Кратък отговор
Част от ISO 27001 можете да установите сами: описанието на вашите процеси, оценката на рисковете и въвеждането на мерки. Но самия сертификат не можете да издадете сами. Това се прави от независима, акредитирана сертификационна организация, която оценява вашата организация по норма. Самостоятелното провеждане и поръчването на външни експерти не са две отделни опции, а два етапа на един и същ процес.
Дали имате нужда от консултантска фирма, зависи главно от това колко време, знания и вътрешен капацитет имате сами. За малко предприятие с обозрима IT среда, установяването на системата често е добре осъществимо самостоятелно. За организация с няколко филиала, доставчици и системи, този процес обикновено отнема толкова много часове, че консултирането скъсява времето на процеса.
Какво точно е ISO 27001
ISO 27001 е международна норма за защита на информацията. Нормата не описва технически продукти, а система от договоренности: как оценявате рисковете, какви мерки предприемате срещу тях и как поддържате тази система. Този набор се нарича ISMS, информационна система за управление на сигурността. Сертификат показва, че независима страна е проверила тази система, а не че никога не може да се случи нещо лошо.
Какво можете да направите вие
Установяването на ISMS самостоятелно принципно не е работа, която по закон е запазена за външна страна. Можете сами: да направите преглед на информацията и системите, които защитавате, да проведете анализ на риска, да разработите политики и процедури, да внедрите мерки като управление на достъпа и резервни копия, и да проведете вътрешна проверка, за да се убедите, че всичко се прави точно както е написано. Много компании правят това със стабилен служител, който поема роля на специалист по защита на информацията, допълнен със шаблон или план от стъпки.
Предизвикателството е по-малко съдържанието, отколкото пълнотата. Нормата изисква голямо количество взаимосвързани компоненти, и сертификационна организация проверява именно дали нищо не липсва. Който прави това за първи път, често недооценява колко документация и доказателства са необходими, за да се покаже, че мяра не само съществува, но и се прилага.
Което не можете да направите сами: сертификационна организация
Самият сертификат идва от сертификационна организация, която е акредитирана да проверява срещу ISO 27001 норма. Тази организация провежда externa проверка, обикновено в два етапа: първо проверка на документацията, след това проверка на практика. Този етап не можете да проведете вътрешно, дори и с много опитен служител: независимостта на проверяващия е част от това, което прави сертификата ценен. Вие сами избирате коя акредитирана организация да ангажирате.
Какво добавя консултантска фирма
Консултантска фирма не замества сертификационна организация, но помага със стъпката преди това: установяването и привеждането в ред на ISMS, така че външната проверка да има по-голямо намерение на успех. Това може да включва структуриране на съществуваща документация, обучението на служители или ръководство на вътрешна проверка. За компании без собствено IT или compliance отделение, това основно спестява време: някой, който знае норма, не трябва да открива всеки компонент отново.
Дали тази икономия на време оправдава разходите за консултантска фирма, варира по организация. Компания с един офис и обозримо приложение има по-кратък път, отколкото компания с няколко филиала и много външни страни в веригата.
Винаги ли е необходима ISO 27001, или има алтернатива
Не всеки купувач, който поставя изисквания за доказуем контрол на информационната сигурност, настоява буквално на ISO 27001 сертификат. Някои клиенти приемат самооценка, въпросник или декларация относно ключовите мерки, особено ако вашето предприятие е малко или има ограничен достъп до чувствителни данни на клиента. Затова е разумно първо да проверите какво точно вашият клиент иска, преди да започнете процес на сертификация. обяснението по тема в базата знания показва кои понятия обикновено стоят зад такъв въпрос и как те се отнасят едно към друго.
Supplia.eu не сертифицира и не оценява нищо и следователно не може да определи дали вашата организация отговаря на норма. Това, което ние правим, е да разпознаем въпросника на вашия клиент и да попълним отговорите от един верижен досие, така че да не трябва всеки път да обяснявате отново кои мерки вече сте вземали. С няколко въпроса виждате къде приблизително стои вашата ситуация, без това да означава нещо относно самия процес на сертификация.
Какво можете да направите сега
Започнете с това да разберете дали вашият клиент изисква сертификат или е достатъчен обоснован отговор на въпросника. След това преглед на това колко от ISMS вече сте организирали неофициално: рисковете, контролът на достъпа, архивирането и управлението на инцидентите често са вече частично организирани, дори без някой да е назвал това така. Едва когато знаете какво още липсва, е разумно да определите дали ще го поемете сами или ще привлечете консултантско бюро за стъпката към сертифициращия орган.
На страницата за това как се събира информацията на supplia.eu ще прочетете откъде идва нашето обяснение, така че да можете да го проверите наред с официалната норма. Ако се колебаете дали вашата ситуация изисква сертификат, направете безплатното бързо сканиране или вижте често задаваните въпроси относно въпросници и доказателства за първа ориентация.