosultság-emelést, a hozzáférés-felülvizsgálatokat és a szolgáltatáshoz illő monitorozást. Az SoA rögzíti a szükséges kontrollokat és a megvalósítás állapotát.

A hozzáférésért felelős ezután összegyűjti a szerepkör-konfigurációt, mintavételezett jóváhagyási nyilvántartásokat, egy elvégzett felülvizsgálatot, és bizonyítékot arra, hogy a felülvizsgálat során feltárt túlzott jogosultságokat megszüntették. Ezek a nyilvántartások többet igazolnak egy hozzáférési politika puszta létezésénél.

A belső audit során kiderül, hogy egy távozott külső munkatársnak aktív fiókja van. A csapat letiltja, kivizsgálja az elmaradt HR–IT értesítést, kifejezett lépést vezet be a külső munkatársak szerződésének megszűnésére, és a hatékonyság értékeléséhez ellenőrzi a későbbi távozásokat. A vezetőségi átvizsgálás figyelembe veszi a megállapítást, a fennmaradó kockázatokat és a folyamatos felülvizsgálatokhoz szükséges erőforrásokat.

Kizárólag költségvetés-tervezési célból tegyük fel, hogy nyolc közreműködő tizenkét héten át hetente két órát fordít a munkára. Ez 192 belső munkaóra, a szakértői javítómunkán és az auditon való részvételen felül. Ez szemléltető kapacitásszámítás, nem piaci becslés vagy tanúsítási ígéret.

A tanulság vezetési jellegű: a munkát jogkörrel rendelkező emberekhez rendelje, biztosítson kapacitást, és a felkészültséget tegye a bizonyítékoktól függővé. A meglévő műszaki védelmi intézkedések csökkentenek bizonyos megvalósítási munkát, de nem helyettesítik a kockázati döntéseket, a belső auditot vagy a vezetőségi átvizsgálást.

Automatizálja az ismétlődő munkát, de őrizze meg az ítélőképességet

Az automatizálás támogathatja a leltárfrissítéseket, a bizonyítékgyűjtést, az emlékeztetőket, a műszaki ellenőrzéseket és a jelentéstételt. Az olyan ismétlődő munkát részesítse előnyben, amelyhez megbízható forrásadatok és egyértelmű felülvizsgáló tartoznak, ahelyett hogy egy tisztázatlan folyamatot automatizálna.

Egy automatizált ellenőrzéshez meghatározott lefedettség és hibakezelés szükséges. Ha egy kapcsolat leáll a nyilvántartások gyűjtésével, különböztesse meg a „nem észleltünk problémát” állapotot a „nincs aktuális adat” állapottól. Mielőtt az eredményre támaszkodna, erősítse meg, hogy a forrás lefedi a releváns rendszereket, fiókokat vagy telephelyeket.

Az emberi ítélőképességet tartsa kifejezetten meg a kockázatelfogadásnál, a kontrollok alkalmazhatóságánál, a bizonyítékokból levont következtetéseknél és a vezetői döntéseknél. Egy konfigurációs ellenőrzés megmutathatja, hogy a titkosítás be van kapcsolva; azt nem igazolja, hogy a kulcsokhoz való hozzáférés, a helyreállítás és a kivételes adatútvonalak megfelelően vannak kezelve.

Hasonlóképpen, a munkafolyamat-automatizálás rendszerezheti a belső audit kéréseit és megállapításait, de nem biztosít auditkompetenciát vagy függetlenséget. Az MI által generált összefoglalók és megfeleltetések vázlatok maradjanak, amíg egy felülvizsgáló nem ellenőrzi a forrásokat és nem hagyja jóvá a következtetéseket.

Mérje a hatékonyságot és az eredményességet egyaránt: a bizonyítékok előkészítésére fordított időt, a lejárt korrekciós intézkedéseket, a hiányos lefedettséget, az ismétlődő hibákat és a fontos kivételek megoldásához szükséges időt. IBIR-mutatókról szóló útmutatónk elmagyarázza, hogyan tehetők a mérőszámok hasznossá a vezetői döntésekhez.

Tartsa aktívan a felelősséget a tanúsítás után

Még a tanúsítvány megérkezése előtt alakítsa ki a karbantartási naptárt. Gyakorlati ajánlások: rendszeres felelősi ellenőrzések, lényeges változások által kiváltott kockázati felülvizsgálatok, tervezett kontrollértékelések, belső auditok, vezetőségi átvizsgálások és felkészülés a külső értékelésekre. A gyakoriságot a folyamathoz és a kockázathoz igazítsa, ahelyett hogy minden tevékenységet havira állítana.

Ha munkatársak munkakört váltanak vagy távoznak, ossza ki újra a felelősségeket. Ha az üzlet változik, vizsgálja felül a hatókört és a kontrollok alkalmazhatóságát. Kövesse nyomon az ismétlődő kivételeket: a hozzáférések ismétlődően késedelmes megszüntetése folyamatproblémára utal, még ha minden egyes eset végül le is zárul.

A Secani ezt a munkafolyamatot azzal támogatja, hogy egy közös munkaterületen összekapcsolja a követelményeket, kontrollokat, bizonyítékokat, felelősöket, feladatokat és felülvizsgálati döntéseket. Kezdjen egy reprezentatív szolgáltatással, modellezze a rendszereit és függőségeit, csatolja a meglévő bizonyítékokat ahhoz, amit igazolnak, és a hiányosságokat alakítsa kiosztott feladatokká. Az MI által támogatott javaslatokat vesse össze a forrásaikkal, és őrizze meg az emberi jóváhagyásokat és a döntési előzményeket. Ez segít a csapatnak megőrizni a tanúsítás során szerzett tudást a rendszerek változása közben is; a tanúsítás továbbra is a független szervezet döntése marad.

Kérdések, amelyek megváltoztatják a bevezetési tervet

Előír-e az ISO 27001 behatolástesztet?

Nincs olyan egyetemes ISO 27001 szerinti szakasz, amely minden szervezettől behatolásteszt elvégzését követelné meg. A szükséges tesztelés a kockázatkezeléstől, az alkalmazandó kontrolloktól, a szolgáltatás jellemzőitől és a szerződéses követelményektől függ. Ahol tesztelésre van szükség, határozza meg a lefedettséget, a javítást és az újratesztelést, ahelyett hogy csak egy jelentést őrizne meg.

Inkább SOC 2-re kellene törekednünk?

Kérdezze meg, mit követelnek meg az ügyfelek, és milyen hatókört várnak el. A SOC 2 attesztációs jelentést eredményez; az ISO 27001 irányítási rendszer tanúsítását. Egyes működési bizonyítékok újrahasznosíthatók lehetnek, de egyik sem alakul át automatikusan a másikká. Mielőtt mindkettő mellett elköteleződne, értékelje külön a követelményeket.

Szükségünk van külső tanácsadóra?

Nem feltétlenül. A külső segítség az értelmezésben, a kapacitásban vagy speciális igényekben nyújthat támogatást. Tartsa meg a belső felelősséget, és gondoskodjon arról, hogy az eljárások a megbízás lezárulta után is használhatók maradjanak. Egy személy bevezetési szakértői vagy auditori képesítése nem tanúsítja a munkáltatóját.

Kezdjen egy döntéssel és egy bizonyítéki nyomvonallal

Hagyjon jóvá egy rövid bevezetési alapító okiratot, amely rögzíti az üzleti igényt, a tervezett hatókört, a szponzort, a vezetőt, a kontrollfelelősöket, a kapacitást és a felkészültségi kapukat. Ezután vegyen egy fontos szolgáltatást, és kövessen végig egy kontrollt a követelménytől a kockázatkezelésen, a megvalósításon és a bizonyítékokon át a felülvizsgálatig.

Ez az első nyomkövetés feltárja a tisztázatlan felelősségeket és a hiányzó nyilvántartásokat, mielőtt azok megsokszorozódnának. Használja ISO 27001 ellenőrzőlistánkat a fennmaradó munka megszervezéséhez, miközben az irányítási rendszerbeli követelményeket és a kontrollok alkalmazhatóságát külön kezeli.

Egy tartós IBIR ellenőrizhetővé és megismételhetővé teszi a biztonsági döntéseket. A tanúsítás elismeri a rendszert a hatókörén belül; a vezetés pedig működésben tartja azt, miután az auditcsapat távozott.