ISO 27001 sertifikācija: veidojiet ilgtspējīgu ISMS

Klients pieprasa jūsu ISO 27001 sertifikātu. Komerciālais termiņš ir skaidrs; ieviešanas darbs var arī nebūt. Pirmais vadības lēmums ir, vai veidot drošības pārvaldības sistēmu, ko uzņēmums spēj uzturēt, vai organizēt pagaidu projektu ap audita datumu.

Noderīgs sertifikācijas plāns sākas ar sistēmas definēšanu, kas jums jāuztur, un tikai tad pierādījumu sakārtošanu, kas to apliecina. Tas nozīmē izlemt, kurus pakalpojumus sertifikātam jāaptver, kas drīkst apstiprināt riska lēmumus, kādi resursi nepieciešami kontroļu īpašniekiem un kā vadība uzzinās, vai kontroles darbojas.

Sertifikāts ir svarīgs nododamais rezultāts. Ilgtspējīgais biznesa aktīvs ir informācijas drošības pārvaldības sistēma jeb ISMS, kas paliek noderīga arī tad, kad darbinieki aiziet, piegādātāji mainās, tiek laisti klajā jauni produkti un klienti uzdod sarežģītākus jautājumus.

Ko ISO 27001 sertifikācija patiesībā apliecina

ISO/IEC 27001 nosaka prasības ISMS izveidei, ieviešanai, uzturēšanai un nepārtrauktai uzlabošanai. Tā mērķis ir pārvaldīt riskus informācijas konfidencialitātei, integritātei un pieejamībai organizācijas kontekstā.

Konfidencialitāte attiecas uz nepiemērotu izpaušanu, piemēram, ja klientu ieraksti kļūst pieejami nepilnvarotiem lietotājiem. Integritāte attiecas uz neprecīzām vai nesankcionētām izmaiņām, piemēram, ja kāds izmaina maksājuma norādījumus. Pieejamība attiecas uz piekļuvi tad, kad tā nepieciešama, piemēram, svarīga pakalpojuma atjaunošanu pēc infrastruktūras kļūmes.

Sertifikācija attiecas uz šo pārvaldības sistēmu tās noteiktajā tvērumā. Tā negarantē, ka katrs produkts ir bez ievainojamībām, ka incidenti nevar notikt vai ka ir novērtēta katra uzņēmuma struktūrvienība. Sertifikātu, kas aptver vienu pārvaldītu pakalpojumu, nevajadzētu pasniegt kā garantiju nesaistītam produktam.

ISO un IEC publicē standartu; tās nesertificē jūsu organizāciju. Novērtējumu veic un sertifikācijas lēmumu pieņem neatkarīga sertifikācijas institūcija. Klientu garantijas nolūkos praktisks ieteikums ir izvēlēties institūciju, kas akreditēta attiecīgajai ISMS sertifikācijas darbībai, un pārliecināties, ka tās sertifikācija atbildīs pircēju prasībām.

Svarīga ir arī atšķirība starp atbilstību un sertifikāciju. Organizācija var ieviest standartam atbilstošu ISMS, netiecoties pēc ārējas sertifikācijas. Sertifikācija pievieno neatkarīgu novērtējumu un formālu sertifikātu. Programmatūras iegāde, kvalificēta ieviesēja pieņemšana darbā vai mācību kursa pabeigšana nepiešķir organizācijai sertifikāciju.

Izlemiet, vai sertifikācija atrisina biznesa problēmu

Sertifikācija ir īpaši aktuāla, ja neatkarīgu garantiju pamato iepirkuma prasības, līgumsaistības, sensitīva informācija vai darbības atkarības. Tā nav universāls juridisks pienākums katram uzņēmumam.

Pirms apņemšanās lūdziet pārdošanas un klientu apkalpošanas komandām noskaidrot faktisko prasību. Vai pircējs pieprasa sertifikātu pirms līguma parakstīšanas, pirms piekļuves ražošanas videi vai līguma atjaunošanas brīdī? Vai tam jāaptver konkrēts pakalpojums vai juridiskā persona? Vai pircējs joprojām pieprasīs drošības anketu, testēšanas ziņojumus vai papildu līgumiskās kontroles?

Šīs atbildes ietekmē investīciju prioritātes. Sertifikāts var atbalstīt iepirkumu, taču tas nenovērš visu padziļināto izpēti. Neprognozējiet ieņēmumus, pieņemot, ka sertifikācija automātiski noslēdz katra klienta drošības pārbaudi.

Nošķiriet sertifikāciju no regulējuma analīzes. ISMS var atbalstīt pierādījumus un pārvaldību, kas attiecas uz citiem pienākumiem, taču sertifikācija neapliecina atbilstību VDAR vai NIS2. Šiem režīmiem ir savi piemērojamības noteikumi un pienākumi. NIS2 tiek īstenota ar nacionālajiem tiesību aktiem; VDAR pienākumi ir atkarīgi no apstrādes darbībām un organizācijas lomām.

Tāpēc vadības pamatojumam jāidentificē trīs lietas: garantija, kas nepieciešama klientiem, informācijas riski, kas uzņēmumam jāpārvalda, un pastāvīgās darbības izmaksas. Apstipriniet programmu, balstoties uz to, nevis uz solījumu par sertifikātu līdz patvaļīgam datumam.

Nosakiet tvērumu, ko klienti spēj saprast

Tvērums apraksta ISMS robežas un piemērojamību. Tam jāidentificē attiecīgie pakalpojumi, organizatoriskās vienības, atrašanās vietas, cilvēki, informācija, sistēmas un atkarības. Tam jāņem vērā arī saskarnes ar darbībām ārpus šīm robežām.

Šaurs tvērums var būt piemērots, īpaši sākotnējai ieviešanai. Tam tomēr jāatspoguļo tas, ko klienti sagaida, ka sertifikāts aptvers. Komandas, kas administrē piekļuvi ražošanas videi, izslēgšana nenovērš tās ietekmi uz tvērumā iekļautu klientu pakalpojumu.

Mitinātai lietotnei izvērtējiet visu pakalpojuma ķēdi: izstrādi, izvietošanu, ražošanas darbību, atbalsta piekļuvi, identitāšu administrēšanu, rezerves kopijas un nozīmīgus ārējos pakalpojumu sniedzējus. Kopīgi personāla vai IT procesi var ietekmēt drošību pat tad, ja tvērums koncentrējas uz produktu, nevis visu uzņēmumu.

Praktiskam tvēruma ierakstam jāatbild uz šādiem jautājumiem:

• Kura juridiskā persona sniedz pakalpojumu?
• Kuri klientiem paredzētie pakalpojumi un informācija ir aptverti?
• Kuras atrašanās vietas un attālinātā darba kārtības ir būtiskas?
• Kuras komandas un kopīgie procesi ietekmē šos pakalpojumus?
• Kuri piegādātāji nodrošina infrastruktūru vai apstrādā attiecīgo informāciju?
• Kas atrodas ārpus robežas un kā tiek pārvaldītas tā saskarnes?

Pārbaudiet ierosināto formulējumu ar kolēģi, kas strādā ar pircējiem. Ja viņš nevar paskaidrot, vai klienta pakalpojums ir aptverts, formulējums ir jāpilnveido.

Neoptimizējiet tvērumu tikai tāpēc, lai samazinātu audita maksu. Mazāka robeža var radīt sarežģītas saskarnes un atstāt komerciālo prasību neatbildētu. Savukārt visu grupas uzņēmumu tūlītēja iekļaušana var radīt nevajadzīgu koordinācijas slogu. Pareizā robeža ir aizstāvama, saprotama un darbības ziņā pārvaldāma.

Dokumentējiet pamatojumu un iemeslus, kas liek to pārskatīt, piemēram, uzņēmuma iegādi, infrastruktūras pārvietošanu vai būtiski atšķirīga pakalpojuma ieviešanu. Tvērumam jāpaliek vadības lēmumam, nevis aizmirstai rindkopai.

Piešķiriet programmai pilnvaras, ne tikai īpašnieku

Ieceliet ieviešanas vadītāju un atbildīgu vadības sponsoru. Viņiem ir atšķirīgi pienākumi. Vadītājs koordinē darbu un uztur pārskatāmību; sponsors risina prioritātes, apstiprina resursus un nodrošina, ka drošības mērķi atbilst biznesa lēmumiem.

Kontroļu īpašumtiesībām jāatbilst darbības pilnvarām. Personāla daļa var būt atbildīga par ar nodarbinātību saistītām procedūrām, IT par ierīču pārvaldību, inženieri par izstrādes praksi, un iepirkumu nodaļa var koordinēt piegādātāju novērtēšanu. Atbilstības vadītājam nevajadzētu kļūt formāli atbildīgam par procesiem, kurus viņš nevar mainīt.

Nosakiet, kas un kādā līmenī drīkst pieņemt atlikušo risku. Pakalpojuma īpašnieks var ieteikt pieņemt ierobežotu darbības risku, savukārt riskam, kas ietekmē svarīgas saistības pret klientiem, var būt nepieciešams augstākās vadības apstiprinājums. Dokumentējiet lēmumu, pamatojumu, nosacījumus un pārskatīšanas datumu.

Vadībai jāaizsargā arī ieviešanas kapacitāte. Darba uzdošana, neatbrīvojot tam laiku, rada paredzamu kavēšanos. Jautājiet īpašniekiem par nepieciešamo darba apjomu, atkarībām un kompromisiem; pēc tam apstipriniet reālistisku plānu.

Vadības pārskatā vadība izvērtē sistēmu un pieņem lēmumus par uzlabojumiem, izmaiņām un resursiem. Parakstīts sanāksmes protokols bez jēgpilniem lēmumiem sniedz maz praktiskas vērtības. Pārskatam jāatklāj neatrisinātās izvēles, nevis tikai jāapstiprina zaļš informācijas panelis.

Izprotiet prasības, pirms iegādājaties kontrolsarakstu

ISO/IEC 27001 4.–10. punkta prasības veido pārvaldības sistēmas kodolu. Tās nevar izslēgt, apgalvojot atbilstību. To praktiskie rezultāti atšķiras no atsevišķu drošības kontroļu ieviešanas.

2022. gada izdevuma A pielikumā ir 93 atsauces kontroles: 37 organizatoriskās, astoņas ar cilvēkiem saistītās, 14 fiziskās un 34 tehnoloģiskās kontroles. Piemērojamība balstās uz risku; nav universāla skaita, kas būtu jāievieš katram uzņēmumam.

Nosakiet riska apstrādei nepieciešamās kontroles un pēc tam salīdziniet tās ar A pielikumu, lai pārbaudītu, ka nepieciešamās kontroles nav palaistas garām. Kontroles var izrietēt arī no līgumiskām prasībām, citiem avotiem vai jūsu pašu izstrādes. A pielikums nav ne riska novērtējuma aizstājējs, ne izsmeļošs katra iespējamā drošības pasākuma katalogs.

Piemērojamības paziņojumā (Statement of Applicability, SoA) tiek dokumentētas nepieciešamās kontroles, to iekļaušanas iemesli, to ieviešanas statuss un pamatojums A pielikuma kontroļu izslēgšanai. Uzturiet pietiekamu izsekojamību, lai varētu paskaidrot, kā šie lēmumi saistīti ar riska apstrādi un citām prasībām.

ISO 27002 sniedz vadlīnijas par informācijas drošības kontrolēm; ISO 27001 nosaka sertificējamās pārvaldības sistēmas prasības. Izmantojiet vadlīnijas, lai izprastu ieviešanas iespējas, taču pielāgojiet procedūras savai organizācijai, nevis pārņemiet darbības modeli, ko nespējat uzturēt.

Izveidojiet riska apstrādi, pirms apkopojat pierādījumus

Sāciet ar atkārtojamu riska novērtēšanas metodi. Nosakiet, kā riski tiek identificēti, kā tiek novērtēta iespējamība un sekas, kā rezultāti tiek salīdzināti un kuri kritēriji nosaka pieņemamību. Konsekventa interpretācija ir svarīgāka par sarežģītu vērtēšanas formulu.

Aprakstiet riskus kā scenārijus. „Mākoņa risks” ir pārāk neskaidrs, lai pamatotu lēmumu. „Administratora konts tiek kompromitēts un izmantots klientu ierakstu eksportēšanai” identificē notikumu, skarto informāciju un sekas uzņēmumam.

Iesaistiet cilvēkus, kas izprot pakalpojumu. Viņi var izskaidrot esošos aizsardzības pasākumus, atbalsta piekļuvi, atkarību no piegādātājiem, atjaunošanas ierobežojumus un apiešanas risinājumus, ko vispārīga risku bibliotēka var palaist garām. Praktisku ierakstu struktūru skatiet mūsu ceļvedī par darbības risku reģistru.

Katram nozīmīgam riskam dokumentējiet īpašnieku, novērtējumu, esošās kontroles, apstrādes lēmumu, mērķa rezultātu un atlikušā riska novērtējumu. Iespējamās apstrādes pieejas ietver riska iedarbības samazināšanu, darbības novēršanu, riska aspektu dalīšanu vai tā pieņemšanu saskaņā ar noteiktiem kritērijiem. Apdrošināšana vai ārpakalpojumi nenovērš visas sekas vai atbildību.

Pārvērtiet apstrādi atbildīgā darbā. „Uzlabot piekļuves drošību” nav izpildāms plāns. Norādiet skartās sistēmas, nepieciešamās izmaiņas, īpašnieku, izpildes kritērijus un to, kā tiks izvērtēta efektivitāte.

Turiet šos ierakstus atsevišķi:

Tiem jāsaskan, nekļūstot par cits cita kopijām. Ja apstrāde ir atkarīga no piegādātāju uzraudzības, bet saistītā kontrole ir izslēgta bez paskaidrojuma, novērsiet šo nekonsekvenci pirms audita sagatavošanas.

Pārskatiet riskus plānotos intervālos un tad, kad notiek būtiskas izmaiņas. Jauns atbalsta pakalpojumu sniedzējs, paplašināta datu vākšana, incidents vai liela arhitektūras izmaiņa var padarīt agrāku lēmumu novecojušu.

Padariet kontroles par ikdienas darbības daļu

Politika nosaka gaidas; procedūra izskaidro, kā darbs notiek; darbības ieraksti apliecina, kas faktiski notika. Sertifikācijas sagatavošanai, kur tas attiecināms, nepieciešams viss trīs.

Piemēram, piekļuves politikai jābūt saistītai ar ieviestu jaunpienācēju un aizgājēju procesu, izlases veidā pārbaudītām piekļuves izmaiņām un izņēmumu pārskatīšanu. Politikas dokuments vien atstāj lielāko daļu šī stāsta nepierādītu.

Veidojiet procesu atbilstoši faktiskajiem pienākumiem. Identificējiet, kas pieprasa piekļuvi, kas to apstiprina, kas to piešķir, kas notiek, kad mainās kāda loma, un kā konti tiek dzēsti. Iekļaujiet servisa kontus un ārējos lietotājus, ja tie ietekmē tvērumu.

Piemērojiet to pašu domāšanu citiem svarīgiem procesiem:

• Piegādātāju novērtējumam jāsavieno pakalpojuma kritiskums, piekļuve informācijai, līgumiskās gaidas, pārskatīšanas rezultāti un neatrisinātās bažas.
• Incidentu pārvaldībai jāsavieno ziņošanas kanāli, reaģēšanas pienākumi, eskalācija, atjaunošana un gūtās mācības.
• Rezerves kopēšanai un atjaunošanai jāsavieno biznesa vajadzības, aizsargātās sistēmas, atjaunošanas procedūras, testu rezultāti un turpmākais darbs.
• Izmaiņu pārvaldībai jāsavieno apstiprināšana, testēšana, izvietošanas ieraksti, ārkārtas izmaiņas un izņēmumi.

Fiziskās un ar cilvēkiem saistītās kontroles joprojām ir svarīgas arī mākonī balstītā organizācijā. Attālināto darbu, ierīču aizsardzību, konfidenciālas sarunas, nodarbinātības izmaiņas un izpratni nevar atmest tikai tāpēc, ka serveri ir nodoti ārpakalpojumā.

Nosakiet kontroļu biežumu atbilstoši riskam un darbības vajadzībām. Nepārkopējiet politikā solījumu par ceturkšņa pārskatīšanu, ja īpašnieks to nevar veikt un saglabāt ierakstus. Politika, kas apraksta procesu, kuram neviens neseko, rada novēršamu plaisu starp nodomu un ieviešanu.

Veidojiet pierādījumus pārbaudei, nevis apjomam

Labi pierādījumi atbild uz definētu jautājumu par prasību vai kontroli. Liela ekrānuzņēmumu mape pati par sevi nav spēcīgāka par mazāku, labi izskaidrotu uzticamu ierakstu kopu.

Katrai svarīgai kontrolei norādiet avota sistēmu, īpašnieku, vākšanas metodi, pārklājumu, paredzamo biežumu un pārskatītāju. Nošķiriet dizaina pierādījumus no darbības pierādījumiem. Identitātes konfigurācija var parādīt, ka ir iespējota daudzfaktoru autentifikācija; apstiprinājumu ieraksti un piekļuves pārskatīšanas apliecina citus piekļuves pārvaldības aspektus.

Pierādījumiem jāpadara skaidra to nozīme:

• Kādu pakalpojumu, sistēmu vai kopu tie aptver?
• Kad tie tika izveidoti un kādu periodu tie atspoguļo?
• Vai tie ir pietiekami pilnīgi izvērtējamajam jautājumam?
• Kas tos pārskatīja un kādi izņēmumi tika konstatēti?
• Kādi turpmākie pasākumi izrietēja no šiem izņēmumiem?

Saglabājiet arī neveiksmīgus rezultātus. Neveiksmīgs atjaunošanas tests ar dokumentētu izmeklēšanu, novēršanu un veiksmīgu atkārtotu testu var apliecināt, ka uzraudzība un uzlabošana darbojas. Neērtu rezultātu dzēšana mazina ieraksta lietderību.

Aizsargājiet pierādījumus kā patstāvīgu informāciju. Eksporti var saturēt darbinieku datus, klientu identifikatorus vai sensitīvas konfigurācijas. Ierobežojiet piekļuvi, samaziniet nevajadzīgu saturu un nosakiet glabāšanas termiņus, balstoties uz attiecīgajiem pienākumiem un biznesa vajadzībām. Nodrošiniet auditoriem kontrolētu piekļuvi, nevis pavirši izplatiet plašus arhīvus.

Izmantojiet iekšējo auditu un vadības pārskatu gatavības pārbaudei

Iekšējais audits izvērtē, vai ISMS atbilst piemērojamām prasībām un vai tā ir efektīvi ieviesta un uzturēta. Tam jāaptver pārvaldības sistēma, nevis tikai jāpārbauda tehniskie iestatījumi.

Plānojiet audita tvērumu, kritērijus, metodes un ziņošanu. Izvēlieties kompetentus auditorus un saglabājiet objektivitāti un objektīvu neitralitāti. Neliela organizācija var izmantot ārēju atbalstu vai piemērotus starpfunkcionālus risinājumus, nevis lūgt vienai personai izvērtēt visu savu darbu.

Noderīga audita testēšana seko ierakstam cauri procesam. Izvēlieties darbinieka aiziešanu un pārbaudiet paziņošanu, konta dzēšanu, aprīkojuma apstrādi un izņēmumus. Izvēlieties piegādātāju un pārbaudiet, vai tā riska novērtējums atbilst tā faktiskajai piekļuvei. Izvēlieties apstrādes darbību un pārbaudiet, vai deklarētajai izpildei ir darbības apstiprinājums.

Dokumentējiet konstatējumus precīzi, ieskaitot prasību, novērotos pierādījumus un trūkumu. Nereducējiet auditu līdz izpildes procentam, kas slēpj trūkstošus pārvaldības procesus.

Pēc tam vadības pārskatā tiek izskatīti nepieciešamie ievaddati, tostarp darbības rādītāji, audita rezultāti, izmaiņas, riska novērtējuma un apstrādes statuss un uzlabošanas iespējas. Sagatavojiet kodolīgu lēmumu paketi ar pieejamiem pamatojošiem ierakstiem. Paskaidrojiet, kur vadībai jāizvēlas starp novēršanu, papildu resursiem, mainītiem mērķiem vai apstiprinātu riska pieņemšanu.

Neatbilstību gadījumā nošķiriet tūlītēju korekciju no korektīvās darbības. Nepamanīta konta atspējošana novērš tūlītējo problēmu. Paziņošanas procesa salabošana un turpmāko aiziešanu pārbaude novērš atkārtošanos. Dokumentējiet cēloni, darbību, īpašnieku un efektivitātes izvērtējumu.

Izprotiet 1. posmu, 2. posmu un sertifikācijas lēmumu

Sākotnējā sertifikācija parasti ietver divus audita posmus. Vienojieties ar sertifikācijas institūciju par kārtību, sagaidāmajiem ierakstiem un gatavības gaidām pietiekami agri, lai varētu pienācīgi plānot.

1. posmā tiek pārbaudīta gatavība, tvērums un pārvaldības sistēmas dokumentācija. Tas palīdz institūcijai izprast organizāciju un novērtēt sagatavotību 2. posmam. Sagaidiet rūpīgu saistības izvērtējumu starp tvērumu, riska novērtējumu, apstrādi, SoA un pārvaldības procesiem. Novērsiet konstatētās bažas, nevis uztveriet 1. posmu kā administratīvu rezervēšanas soli.

2. posmā tiek izvērtēta ieviešana un efektivitāte. Auditori izmanto intervijas, novērošanu un izlases veidā atlasītus ierakstus, lai pārbaudītu, vai ISMS darbojas, kā aprakstīts. Darbiniekiem jāspēj izskaidrot savi faktiskie pienākumi, nevis jānoskaita iemācītas atbildes.

Audita laikā uzturiet pieprasījumus sakārtotus. Ieceliet koordinatoru, reģistrējiet pieprasījumus, identificējiet pareizo īpašnieku un sniedziet attiecīgus pierādījumus ar kontekstu. Ja kaut kā trūkst, precīzi paskaidrojiet situāciju. Neveidojiet atpakaļejošus ierakstus, kas maldinoši norāda, ka process ir noticis.

Neatbilstība nozīmē, ka prasība nav izpildīta. Būtiskas neatbilstības ietekmē pārvaldības sistēmas spēju sasniegt paredzētos rezultātus; mazsvarīgām neatbilstībām šādas ietekmes nav. Klasifikācija ir atkarīga no konteksta, tāpēc vienam trūkstošam ierakstam nevar iepriekš piešķirt universālu apzīmējumu.

Sertifikācijas institūcija neatkarīgi nosaka konstatējumus, nepieciešamās atbildes, verifikācijas kārtību un sertifikācijas lēmumu. Iepriekš noskaidrojiet tās termiņus un turpmāko darbību prasības. Auditora ieteikums pats par sevi nav izsniegts sertifikāts, un neatrisināti konstatējumi var aizkavēt lēmumu.

Pēc sertifikācijas tipisks cikls ietver uzraudzības auditus starpposma gados un atkārtotu sertifikāciju, pirms beidzas trīs gadu sertifikāta derīgums. Noskaidrojiet konkrēto audita programmu un nosacījumus ar savu institūciju. Uzraudzība nav atļauja apturēt ISMS starp apmeklējumiem.

Plānojiet laika grafiku un budžetu atbilstoši atkarībām

Ilgums ir atkarīgs no brieduma, tvēruma, neatrisinātiem riskiem, pierādījumu pieejamības, iekšējās kapacitātes un auditoru grafika. Nav universāla ISO 27001 darbības pierādījumu perioda, kas automātiski padarītu katru organizāciju gatavu.

Jautājiet sertifikācijas institūcijai, ko tai nepieciešams pārbaudīt izlases veidā jūsu apstākļos. Process, ko veic katru mēnesi, rada ierakstus citādi nekā ikgadējs pasākums. Negaidiet līdz audita rezervēšanai, lai atklātu, ka svarīga kontrole nekad nav izmantota.

Nošķiriet darbu, ko varat paātrināt (vākšanu, koordināciju, sagatavošanu un pārskatīšanas sagatavošanu), no darba, kam nepieciešama ieviešana un pierādīta darbība. Paralelizējiet neatkarīgus uzdevumus, bet saglabājiet atkarības: SoA nevar ticami pabeigt bez kontroļu izvēles pamatojuma, un efektivitāti nevar izvērtēt tikai no ierosinātas politikas.

Izmantojiet gatavības kontrolpunktus, nevis vienu optimistisku beigu datumu:

Ieplānojiet budžetu iekšējam darbam, trūkumu novēršanai, rīkiem, mācībām, izvēles konsultatīvam atbalstam un ārējam novērtējumam. Iekļaujiet uzraudzību, atkārtotu sertifikāciju un pastāvīgu uzturēšanu, ne tikai pirmā audita rēķinu.

Lūdziet sertifikācijas institūcijām paskaidrot savus pieņēmumus par personālu, darbavietām, darbībām, sarežģītību un audita kārtību. Salīdziniet visu ciklu un turpmāko darbību maksas. Neuzskatiet zemu sākotnējo piedāvājumu par pilnām sertificētas ISMS darbības izmaksām.

Piemērs: viens pakalpojums, viens ilgtspējīgs plāns

Aplūkosim ilustratīvu 30 cilvēku uzņēmumu, kas nodrošina mitinātu dokumentu koplietošanas pakalpojumu. Pieņemsim, ka tam jau ir identitāšu pārvaldība, izvietošanas apstiprinājumi un rezerves kopijas, taču piegādātāju pārskatīšanas un piekļuves pārskatīšanas ieraksti ir nekonsekventi. Tā potenciālais klients vēlas garantiju par mitināto pakalpojumu, ieskaitot atbalsta piekļuvi.

Vadība nosaka tvērumu, kas ietver pakalpojumu un to atbalstošos izstrādes, darbības un atbalsta procesus. Tā dokumentē saskarnes ar personāla daļu un kopīgo IT, nevis izslēdz to ietekmi uz drošību. Izpilddirektors ir programmas sponsors; ieviešanas vadītājs to koordinē; darbības vadītāji ir kontroļu īpašnieki.

Komanda identificē scenāriju, kurā pārmērīgas atbalsta atļaujas atklāj klientu dokumentus. Apstrāde ietver ierobežotas atbalsta lomas, apstiprinātu īslaicīgu privilēģiju paaugstināšanu, piekļuves pārskatīšanas un pakalpojumam atbilstošu uzraudzību. SoA dokumentē nepieciešamās kontroles un ieviešanas statusu.

Pēc tam piekļuves īpašnieks savāc lomu konfigurāciju, izlases veidā atlasītus apstiprinājumu ierakstus, pabeigtu pārskatīšanu un pierādījumus, ka pārskatīšanas laikā atklātās pārmērīgās atļaujas tika noņemtas. Šie ieraksti apliecina vairāk nekā tikai piekļuves politikas esamību.

Iekšējā audita laikā tiek atklāts, ka aizgājušam darbuzņēmējam joprojām ir aktīvs konts. Komanda to atspējo, izmeklē nokavēto paziņojumu no personāla daļas uz IT, pievieno skaidru darbuzņēmēju līguma izbeigšanas soli un pārbauda vēlākās aiziešanas, lai izvērtētu efektivitāti. Vadības pārskatā tiek izskatīts konstatējums, atlikušie riski un pastāvīgām pārskatīšanām nepieciešamie resursi.

Tikai budžeta plānošanai pieņemsim, ka astoņi dalībnieki katrs velta divas stundas nedēļā divpadsmit nedēļu garumā. Tās ir 192 iekšējās stundas, neskaitot specializētu trūkumu novēršanu un dalību auditā. Tas ir ilustratīvs kapacitātes aprēķins, nevis tirgus novērtējums vai sertifikācijas solījums.

Mācība ir vadības līmeņa: uzticiet darbu cilvēkiem ar pilnvarām, rezervējiet kapacitāti un padariet gatavību atkarīgu no pierādījumiem. Esošie tehniskie aizsardzības pasākumi samazina daļu ieviešanas darba, taču tie neaizstāj riska lēmumus, iekšējo auditu vai vadības pārskatu.

Automatizējiet atkārtojamu darbu, saglabājot spriestspēju

Automatizācija var atbalstīt inventāra atjauninājumus, pierādījumu vākšanu, atgādinājumus, tehniskās pārbaudes un ziņošanu. Piešķiriet prioritāti atkārtotam darbam ar uzticamiem avota datiem un skaidru pārskatītāju, nevis automatizējiet neskaidru procesu.

Automatizētai pārbaudei nepieciešams definēts pārklājums un kļūmju apstrāde. Ja savienojums pārstāj vākt ierakstus, nošķiriet „problēma nav konstatēta” no „nav aktuālu datu”. Pirms paļaujaties uz rezultātu, pārliecinieties, ka avots aptver attiecīgās sistēmas, kontus vai atrašanās vietas.

Saglabājiet skaidru cilvēka spriedumu riska pieņemšanā, kontroļu piemērojamībā, pierādījumu secinājumos un vadības lēmumos. Konfigurācijas pārbaude var parādīt, ka šifrēšana ir iespējota; tā neapliecina, ka piekļuve atslēgām, atjaunošana un izņēmuma datu plūsmas tiek pienācīgi pārvaldītas.

Līdzīgi darbplūsmu automatizācija var sakārtot iekšējā audita pieprasījumus un konstatējumus, taču tā nenodrošina audita kompetenci vai neatkarību. MI ģenerētiem kopsavilkumiem un sasaistēm jāpaliek melnrakstiem, līdz pārskatītājs pārbauda avotus un apstiprina secinājumus.

Mēriet gan efektivitāti, gan lietderību: laiku, kas patērēts pierādījumu sagatavošanai, nokavētas korektīvās darbības, nepilnīgu pārklājumu, atkārtotas kļūmes un laiku, kas nepieciešams svarīgu izņēmumu atrisināšanai. Mūsu ceļvedī par ISMS rādītājiem skaidrots, kā padarīt rādītājus noderīgus vadības lēmumiem.

Uzturiet īpašumtiesības aktīvas arī pēc sertifikācijas

Pirms sertifikāta saņemšanas izveidojiet uzturēšanas kalendāru. Praktiski ieteikumi ietver regulāras īpašnieku pārbaudes, riska pārskatīšanas būtisku izmaiņu gadījumā, plānotus kontroļu izvērtējumus, iekšējos auditus, vadības pārskatus un sagatavošanos ārējiem novērtējumiem. Izvēlieties biežumu atbilstoši procesam un riskam, nevis padariet katru darbību ikmēneša.

Pārdaliet pienākumus, kad darbinieki pāriet citā amatā vai aiziet. Pārskatiet tvērumu un kontroļu piemērojamību, kad mainās uzņēmums. Sekojiet atkārtotiem izņēmumiem: atkārtoti novēlota piekļuves noņemšana liecina par procesa problēmu pat tad, ja katrs atsevišķs gadījums galu galā tiek slēgts.

Secani atbalsta šo darbplūsmu, savienojot prasības, kontroles, pierādījumus, īpašniekus, uzdevumus un pārskatīšanas lēmumus kopīgā darbvietā. Sāciet ar vienu reprezentatīvu pakalpojumu, modelējiet tā sistēmas un atkarības, piesaistiet esošos pierādījumus tam, ko tie apliecina, un pārvērtiet trūkumus piešķirtos uzdevumos. Pārskatiet MI atbalstītos ieteikumus, salīdzinot tos ar avotiem, un saglabājiet cilvēku apstiprinājumus un lēmumu vēsturi. Tas palīdz komandai saglabāt sertifikācijas laikā gūto pieredzi, sistēmām mainoties; sertifikācija paliek neatkarīgās institūcijas lēmums.

Jautājumi, kas maina ieviešanas plānu

Vai ISO 27001 pieprasa ielaušanās testu?

Nav universāla ISO 27001 punkta, kas prasītu katrai organizācijai veikt ielaušanās testu. Nepieciešamā testēšana ir atkarīga no riska apstrādes, piemērojamajām kontrolēm, pakalpojuma īpašībām un līgumiskajām prasībām. Ja testēšana ir nepieciešama, nosakiet pārklājumu, trūkumu novēršanu un atkārtotu testēšanu, nevis saglabājiet tikai ziņojumu.

Vai tā vietā mums vajadzētu izvēlēties SOC 2?

Noskaidrojiet, ko pieprasa klienti un kādu tvērumu viņi sagaida. SOC 2 rezultātā tiek sagatavots apliecinājuma ziņojums; ISO 27001 rezultātā tiek iegūta pārvaldības sistēmas sertifikācija. Daļu darbības pierādījumu var izmantot atkārtoti, taču neviens no tiem automātiski nepārvēršas otrā. Izvērtējiet atsevišķās prasības, pirms apņematies īstenot abus.

Vai mums nepieciešams ārējs konsultants?

Ne obligāti. Ārēja palīdzība var risināt interpretācijas, kapacitātes vai specializētas vajadzības. Saglabājiet iekšējās īpašumtiesības un nodrošiniet, ka procedūras paliek izmantojamas arī pēc sadarbības beigām. Personas ieviesēja vai auditora kvalifikācija nesertificē tās darba devēju.

Sāciet ar lēmumu un pierādījumu taku

Apstipriniet īsu ieviešanas hartu, kurā norādīta komerciālā vajadzība, paredzētais tvērums, sponsors, vadītājs, kontroļu īpašnieki, kapacitāte un gatavības kontrolpunkti. Pēc tam izvēlieties vienu svarīgu pakalpojumu un izsekojiet kontroli no prasības līdz riska apstrādei, ieviešanai, pierādījumiem un pārskatīšanai.

Šī pirmā izsekošana atklās neskaidrus pienākumus un trūkstošus ierakstus, pirms tie savairojas. Izmantojiet mūsu ISO 27001 kontrolsarakstu, lai sakārtotu atlikušo darbu, vienlaikus nošķirot pārvaldības sistēmas prasības un kontroļu piemērojamību.

Ilgtspējīga ISMS padara drošības lēmumus pārbaudāmus un atkārtojamus. Sertifikācija atzīst sistēmu tās tvērumā; vadība nodrošina tās darbību arī pēc tam, kad audita komanda ir aizgājusi.