Сертификация ISO 27001: ваше пошаговое руководство

Серия ISO 27000, общепризнанная структура (также одна из самых популярных, как видно из предыдущей статьи), часто используется для целей управления информационной безопасностью. В семействе ISO 27000 выделяется ISO/IEC 27001:2013 (ISO 27001).

Многие организации находят ценность в получении сертификата ISO 27001, в частности, поскольку он предоставляет полезную модель, помогающую им защищать свою информацию с помощью действенных методов для установления, внедрения, эксплуатации, мониторинга и поддержания информационной безопасности.

Кроме того, как только эта сертификация будет получена, будет заложена прочная основа для многих других требований и нормативов (одним из них является GDPR), что упростит их соблюдение. Поскольку это всемирно признанный стандарт, ISO 27001 — отличный способ продемонстрировать общее отношение вашего бизнеса к безопасности.

Почему вашей организации следует рассмотреть возможность сертификации

Итак, зачем вам это нужно — зачем выполнять трудную задачу получения сертификата ISO 27001?

Ну, в нашем нынешнем мире с высокой степенью связи акцент быстро сместился на информацию и безопасность этой информации. Мы хотим (и должны) защищать наши данные и информацию, которую мы обрабатываем от имени других. Злоумышленники хотят скомпрометировать или украсть эту информацию при каждом удобном случае, чтобы извлечь выгоду из ее ценности.

Таким образом, в основном повседневный бизнес вращается вокруг информации и кибербезопасности. Утечки данных происходят ежедневно; все борются за то, чтобы их организация была в безопасности и не попадала в заголовки газет. Итак, если ваш бизнес вращается вокруг данных — информационная безопасность жизненно важна, но ваша организация должна не только серьезно относиться к информационной безопасности, но и демонстрировать это как организацию.

Вот почему сертификация ISO 27001 необходима. Это способ сообщить всем, с кем вы взаимодействуете, что ваш бизнес серьезно относится к информационной безопасности, и у вас есть сертификат, подтверждающий это. Не совсем, но вы правильно понимаете смысл — и все остальные тоже.

Таким образом, это не только решение для обеспечения безопасности, но и коммерческое решение.

Если конкурент сертифицирован, а вы нет, то, скорее всего, ваш конкурент будет выбран вместо вас. Более того, он признан во всем мире, так что каждый будет знать, что он означает, когда увидит его — никаких дополнительных объяснений не потребуется. Проще говоря, это дает людям и компаниям комфорт и облегчает их решение работать с вами. Однако получение сертификата — это не прогулка по парку, и это еще одна причина, почему его наличие так ценно.

Выполните следующие действия для сертификации

Существует множество руководств по получению сертификата ISO 27001, некоторые из них более сложные и многословные, чем другие. Процесс требует времени и усилий; однако, если вы сосредоточитесь на наиболее важных аспектах, это может помочь более мимолетно подтолкнуть его, даже если вам это только кажется. Итак, остановимся на самых важных аспектах.

Шаг 1: Пригласите эксперта на борт

Руководство на вашей стороне, пора действовать! Если вы хотите выполнить этот процесс максимально быстро и гладко, вам следует нанять эксперта (если вы им не являетесь). Консультант, который имеет множество сертификатов за плечами и обладает знаниями, которые помогут вам в этом процессе; кто знает сложные области и знает, на что обращать внимание.

Да, это может быть более дорогостоящий вариант, но время и усилия, которые могут быть потрачены без этого бесценного совета, могут оказаться более дорогостоящими в долгосрочной перспективе. Таким образом, в зависимости от ваших приоритетов, ресурсов и бюджета, это может быть правильным подходом.

Шаг 2: Зарегистрируйтесь в органе по сертификации

Это кажется очевидной задачей, но ее легко пропустить и оставить до конца. Вы должны привлечь и выбрать орган по сертификации на ранней стадии процесса. Убедитесь, что орган по сертификации аккредитован. Другими словами, убедитесь, что у них есть лицензия на сертификацию вашей организации по стандарту ISO27001. Все органы по сертификации разные, поэтому выберите тот, который лучше всего подходит для вашей организации и ее требований, возможно, тот, который обеспечивает определенную степень гибкости.

Шаг 3: Потратьте время на определение масштаба

Определение области действия Системы управления информационной безопасностью (СУИБ), вероятно, является одним из наиболее важных аспектов этого процесса и должно быть рассмотрено с самого начала. Масштаб важен, потому что он дает фокус и структуру. Это получает всех на той же странице.

Этот процесс планирования жизненно важен для достижения конечных целей в установленные сроки. Это включает в себя привлечение нужных людей — создание суперкоманды, особенно менеджмента, и определение особенностей, связанных с сертификацией. Он включает рассмотрение организации (будет ли охват распространяться на всю организацию или ограничиваться отделом?) и потребностей заинтересованных сторон, сотрудников и регулирующих органов. Он рассматривает факторы, которые могут повлиять на информационную безопасность (как внутреннюю, так и внешнюю) и процессы, системы, а также степень приемлемости риска.

Определив масштаб с самого начала, СМИБ можно надлежащим образом согласовать с бизнес-стратегией. Кроме того, в центре внимания могут оставаться наиболее важные аспекты бизнеса — наиболее важные системы, процессы и информация. Это важно, так как здесь самый высокий риск.

Помните, что цель состоит в управлении информацией и ее защите, поэтому важно определить информационные активы и системы, представляющие наибольшую ценность и важность, и согласовать стратегию и сосредоточить внимание на их надлежащем решении. Изучив бизнес-стратегию и ее цели, а также определив информационные активы, чтобы сосредоточить на них внимание, становится более очевидным, какие ресурсы вам потребуются для достижения этой цели. Тип людей, которым можно доверить процесс.

Привлечение правильных людей имеет решающее значение для успеха. Каждый отдел будет экспертом в своей области. Таким образом, несмотря на то, что ИТ-команда является неотъемлемой частью процесса, это хорошо, но люди из других отделов, которые знают свои системы, информацию и риски, приносят пользу и знания группе. Срез людей из всей организации (HR, юридический отдел, отдел продаж и т. д.) имеет важное значение. Важно задействовать все эти области и обучить хотя бы кого-то в каждой области, чтобы повысить осведомленность об информационной безопасности во всей организации. Это имеет решающее значение для успешного внедрения СМИБ.

Итак, определив масштаб, прежде чем делать что-либо еще, вы определите, где, что и как — место, на котором нужно сосредоточиться, информационные активы и технологии. У вас будут все участники (хорошая команда), которые могут продвинуть процесс вперед и будут полезны для него. Вы будете знать, как правильно согласовать бизнес-стратегию с СМИБ, и вы определите критически важные информационные активы, которые вам необходимо защитить. У вас должны быть все сущности, необходимые для эффективной совместной работы для достижения успешного результата, как в хорошо смазанной машине! Все без усилий идут к одной цели.

• Документация по политике безопасности.
• Документация по области применения СМИБ.

Шаг 5: Анализ пробелов и оценка рисков безопасности

Вы должны определить риски, чтобы управлять ими. Оценка рисков важна для выявления областей потенциального риска, которые могут повлиять на конфиденциальность, целостность и доступность информации.

Во-первых, вам необходимо оценить существующее состояние информационных систем организации. Посмотрите на то, где вы хотите быть — это взгляд на будущее состояние. Имея в виду и то, и другое, вы можете определить пробелы и установить элементы управления или улучшить существующие элементы управления, чтобы заполнить пробелы и достичь того, чего вы хотите.

Это включает в себя анализ физической среды, процессов, инфраструктуры информационной системы, ресурсов, людей и активов. Кроме того, учитывая потенциальные угрозы и взвешивая эффективность существующих средств контроля. Кроме того, определение уровня риска и уровня, приемлемого для организации. Наконец, рассмотрение любых дополнительных или новых средств контроля, необходимых для управления риском или его снижения.

ISO требует, чтобы оценка риска была формальным процессом. Таким образом, это должно быть спланировано надлежащим образом, и каждый его аспект должен быть записан — данные, анализ и результаты. Перед началом необходимо установить базовые критерии безопасности в отношении информационной безопасности для всех областей (бизнес, нормативные и договорные обязательства).

• Задокументируйте выполненную оценку риска.
• Документируйте средства контроля и процедуры для противодействия риску.
• Документируйте, кто несет ответственность.

Шаг 5: Оцените и выберите элементы управления и разработайте план внедрения

После выявления рисков пришло время принимать решение! Внедряете ли вы средства контроля для снижения рисков? Какие риски может допустить организация? Можно ли передать какой-либо из рисков?

Реагирование на риски должно быть тщательно продумано и задокументировано; это требуется в качестве доказательства и для сертификационного аудита.

Процесс выполнения рекомендаций, сформированных оценкой риска, может включать корректировку организационных процедур, а также технологические изменения. Это, вероятно, включает обучение персонала и поощрение к изменению поведения.

• Программа реализации документа.
• Контроль над документами, который необходимо внедрить.

Шаг 6: Обучение и внедрение СМИБ

Все сотрудники должны хорошо понимать процесс ISO 27001, почему сертификация необходима и важна для организации, а также роль, которую они играют в ее достижении и поддержании. К преимуществам, которые стоит повторить, относятся:

• Это демонстрирует нашу компетентность в области безопасности.
• Это помогает нам соответствовать нашим нормативным и нормативным требованиям.
• Это обеспечивает уверенность клиента.
• Это дает нашей организации конкурентное преимущество.
• Он управляет и снижает нашу подверженность риску.
• Он защищает наши информационные активы; поддерживает конфиденциальность, целостность и доступность.

Теперь можно внедрять новые процессы. Продолжайте оценивать СМИБ, а также анализировать и пересматривать процедуры по мере необходимости. Держите всех в курсе корректировок или изменений в процессах и документируйте все.

Шаг 7: Документация

Разработка документации является центральной частью процесса сертификации. Требуемая документация включает в себя политики, стандарты и процедуры, обеспечивающие соблюдение предприятием требований стандарта ISO27001 компетентным и достижимым образом.

Документация должна соответствовать потребностям организации, и все, что задокументировано, также должно применяться на практике. Важно обеспечить обновление документации по мере изменения элементов управления и процессов в процессе внедрения.

Частью сертификационного аудита является проверка подготовленной документации на соответствие стандарту ISO, а также организационных процессов на соответствие этой документации и стандарту, чтобы убедиться, что написанное выполняется на практике и что все соответствует.

Шаг 8: Внутренний/тестовый аудит и окончательный аудит

Тестовые аудиты являются важным этапом в процессе сертификации. Они рекомендуются как способ подготовить организацию и сотрудников к реальной работе. Выполнение ходатайств в строгих условиях сделает официальный аудит не таким пугающим. Чем больше практических аудитов можно провести, тем лучше все будут подготовлены. Бросьте вызов сотрудникам и процессам, исправьте любые проблемы или области, которые нуждаются в улучшении. Не забывайте обновлять документацию и сотрудников о внесенных изменениях. Тестовые аудиты следует начинать за несколько месяцев до официального — по возможности за шесть месяцев.

Чтобы официальный аудит прошел гладко, подготовьте все и всех. Аудитор проверит всю документацию, чтобы убедиться, что она соответствует стандарту. Удовлетворившись, аудитор переходит к оценке того, соответствует ли СМИБ документации организации, а также стандарту.

Если документация или практика не полностью соответствуют требованиям, любые недостатки будут выявлены, и перед повторным аудитом необходимо будет принять корректирующие меры. Как только аудитор убедится, что стандарт ISO 27001 соблюдается, вы получите сертификат.

• Задокументируйте любые проблемные области.
• Документируйте корректирующие действия и превентивные меры контроля.
• Продолжайте этот процесс, пока соответствие не будет удовлетворено.

Поздравляем — у вас есть сертификат ISO 27001, но работа на этом не заканчивается

С сертификацией ISO 27001 техническое обслуживание является ключевым фактором, если вы хотите сохранить его. Убедитесь, что вы остаетесь на вершине своей ISMS. Это означает методично просматривать, контролировать и поддерживать его.

После сертификации будут проводиться ежегодные аудиты, чтобы гарантировать, что организация продолжает соответствовать требованиям и должна продолжать удовлетворять требованиям для сохранения сертификации.

Помните, продолжайте документировать любые изменения, влияющие на вашу СМИБ, — все время, чтобы вы были готовы к следующему аудиту. Это придет быстрее, чем вы думаете.