Jautājums par ISO 27001 mazā uzņēmumā parasti rodas no ārpuses, nevis no iekšienes. Liels klients atsūta piegādātāju anketu ar jautājumu „Vai jums ir ISO 27001 sertifikāts?”. Vai arī prasība parādās publiskā iepirkuma noteikumos, un piedāvājums, kas tai neatbilst, netiek pat vērtēts. Tad uzņēmuma vadītājs sāk rēķināt: vai tas atmaksājas, cik laika prasīs un vai nav vienkāršāka ceļa?
Atbilde ir atkarīga no tā, kam sertifikāts vajadzīgs un ko klients patiesībā gaida. Dažiem uzņēmumiem sertifikāts atver tirgus, kas citādi paliktu slēgti. Citiem pietiek sakārtot drošību pēc standarta un to pierādīt bez sertifikācijas institūcijas zīmoga.
Šajā rakstā izskaidrojam, kas ISO 27001 patiesībā ir, kad sertifikāts ir nepieciešams, kādi posmi sagaida un cik ilgi tie reāli aizņem uzņēmumam ar 20 līdz 100 darbiniekiem.
Kas ir ISO 27001 un ko nozīmē IDPS
ISO 27001 ir starptautiskais informācijas drošības pārvaldības standarts. Tas neprasa konkrētu tehnoloģiju vai programmatūru. Tas prasa, lai uzņēmumam būtu strādājoša informācijas drošības pārvaldības sistēma (IDPS, angļu valodā ISMS).
IDPS nav programma un nav politiku mape. Tas ir veids, kā uzņēmums nepārtraukti atbild uz četriem jautājumiem: kādu informāciju mēs aizsargājam, kas tai draud, ko darām, lai draudi neīstenotos, un kā zinām, ka tas darbojas. Standarts nosaka, kā šim ciklam jābūt organizētam, un pielikums ar kontroļu sarakstu (organizatoriskās, personāla, fiziskās un tehnoloģiskās) dod konkrētu pasākumu izvēlni, no kuras uzņēmums izvēlas pēc saviem riskiem.
Mazam uzņēmumam svarīgi: standarts ir proporcionāls. Desmit cilvēku programmatūras izstrādātāja IDPS var ietilpt desmitos dokumentu un vienā risku reģistrā. Neviens neprasa atsevišķu drošības nodaļu.
Kad sertifikāts patiešām vajadzīgs
Sertifikāts ir neatkarīgas sertifikācijas institūcijas apstiprinājums, ka jūsu IDPS atbilst standartam. Tas vajadzīgs tad, kad kāds no ārpuses pieprasa tieši to, nevis jūsu vārdu.
- Klientu prasības. Lielie uzņēmumi, īpaši finanšu, telekomunikāciju un starptautisko grupu vidū, arvien biežāk prasa sertifikātu no piegādātājiem, kas apstrādā to datus vai pieslēdzas to sistēmām. Bez tā piegādātāja novērtēšana ilgst mēnešus vai nenotiek vispār.
- Iepirkumi. Publiskajos un privātajos iepirkumos sertifikāts bieži ir kvalifikācijas prasība. Bez tā piedāvājums tiek noraidīts, to nevērtējot.
- Eksports. Pārdodot IT pakalpojumus vai programmatūru uz Skandināviju, Vāciju vai Apvienoto Karalisti, sertifikāts bieži ir pirmais jautājums, ko uzdod pircēja drošības komanda.
- Regulēti klienti. Ja jūsu klienti ietilpst NIS2 vai DORA darbības jomā, tiem jāvērtē savu piegādātāju drošība, un sertifikāts šo vērtēšanu ievērojami vienkāršo.
Ja neviens no šiem gadījumiem uz jums neattiecas, sertifikāts var būt dārga nozīmīte, ko neviens neprasa.
Kad pietiek strādāt „pēc prasībām”
Ievērojama daļa uzņēmumu izvēlas vidusceļu: ievieš IDPS pēc standarta, bet nesertificē to. Tas ir lietderīgi, kad klienti prasa nevis sertifikātu, bet pierādījumus, ka drošība tiek pārvaldīta: politikas, risku novērtējumu, incidentu procedūru, rezerves kopiju testus.
Šis ceļš ir lētāks un ātrāks, jo atkrīt sertifikācijas audits un ikgadējie uzraudzības auditi. Uzņēmums iegūst gandrīz visu ieguvumu: kārtību, skaidru atbildību, mazāk incidentu un gatavību sertificēties vēlāk, ja vajadzēs. Pats MDP CLOUD savus pakalpojumus sniedz saskaņā ar ISO 27001 prasībām, tāpēc klientu anketas aizpildām no esošiem dokumentiem, nevis rakstām atbildes no nulles.
Svarīgi neapmānīt sevi: „pēc prasībām” nozīmē, ka IDPS patiešām darbojas. Ja tas ir tikai politiku komplekts, ko neviens neievēro, to atklās pirmais nopietnais klienta audits.
Labs kompromiss ir ieviest IDPS tā, lai sertifikācija būtu iespējama dažu mēnešu laikā, ja parādītos klients, kuram tā vajadzīga. Tad lēmums sertificēties kļūst par komerciālu projektu, nevis steidzamu.
Posmi un reāls laika grafiks
Mazam uzņēmumam, kas sāk no nulles, ceļš līdz sertifikātam parasti aizņem no sešiem līdz divpadsmit mēnešiem. Šeit ir posmi un to aptuvenais ilgums mūsu pieredzē.
Darbības jomas noteikšana un nepilnību analīze (2 līdz 4 nedēļas)
Jūs nosakāt, kas ietilpst IDPS: viss uzņēmums vai tikai viens pakalpojums, kuri biroji, sistēmas un piegādātāji. Pēc tam pašreizējais stāvoklis tiek salīdzināts ar standarta prasībām. Rezultāts ir skaidrs saraksts ar to, kā trūkst.
Risku novērtēšana un kontroļu izvēle (4 līdz 6 nedēļas)
Tiek izveidots aktīvu reģistrs, novērtēti riski, izvēlētas kontroles un sagatavots piemērojamības paziņojums. Šis ir svarīgākais posms, jo tas nosaka, cik dokumentu un tehnisko pasākumu būs nepieciešams. Bieži veicam risku novērtēšanu kā atsevišķu darbu, pat ja uzņēmums vēl nav izlēmis par sertifikāciju.
Dokumentācija un pasākumu ieviešana (2 līdz 4 mēneši)
Tiek rakstītas politikas un procedūras un ieviesti tehniskie pasākumi: daudzfaktoru autentifikācija, galapunktu aizsardzība, rezerves kopiju atdalīšana, piekļuves tiesību pārskati, žurnālu vākšana. Lielākā daļa darba šeit gulstas uz IT pakalpojumu sniedzēju.
Darbības periods (vismaz 2 līdz 3 mēneši)
Sertifikācijas auditors pārbaudīs ierakstus: incidentu žurnālu, piekļuves pārskatus, apmācību uzskaiti, vadības pārskata rezultātus. Ierakstiem jāuzkrājas, tāpēc IDPS pirms audita kādu laiku jādarbojas. Šo posmu nevar saīsināt.
Iekšējais audits, vadības pārskats un sertifikācijas audits (1 līdz 2 mēneši)
Tiek veikts iekšējais audits, vadība pārskata sistēmu un pieņem lēmumus, un pēc tam notiek divposmu sertifikācijas audits: dokumentācija un darbība. Pēc veiksmīga audita sertifikātu izsniedz uz trim gadiem ar ikgadējiem uzraudzības auditiem.
Biežākās kļūdas
Pirmkārt, tiek nopirktas dokumentu veidnes un vienkārši pārdēvētas. Pēc pusstundas auditors redz, ka politikā minētas nodaļas, kuru uzņēmumā nav. Otrkārt, darbības joma izvēlēta pārāk plaša. Ja sertifikāts vajadzīgs vienam pakalpojumam, nav jāiekļauj IDPS viss uzņēmums. Treškārt, vadība piedalās tikai ar parakstu. Standarts prasa vadības pārskatu ar reāliem lēmumiem, un auditors jautās tieši uzņēmuma vadītājam. Ceturtkārt, tehniskā daļa tiek atstāta pēdējam mēnesim, lai gan rezerves kopiju atdalīšana vai piekļuves sakārtošana var aizņemt ilgāk nekā dokumenti.
Ko dara IT pakalpojumu sniedzējs un ko uzņēmums
Skaidrs darba sadalījums ietaupa visvairāk laika.
IT pakalpojumu sniedzējs: tehnisko kontroļu un to pierādījumu ieviešana, rezerves kopiju un atjaunošanas testi, ievainojamību pārvaldība, piekļuves administrēšana, žurnālu vākšana, tehniskās politikas un procedūras, sagatavošana audita tehniskajai daļai. Ja IT atbalsts jau ir nodots ārpakalpojumā, lielākajai daļai no tā jābūt IT atbalsta pakalpojuma sastāvdaļai.
Pats uzņēmums: lēmumi par darbības jomu un riska apetīti, informācijas īpašnieku iecelšana, darbinieku apmācība un tās uzskaite, personāla procedūras (pieņemšana darbā, atlaišana, konfidencialitāte), piegādātāju līgumi, vadības pārskats. Sniedzējs to nevar izdarīt jūsu vietā, jo auditors pārbaudīs, ka uzņēmums pats pārvalda savu drošību.
No kā sākt
- Pajautājiet sev, kam sertifikāts vajadzīgs. Ja ir konkrēts klients vai iepirkums, pierakstiet tā termiņu: no tā rēķināsiet atpakaļ.
- Nosakiet darbības jomu pēc iespējas šauru, tomēr klientam jēgpilnu.
- Pasūtiet nepilnību analīzi un risku novērtēšanu. Tas dos reālu uzdevumu sarakstu un ilgumu minējumu vietā.
- Tehniskos pamatus sakārtojiet uzreiz, negaidot dokumentus: autentifikāciju, aizsardzību, rezerves kopijas.
- Iecelkiet atbildīgo personu uzņēmuma iekšienē. Ja neviena nav, CISO kā pakalpojums nodrošina, ka IDPS ir īpašnieks bez papildu darbinieka pieņemšanas.
Mūsu komanda ar spēkā esošiem ISACA sertifikātiem palīdz gan ar sertifikāciju, gan ar vienkāršu drošības sakārtošanu pēc prasībām. Pirmajā sarunā godīgi pateiksim, kurš ceļš jūsu gadījumā ir saprātīgāks.
