ISO 27001 sertifikavimas: sukurkite ilgalaikę ISMS

Klientas prašo jūsų ISO 27001 sertifikato. Komercinis terminas aiškus; įgyvendinimo darbai – nebūtinai. Pirmasis vadovybės sprendimas – ar kurti saugumo valdymo sistemą, kurią verslas gali išlaikyti, ar organizuoti laikiną projektą aplink audito datą.

Naudingas sertifikavimo planas prasideda nuo sistemos, kurią jums reikia valdyti, apibrėžimo, o tada sutvarkomi ją įrodantys įrodymai. Tai reiškia, kad reikia nuspręsti, kurias paslaugas turėtų apimti sertifikatas, kas gali tvirtinti rizikos sprendimus, kokių išteklių reikia kontrolės priemonių savininkams ir kaip vadovybė sužinos, ar kontrolės priemonės veikia.

Sertifikatas yra svarbus rezultatas. Tačiau ilgalaikis verslo turtas yra informacijos saugumo valdymo sistema (ISMS), kuri išlieka naudinga, kai darbuotojai išeina, keičiasi tiekėjai, pradedami nauji produktai ir klientai užduoda sunkesnius klausimus.

Ką iš tikrųjų patvirtina ISO 27001 sertifikavimas

ISO/IEC 27001 nustato ISMS sukūrimo, įgyvendinimo, palaikymo ir nuolatinio gerinimo reikalavimus. Jo paskirtis – organizacijos kontekste valdyti informacijos konfidencialumo, vientisumo ir prieinamumo rizikas.

Konfidencialumas susijęs su netinkamu atskleidimu, pavyzdžiui, kai klientų įrašai tampa prieinami neįgaliotiems naudotojams. Vientisumas susijęs su netiksliais ar neleistinais pakeitimais, pavyzdžiui, kai kas nors pakeičia mokėjimo nurodymus. Prieinamumas susijęs su prieiga, kai jos reikia, pavyzdžiui, svarbios paslaugos atkūrimu po infrastruktūros gedimo.

Sertifikavimas susijęs su šia valdymo sistema jos nurodytoje apimtyje. Jis negarantuoja, kad kiekvienas produktas neturi pažeidžiamumų, kad incidentai negali įvykti ar kad buvo įvertintas kiekvienas verslo padalinys. Sertifikatas, apimantis vieną valdomą paslaugą, neturėtų būti pateikiamas kaip su ja nesusijusio produkto patikinimas.

ISO ir IEC skelbia standartą; jie nesertifikuoja jūsų organizacijos. Vertinimą atlieka ir sprendimą dėl sertifikavimo priima nepriklausoma sertifikavimo įstaiga. Klientų patikinimo tikslais praktiškai rekomenduojame pasirinkti įstaigą, akredituotą atitinkamai ISMS sertifikavimo veiklai, ir patvirtinti, kad jos sertifikatas atitiks pirkėjų reikalavimus.

Svarbus ir atitikties bei sertifikavimo skirtumas. Organizacija gali įgyvendinti standartą atitinkančią ISMS nesiekdama išorinio sertifikavimo. Sertifikavimas prideda nepriklausomą vertinimą ir oficialų sertifikatą. Programinės įrangos įsigijimas, kvalifikuoto diegėjo įdarbinimas ar mokymo kurso baigimas nesuteikia organizacijai sertifikato.

Nuspręskite, ar sertifikavimas išsprendžia verslo problemą

Sertifikavimas ypač aktualus, kai nepriklausomą patikinimą pateisina pirkimų reikalavimai, sutartiniai įsipareigojimai, jautri informacija ar veiklos priklausomybės. Tai nėra visuotinė teisinė prievolė kiekvienam verslui.

Prieš įsipareigodami paprašykite pardavimų ir klientų aptarnavimo komandų nustatyti faktinį reikalavimą. Ar pirkėjui sertifikato reikia prieš pasirašant sutartį, prieš suteikiant prieigą prie gamybinės aplinkos ar pratęsiant sutartį? Ar jis turi apimti konkrečią paslaugą ar juridinį asmenį? Ar pirkėjas vis tiek reikalaus saugumo klausimyno, testavimo ataskaitų ar papildomų sutartinių kontrolės priemonių?

Šie atsakymai daro įtaką investicijų prioritetams. Sertifikatas gali padėti pirkimuose, tačiau jis nepanaikina viso deramo patikrinimo. Neprognozuokite pajamų remdamiesi prielaida, kad sertifikavimas automatiškai užbaigia kiekvieno kliento saugumo peržiūrą.

Atskirkite sertifikavimą nuo reguliavimo analizės. ISMS gali padėti gauti įrodymų ir užtikrinti valdyseną, svarbią kitoms prievolėms, tačiau sertifikavimas neįrodo atitikties BDAR ar NIS2. Šie režimai turi savo taikymo taisykles ir pareigas. NIS2 įgyvendinama nacionaliniais teisės aktais; BDAR pareigos priklauso nuo duomenų tvarkymo veiklos ir organizacijos vaidmenų.

Todėl vadovybės pagrindime turėtų būti nurodyti trys dalykai: kokio patikinimo reikia klientams, kokias informacijos rizikas verslas turi valdyti ir kokios bus nuolatinės veiklos išlaidos. Programą tvirtinkite tuo pagrindu, o ne remdamiesi pažadu gauti sertifikatą iki savavališkai pasirinktos datos.

Nubrėžkite klientams suprantamą apimtį

Apimtis apibūdina ISMS ribas ir taikymą. Joje turėtų būti nurodytos atitinkamos paslaugos, organizaciniai padaliniai, vietos, žmonės, informacija, sistemos ir priklausomybės. Ji taip pat turi atsižvelgti į sąsajas su veikla už šių ribų.

Siaura apimtis gali būti tinkama, ypač pirminiam įgyvendinimui. Tačiau ji vis tiek turi atspindėti tai, ką klientai tikisi, kad sertifikatas apims. Komandos, administruojančios prieigą prie gamybinės aplinkos, neįtraukimas nepanaikina jos įtakos apimčiai priskirtai klientų paslaugai.

Talpinamos taikomosios programos atveju išnagrinėkite visą paslaugos grandinę: kūrimą, diegimą, gamybinės aplinkos eksploatavimą, pagalbos tarnybos prieigą, tapatybių administravimą, atsargines kopijas ir reikšmingus išorės teikėjus. Bendri personalo ar IT procesai gali turėti įtakos saugumui net tada, kai apimtis sutelkta į produktą, o ne į visą įmonę.

Praktiniame apimties įraše turėtų būti atsakyta į šiuos klausimus:

• Kuris juridinis asmuo teikia paslaugą?
• Kurios klientams skirtos paslaugos ir informacija apimamos?
• Kurios vietos ir nuotolinio darbo tvarka yra svarbios?
• Kurios komandos ir bendri procesai daro įtaką šioms paslaugoms?
• Kurie tiekėjai teikia infrastruktūrą ar tvarko atitinkamą informaciją?
• Kas lieka už ribos ir kaip valdomos jos sąsajos?

Siūlomą formuluotę išbandykite su kolega, bendraujančiu su pirkėjais. Jei jis negali paaiškinti, ar kliento paslauga apimama, formuluotę reikia tobulinti.

Neoptimizuokite apimties vien tam, kad sumažintumėte audito mokesčius. Mažesnė riba gali sukurti sudėtingų sąsajų ir palikti komercinį reikalavimą neatsakytą. Ir atvirkščiai, iš karto įtraukus visas grupės įmones gali prireikti nereikalingo koordinavimo. Tinkama riba yra pagrįsta, suprantama ir valdoma veiklos požiūriu.

Užfiksuokite pagrindimą ir sukėlėjus, kuriems esant ją reikėtų persvarstyti, pavyzdžiui, įsigijus verslą, perkėlus infrastruktūrą ar pradėjus iš esmės kitokią paslaugą. Apimtis turėtų išlikti vadovybės sprendimu, o ne pamirštu skyreliu.

Suteikite programai įgaliojimų, o ne tik savininką

Paskirkite įgyvendinimo vadovą ir atsakingą vadovybės rėmėją. Jų atsakomybės skiriasi. Vadovas koordinuoja darbą ir palaiko matomumą; rėmėjas sprendžia prioritetų klausimus, tvirtina išteklius ir užtikrina, kad saugumo tikslai derėtų su verslo sprendimais.

Atsakomybė už kontrolės priemones turėtų atitikti veiklos įgaliojimus. Personalo skyrius gali būti atsakingas už su darbo santykiais susijusias procedūras, IT – už įrenginių valdymą, inžinerija – už kūrimo praktiką, o pirkimų skyrius gali koordinuoti tiekėjų vertinimą. Atitikties vadovas neturėtų tapti formaliai atsakingu už procesus, kurių jis negali pakeisti.

Apibrėžkite, kas ir kokiu lygiu gali priimti likutinę riziką. Paslaugos savininkas gali rekomenduoti priimti ribotą veiklos riziką, o rizikai, turinčiai įtakos svarbiems įsipareigojimams klientams, gali reikėti vadovų patvirtinimo. Užfiksuokite sprendimą, motyvus, sąlygas ir peržiūros datą.

Vadovybė taip pat turi apsaugoti įgyvendinimo pajėgumus. Skiriant darbą nepadarius jam vietos, vėlavimai neišvengiami. Paprašykite savininkų nurodyti reikalingas sąnaudas, priklausomybes ir kompromisus; tada patvirtinkite realistišką planą.

Vadovybinė peržiūra yra vieta, kur vadovybė vertina sistemą ir priima sprendimus dėl gerinimo, pokyčių ir išteklių. Pasirašytas posėdžio protokolas be prasmingų sprendimų turi mažai praktinės vertės. Peržiūra turėtų atskleisti neišspręstus pasirinkimus, o ne tik patvirtinti žalią valdymo skydelį.

Supraskite reikalavimus prieš pirkdami kontrolinį sąrašą

ISO/IEC 27001 4–10 skyrių reikalavimai sudaro valdymo sistemos branduolį. Teigiant atitiktį, jų negalima neįtraukti. Jų praktiniai rezultatai skiriasi nuo atskirų saugumo kontrolės priemonių įgyvendinimo.

2022 m. leidimo A priede yra 93 etaloninės kontrolės priemonės: 37 organizacinės, aštuonios su žmonėmis susijusios, 14 fizinių ir 34 technologinės. Taikomumas grindžiamas rizika; nėra universalaus skaičiaus, kurį turėtų įgyvendinti kiekviena įmonė.

Nustatykite rizikai valdyti būtinas kontrolės priemones, tada palyginkite jas su A priedu, kad patikrintumėte, ar nepraleista nė viena būtina kontrolės priemonė. Kontrolės priemonės taip pat gali kilti iš sutartinių reikalavimų, kitų šaltinių ar jūsų pačių projekto. A priedas nei pakeičia rizikos vertinimą, nei yra išsamus visų įmanomų saugumo priemonių katalogas.

Taikomumo pareiškime (SoA) užfiksuojamos būtinos kontrolės priemonės, jų įtraukimo priežastys, įgyvendinimo būsena ir A priedo kontrolės priemonių neįtraukimo pagrindimas. Palaikykite pakankamą atsekamumą, kad galėtumėte paaiškinti, kaip šie sprendimai susiję su rizikos valdymu ir kitais reikalavimais.

ISO 27002 pateikia informacijos saugumo kontrolės priemonių gaires; ISO 27001 nustato sertifikuojamus valdymo sistemos reikalavimus. Naudokite gaires įgyvendinimo galimybėms suprasti, tačiau procedūras pritaikykite savo organizacijai, o ne perkelkite veiklos modelį, kurio negalite išlaikyti.

Rizikos valdymą sukurkite prieš rinkdami įrodymus

Pradėkite nuo pakartojamo rizikos vertinimo metodo. Apibrėžkite, kaip nustatomos rizikos, kaip vertinama tikimybė ir pasekmės, kaip lyginami rezultatai ir kokie kriterijai lemia priimtinumą. Nuosekli interpretacija svarbesnė už sudėtingą balų formulę.

Rizikas aprašykite kaip scenarijus. „Debesijos rizika“ yra per miglota, kad būtų galima priimti sprendimą. „Administratoriaus paskyra kompromituojama ir panaudojama klientų įrašams eksportuoti“ nurodo įvykį, paveiktą informaciją ir verslo pasekmę.

Įtraukite žmones, kurie išmano paslaugą. Jie gali paaiškinti esamas apsaugos priemones, pagalbos tarnybos prieigą, priklausomybes nuo tiekėjų, atkūrimo apribojimus ir apėjimo būdus, kurių bendrinė rizikų biblioteka gali nepastebėti. Praktinė įrašo struktūra aprašyta mūsų vadove apie veiklos rizikų registrą.

Kiekvienai reikšmingai rizikai užfiksuokite savininką, vertinimą, esamas kontrolės priemones, rizikos valdymo sprendimą, tikslinį rezultatą ir likutinės rizikos vertinimą. Galimi rizikos valdymo būdai – mažinti riziką, vengti veiklos, pasidalyti dalimi rizikos ar priimti ją pagal apibrėžtus kriterijus. Draudimas ar užsakomosios paslaugos nepanaikina visų pasekmių ar atsakomybių.

Rizikos valdymą paverskite atsakingu darbu. „Pagerinti prieigos saugumą“ nėra įgyvendinamas planas. Nurodykite paveiktas sistemas, reikalingą pakeitimą, atsakingą asmenį, užbaigimo kriterijus ir tai, kaip bus vertinamas veiksmingumas.

Šiuos įrašus laikykite atskirus:

Jie turėtų sutapti, bet netapti vienas kito kopijomis. Jei rizikos valdymas priklauso nuo tiekėjų stebėsenos, o susijusi kontrolės priemonė be paaiškinimo neįtraukta, išspręskite šį neatitikimą prieš rengdamiesi auditui.

Rizikas peržiūrėkite suplanuotais intervalais ir įvykus reikšmingiems pokyčiams. Naujas pagalbos paslaugų teikėjas, išplėstas duomenų rinkimas, incidentas ar didelis architektūros pokytis gali paversti ankstesnį sprendimą pasenusiu.

Kontrolės priemones paverskite įprastos veiklos dalimi

Politika nustato lūkesčius; procedūra paaiškina, kaip atliekamas darbas; veiklos įrašai įrodo, kas iš tikrųjų įvyko. Rengiantis sertifikavimui, kai aktualu, reikia visų trijų.

Pavyzdžiui, prieigos politika turėtų būti susieta su įgyvendintu darbuotojų atėjimo ir išėjimo procesu, atrinktais prieigos pakeitimais ir išimčių peržiūra. Vien politikos dokumentas palieka didžiąją šios istorijos dalį neįrodytą.

Procesą kurkite remdamiesi faktinėmis atsakomybėmis. Nustatykite, kas prašo prieigos, kas ją tvirtina, kas ją suteikia, kas nutinka pasikeitus asmens vaidmeniui ir kaip paskyros pašalinamos. Įtraukite tarnybines paskyras ir išorės naudotojus, kai jie daro įtaką apimčiai.

Tą patį mąstymą taikykite ir kitiems svarbiems procesams:

• Tiekėjų vertinimas turėtų sieti paslaugos kritiškumą, prieigą prie informacijos, sutartinius lūkesčius, peržiūros rezultatus ir neišspręstus klausimus.
• Incidentų valdymas turėtų sieti pranešimo kanalus, reagavimo atsakomybes, eskalavimą, atkūrimą ir išmoktas pamokas.
• Atsarginės kopijos ir atkūrimas turėtų sieti verslo poreikius, saugomas sistemas, atkūrimo procedūras, testų rezultatus ir tolesnius darbus.
• Pakeitimų valdymas turėtų sieti patvirtinimą, testavimą, diegimo įrašus, skubius pakeitimus ir išimtis.

Fizinės ir su žmonėmis susijusios kontrolės priemonės tebėra svarbios ir debesijoje veikiančioje organizacijoje. Nuotolinio darbo, įrenginių apsaugos, konfidencialių pokalbių, darbo santykių pokyčių ir sąmoningumo negalima atmesti vien todėl, kad serveriai valdomi išorės teikėjų.

Kontrolės priemonių dažnumą nustatykite pagal riziką ir veiklos poreikius. Nekopijuokite į politiką pažado atlikti ketvirtinę peržiūrą, nebent savininkas gali ją atlikti ir išsaugoti įrašus. Politika, aprašanti procesą, kurio niekas nesilaiko, sukuria išvengiamą atotrūkį tarp ketinimų ir įgyvendinimo.

Įrodymus kurkite patikrinimui, o ne kiekiui

Geras įrodymas atsako į apibrėžtą klausimą apie reikalavimą ar kontrolės priemonę. Didelis ekrano nuotraukų aplankas savaime nėra stipresnis už mažesnį, gerai paaiškintą patikimų įrašų rinkinį.

Kiekvienai svarbiai kontrolės priemonei nurodykite šaltinio sistemą, savininką, rinkimo būdą, aprėptį, tikėtiną dažnumą ir peržiūrėtoją. Atskirkite projektavimo įrodymus nuo veikimo įrodymų. Tapatybių konfigūracija gali parodyti, kad įjungtas daugiaveiksnis autentifikavimas; patvirtinimų įrašai ir prieigos peržiūros įrodo kitus prieigos valdysenos aspektus.

Įrodymai turėtų aiškiai parodyti savo reikšmę:

• Kokią paslaugą, sistemą ar grupę jie apima?
• Kada jie buvo sukurti ir kokį laikotarpį atspindi?
• Ar jie pakankamai išsamūs vertinamam klausimui?
• Kas juos peržiūrėjo ir kokios išimtys buvo nustatytos?
• Kokie tolesni veiksmai buvo atlikti dėl šių išimčių?

Išsaugokite ir nesėkmingus rezultatus. Nepavykęs atkūrimo testas su dokumentuotu tyrimu, ištaisymu ir sėkmingu pakartotiniu testu gali įrodyti, kad stebėsena ir gerinimas veikia. Nepatogių rezultatų ištrynimas kenkia įrašo naudingumui.

Saugokite įrodymus kaip savarankišką informaciją. Eksportuose gali būti darbuotojų duomenų, klientų identifikatorių ar jautrių konfigūracijų. Ribokite prieigą, mažinkite nereikalingo turinio kiekį ir saugojimo terminus nustatykite pagal atitinkamas prievoles bei verslo poreikius. Auditoriams suteikite kontroliuojamą prieigą, o ne atsainiai platinkite plačius archyvus.

Pasirengimą išbandykite vidaus auditu ir vadovybine peržiūra

Vidaus auditas įvertina, ar ISMS atitinka taikomus reikalavimus ir ar ji veiksmingai įgyvendinta ir palaikoma. Jis turėtų apimti valdymo sistemą, o ne tik tikrinti techninius nustatymus.

Suplanuokite audito apimtį, kriterijus, metodus ir ataskaitų teikimą. Pasirinkite kompetentingus auditorius ir išsaugokite objektyvumą bei nešališkumą. Maža organizacija gali pasitelkti išorės pagalbą ar tinkamą tarpfunkcinę tvarką, o ne prašyti vieno žmogaus įvertinti visą savo paties darbą.

Naudingas audito testavimas atseka įrašą per visą procesą. Pasirinkite darbuotojo išėjimą ir patikrinkite pranešimą, paskyros pašalinimą, įrangos tvarkymą ir išimtis. Pasirinkite tiekėją ir išnagrinėkite, ar jo rizikos vertinimas atitinka faktinę prieigą. Pasirinkite rizikos valdymo veiksmą ir patikrinkite, ar deklaruotas užbaigimas turi veiklos pagrindą.

Išvadas užfiksuokite tiksliai, įskaitant reikalavimą, pastebėtus įrodymus ir spragą. Nesumažinkite audito iki užbaigtumo procento, kuris paslepia trūkstamus valdymo procesus.

Tada vadovybinėje peržiūroje svarstomi privalomi įvesties duomenys, įskaitant veiksmingumą, audito rezultatus, pokyčius, rizikos vertinimo ir valdymo būklę bei gerinimo galimybes. Parenkite glaustą sprendimų paketą su prieinamais patvirtinančiais įrašais. Paaiškinkite, kur vadovybė turi rinktis tarp ištaisymo, papildomų išteklių, pakeistų tikslų ar patvirtinto rizikos priėmimo.

Neatitiktims atskirkite neatidėliotiną pataisymą nuo taisomojo veiksmo. Pamirštos paskyros išjungimas ištaiso neatidėliotiną problemą. Pranešimų proceso sutvarkymas ir vėlesnių išėjimų patikrinimas sprendžia pasikartojimo klausimą. Užfiksuokite priežastį, veiksmą, atsakingą asmenį ir veiksmingumo vertinimą.

Supraskite 1 etapą, 2 etapą ir sprendimą dėl sertifikavimo

Pirminis sertifikavimas paprastai apima du audito etapus. Su sertifikavimo įstaiga susitarkite dėl tvarkos, tikėtinų įrašų ir pasirengimo lūkesčių pakankamai anksti, kad galėtumėte tinkamai planuoti.

1 etape nagrinėjamas pasirengimas, apimtis ir valdymo sistemos dokumentacija. Jis padeda įstaigai suprasti organizaciją ir įvertinti pasirengimą 2 etapui. Tikėkitės kruopštaus apimties, rizikos vertinimo, rizikos valdymo, SoA ir valdymo procesų tarpusavio ryšio nagrinėjimo. Išspręskite nustatytus klausimus, o ne laikykite 1 etapo administraciniu rezervavimo žingsniu.

2 etape vertinamas įgyvendinimas ir veiksmingumas. Auditoriai naudoja pokalbius, stebėjimą ir atrinktus įrašus, kad patikrintų, ar ISMS veikia taip, kaip aprašyta. Darbuotojai turėtų gebėti paaiškinti savo faktines atsakomybes, o ne kartoti išmoktus atsakymus.

Audito metu tvarkingai valdykite prašymus. Paskirkite koordinatorių, registruokite prašymus, nustatykite tinkamą atsakingą asmenį ir pateikite atitinkamus įrodymus su kontekstu. Jei kažko trūksta, tiksliai paaiškinkite situaciją. Nekurkite atgaline data įrašų, kurie klaidingai rodytų, kad procesas įvyko.

Neatitiktis reiškia, kad reikalavimas neįvykdytas. Didelės neatitiktys daro įtaką valdymo sistemos gebėjimui pasiekti numatytus rezultatus; mažos neatitiktys tokio poveikio neturi. Klasifikacija priklauso nuo konteksto, todėl vienam trūkstamam įrašui iš anksto negalima priskirti universalios kategorijos.

Sertifikavimo įstaiga nepriklausomai nustato išvadas, reikalaujamus atsakymus, patikrinimo tvarką ir sprendimą dėl sertifikavimo. Iš anksto patvirtinkite jos terminus ir tolesnių veiksmų reikalavimus. Auditoriaus rekomendacija savaime nėra išduotas sertifikatas, o neišspręstos išvados gali atidėti sprendimą.

Po sertifikavimo įprastas ciklas apima priežiūros auditus tarpiniais metais ir pakartotinį sertifikavimą prieš pasibaigiant trejų metų sertifikato galiojimui. Konkrečią audito programą ir sąlygas patvirtinkite su savo įstaiga. Priežiūra nėra leidimas sustabdyti ISMS tarp vizitų.

Laiko planą ir biudžetą planuokite pagal priklausomybes

Trukmė priklauso nuo brandos, apimties, neišspręstų rizikų, įrodymų prieinamumo, vidinių pajėgumų ir auditorių tvarkaraščio. Nėra universalaus ISO 27001 veikimo įrodymų laikotarpio, kuris kiekvieną organizaciją automatiškai padarytų pasirengusią.

Paklauskite sertifikavimo įstaigos, ką jai reikia atrinkti jūsų aplinkybėmis. Kas mėnesį atliekamas procesas sukuria įrašus kitaip nei kasmetinės pratybos. Nelaukite audito rezervavimo, kad sužinotumėte, jog svarbi kontrolės priemonė niekada nebuvo išbandyta.

Atskirkite darbą, kurį galite paspartinti – rinkimą, koordinavimą, rengimą ir pasirengimą peržiūrai, – nuo darbo, kuriam reikia įgyvendinimo ir įrodyto veikimo. Nepriklausomas užduotis vykdykite lygiagrečiai, tačiau išsaugokite priklausomybes: SoA negalima patikimai užbaigti be kontrolės priemonių pasirinkimo pagrindimo, o veiksmingumo negalima įvertinti vien pagal siūlomą politiką.

Naudokite pasirengimo vartus, o ne vieną optimistinę pabaigos datą:

Į biudžetą įtraukite vidines darbo sąnaudas, ištaisymą, įrankius, mokymą, pasirinktinę konsultacinę pagalbą ir išorinį vertinimą. Įtraukite priežiūrą, pakartotinį sertifikavimą ir nuolatinį palaikymą, o ne tik pirmojo audito sąskaitą.

Paprašykite sertifikavimo įstaigų paaiškinti savo prielaidas apie darbuotojų skaičių, vietas, veiklą, sudėtingumą ir audito tvarką. Palyginkite visą ciklą ir tolesnių veiksmų mokesčius. Nelaikykite žemo pradinio pasiūlymo visomis sertifikuotos ISMS eksploatavimo išlaidomis.

Pavyzdys: viena paslauga, vienas tvarus planas

Panagrinėkime iliustracinę 30 darbuotojų įmonę, teikiančią talpinamą dokumentų bendrinimo paslaugą. Tarkime, ji jau turi tapatybių valdymą, diegimo patvirtinimus ir atsargines kopijas, tačiau tiekėjų peržiūros ir prieigos peržiūrų įrašai nenuoseklūs. Jos potencialus klientas nori patikinimo dėl talpinamos paslaugos, įskaitant pagalbos tarnybos prieigą.

Vadovybė į apimtį įtraukia paslaugą ir ją palaikančius kūrimo, eksploatavimo ir pagalbos procesus. Ji užfiksuoja sąsajas su personalo skyriumi ir bendra IT, o ne atmeta jų poveikį saugumui. Generalinis direktorius remia programą; įgyvendinimo vadovas ją koordinuoja; veiklos vadovai atsako už kontrolės priemones.

Komanda nustato scenarijų, kai dėl perteklinių pagalbos tarnybos teisių atskleidžiami klientų dokumentai. Rizikos valdymas apima apribotus pagalbos tarnybos vaidmenis, patvirtintą laikiną teisių išplėtimą, prieigos peržiūras ir paslaugai tinkamą stebėseną. SoA užfiksuojamos būtinos kontrolės priemonės ir jų įgyvendinimo būsena.

Tada prieigos savininkas surenka vaidmenų konfigūraciją, atrinktus patvirtinimų įrašus, atliktą peržiūrą ir įrodymus, kad peržiūros metu nustatytos perteklinės teisės buvo pašalintos. Šie įrašai įrodo daugiau nei vien prieigos politikos egzistavimą.

Vidaus audito metu nustatoma, kad išėjęs rangovas turi aktyvią paskyrą. Komanda ją išjungia, ištiria praleistą personalo skyriaus pranešimą IT, prideda aiškų rangovo sutarties nutraukimo žingsnį ir patikrina vėlesnius išėjimus, kad įvertintų veiksmingumą. Vadovybinėje peržiūroje svarstoma išvada, likusios rizikos ir ištekliai, reikalingi nuolatinėms peržiūroms.

Tik biudžeto planavimo tikslais tarkime, kad aštuoni dalyviai kiekvienas skiria po dvi valandas per savaitę dvylika savaičių. Tai sudaro 192 vidines valandas, neskaitant specializuoto ištaisymo ir dalyvavimo audite. Tai iliustracinis pajėgumų skaičiavimas, o ne rinkos įvertis ar sertifikavimo pažadas.

Pamoka yra vadybinė: darbą skirkite įgaliojimus turintiems žmonėms, rezervuokite pajėgumus ir pasirengimą sieti su įrodymais. Esamos techninės apsaugos priemonės sumažina dalį įgyvendinimo darbų, tačiau jos nepakeičia rizikos sprendimų, vidaus audito ar vadovybinės peržiūros.

Automatizuokite pasikartojantį darbą, išsaugodami sprendimų priėmimą žmonėms

Automatizavimas gali padėti atnaujinti inventorius, rinkti įrodymus, siųsti priminimus, atlikti technines patikras ir rengti ataskaitas. Pirmenybę teikite pasikartojančiam darbui su patikimais šaltinio duomenimis ir aiškiu peržiūrėtoju, o ne neaiškaus proceso automatizavimui.

Automatinei patikrai reikia apibrėžtos aprėpties ir gedimų tvarkymo. Jei jungtis nustoja rinkti įrašus, atskirkite „problemų neaptikta“ nuo „nėra dabartinių duomenų“. Prieš pasikliaudami rezultatu, patvirtinkite, kad šaltinis apima atitinkamas sistemas, paskyras ar vietas.

Žmonių sprendimus aiškiai palikite rizikos priėmimui, kontrolės priemonių taikomumui, įrodymų išvadoms ir vadovybės sprendimams. Konfigūracijos patikra gali parodyti, kad šifravimas įjungtas; ji neįrodo, kad prieiga prie raktų, atkūrimas ir išimtiniai duomenų keliai valdomi tinkamai.

Lygiai taip pat darbo eigos automatizavimas gali tvarkyti vidaus audito prašymus ir išvadas, tačiau jis nesuteikia audito kompetencijos ar nepriklausomumo. DI sugeneruotos santraukos ir susiejimai turėtų likti juodraščiais, kol peržiūrėtojas nepatikrins šaltinių ir nepatvirtins išvadų.

Matuokite ir efektyvumą, ir veiksmingumą: įrodymams rengti skiriamą laiką, vėluojančius taisomuosius veiksmus, neišsamią aprėptį, pasikartojančius gedimus ir laiką, per kurį išsprendžiamos svarbios išimtys. Mūsų vadove apie ISMS rodiklius paaiškinama, kaip padaryti rodiklius naudingus vadovybės sprendimams.

Atsakomybę palaikykite aktyvią ir po sertifikavimo

Dar prieš gaudami sertifikatą sudarykite palaikymo kalendorių. Praktinės rekomendacijos apima reguliarias savininkų patikras, esminių pokyčių sukeliamas rizikos peržiūras, suplanuotus kontrolės priemonių vertinimus, vidaus auditus, vadovybines peržiūras ir pasirengimą išoriniams vertinimams. Dažnumą rinkitės pagal procesą ir riziką, o ne kiekvieną veiklą darykite kas mėnesį.

Kai darbuotojai keičia pareigas ar išeina, iš naujo paskirstykite atsakomybes. Pasikeitus verslui, peržiūrėkite apimtį ir kontrolės priemonių taikomumą. Sekite pasikartojančias išimtis: nuolat vėluojantis prieigos panaikinimas rodo proceso problemą, net jei kiekvienas atskiras atvejis galiausiai uždaromas.

Secani palaiko šią darbo eigą bendroje darbo erdvėje susiedama reikalavimus, kontrolės priemones, įrodymus, atsakingus asmenis, užduotis ir peržiūros sprendimus. Pradėkite nuo vienos tipiškos paslaugos, sumodeliuokite jos sistemas ir priklausomybes, esamus įrodymus pridėkite prie to, ką jie įrodo, o spragas paverskite paskirtomis užduotimis. DI pasiūlymus tikrinkite pagal jų šaltinius ir išsaugokite žmonių patvirtinimus bei sprendimų istoriją. Tai padeda komandai išsaugoti sertifikavimo metu įgytas žinias, kai sistemos keičiasi; sprendimą dėl sertifikavimo ir toliau priima nepriklausoma įstaiga.

Klausimai, kurie keičia įgyvendinimo planą

Ar ISO 27001 reikalauja įsiskverbimo testo?

ISO 27001 neturi universalaus punkto, reikalaujančio, kad kiekviena organizacija atliktų įsiskverbimo testą. Būtinas testavimas priklauso nuo rizikos valdymo, taikomų kontrolės priemonių, paslaugos ypatybių ir sutartinių reikalavimų. Kai testavimas reikalingas, apibrėžkite aprėptį, ištaisymą ir pakartotinį testavimą, o ne tik išsaugokite ataskaitą.

Ar vietoj to turėtume siekti SOC 2?

Paklauskite, ko reikalauja klientai ir kokios apimties jie tikisi. SOC 2 rezultatas yra atestacijos ataskaita; ISO 27001 rezultatas – valdymo sistemos sertifikatas. Dalį veikimo įrodymų gali būti įmanoma pakartotinai panaudoti, tačiau nė vienas automatiškai nevirsta kitu. Prieš įsipareigodami abiem, įvertinkite atskirus reikalavimus.

Ar mums reikia išorės konsultanto?

Nebūtinai. Išorės pagalba gali padėti interpretuojant reikalavimus, trūkstant pajėgumų ar prireikus specialistų. Išsaugokite vidinę atsakomybę ir užtikrinkite, kad procedūros išliktų tinkamos naudoti pasibaigus bendradarbiavimui. Asmens diegėjo ar auditoriaus kvalifikacija nesertifikuoja jo darbdavio.

Pradėkite nuo sprendimo ir įrodymų sekos

Patvirtinkite trumpą įgyvendinimo chartiją, kurioje būtų nurodytas komercinis poreikis, numatoma apimtis, rėmėjas, vadovas, kontrolės priemonių savininkai, pajėgumai ir pasirengimo vartai. Tada pasirinkite vieną svarbią paslaugą ir atsekite kontrolės priemonę nuo reikalavimo per rizikos valdymą, įgyvendinimą ir įrodymus iki peržiūros.

Šis pirmasis atsekimas atskleis neaiškias atsakomybes ir trūkstamus įrašus anksčiau, nei jų padaugės. Likusiam darbui organizuoti naudokite mūsų ISO 27001 kontrolinį sąrašą, laikydami valdymo sistemos reikalavimus ir kontrolės priemonių taikomumą atskirai.

Ilgalaikė ISMS daro saugumo sprendimus patikrinamus ir pakartojamus. Sertifikavimas pripažįsta sistemą jos apimtyje; vadovybė užtikrina, kad ji veiktų ir audito komandai išvykus.