Krátká odpověď
Část ISO 27001 si můžete nastavit sami: popis vašich procesů, posouzení rizik a zavedení opatření. Certifikát si však nemůžete vydat sami. Vydává jej nezávislá, akreditovaná certifikační organizace, která vaši organizaci posuzuje podle normy. Vlastní realizace a outsourcing tedy nejsou dvě oddělené volby, ale dva kroky stejného procesu.
Zda potřebujete poradenskou společnost, závisí především na tom, kolik času, znalostí a interních kapacit máte. Pro malou společnost s přehledným IT prostředím je nastavení systému často zcela možné provést sami. Pro organizaci s více pobočkami, dodavateli a systémy tento proces obvykle trvá tolik hodin, že konzultace proces zkracuje.
Co přesně je ISO 27001
ISO 27001 je mezinárodní norma pro bezpečnost informací. Norma nepopisuje technické produkty, ale systém dohod: jak posuzujete rizika, jaká opatření jim přiřadíte a jak systém udržujete. Tento celek se nazývá ISMS, systém řízení bezpečnosti informací. Certifikát prokazuje, že nezávislá strana tento systém ověřila, ne že se nikdy nic nemůže pokazit.
Co můžete udělat sami
Nastavení samotného ISMS v zásadě není práce, kterou zákon vyhrazuje externí straně. Můžete sami: vytvořit přehled toho, jaké informace a systémy chráníte, provést analýzu rizik, vypracovat politiky a postupy, zavést opatření, jako je řízení přístupu a zálohování, a provést interní audit, aby se ověřilo, že vše probíhá skutečně tak, jak je napsáno. Mnoho společností to dělá s pevným zaměstnancem, který si vezme roli bezpečnostního analytika, doplněného šablonou nebo plánem kroků.
Výzva spočívá méně v obsahu než v úplnosti. Norma vyžaduje velký počet vzájemně propojených komponent a certifikační organizace přesně ověřuje, že nic nechybí. Kdo to dělá poprvé, často podceňuje, kolik dokumentace a důkazů je potřeba k prokázání, že opatření nejen existuje, ale je také prováděno.
Co si nemůžete udělat sami: certifikační organizace
Certifikát sám pochází z certifikační organizace, která je akreditována k posuzování podle normy ISO 27001. Tato organizace provádí externí audit, obvykle ve dvou fázích: nejprve přezkoumání dokumentace, poté přezkoumání v praxi. Tuto fázi si nemůžete provést interně, ani s velmi zkušeným zaměstnancem: nezávislost hodnotitele je součástí hodnoty certifikátu. Sami si vyberete, kterou akreditovanou organizaci si najímete.
Co přináší poradenská společnost
Poradenská společnost nenahrazuje certifikační organizaci, ale pomáhá v předchozím kroku: nastavení a uvedení ISMS do pořádku, aby měl externí audit větší šanci na úspěch. Může jít o strukturování existující dokumentace, školení zaměstnanců nebo vedení interní auditu. Pro společnosti bez vlastního IT nebo compliance oddělení to především šetří čas: osoba, která normu již zná, nemusí hledat každou komponentu znovu.
Zda tato úspora času odůvodňuje náklady na poradenskou společnost, se liší podle organizace. Společnost s jedním místem a přehledným aplikačním prostředím má kratší cestu než společnost s více pobočkami a mnoha externími stranami v řetězci.
Je ISO 27001 vždy nutná, nebo existuje alternativa
Ne každý odběratel, který požaduje prokazatelnou bezpečnost informací, nutně vyžaduje doslova certifikát ISO 27001. Někteří zákazníci akceptují vlastní vyhodnocení, dotazník nebo prohlášení o hlavních opatřeních, zvláště pokud je vaše společnost malá nebo má omezený přístup k citlivým údajům zákazníka. Je tedy rozumné nejdříve zkontrolovat, co přesně váš zákazník požaduje, než se pustíte do procesu certifikace. vysvětlení podle tématu ve znalostní bázi ukazuje, jaké koncepty za takovou otázkou často stojí a jak spolu souvisejí.
Supplia.eu nic necertifikuje ani nehodnotí a nemůže tedy určit, zda vaše organizace splňuje normu. Co však děláme, je rozpoznat dotazník vašeho zákazníka a vyplnit odpovědi z jednoho řetězového spisu, abyste nemuseli pokaždé znovu vysvětlovat, jaká opatření jste již přijali. S několika otázkami vidíte, kde se vaše situace zhruba nachází, aniž by to něco vypovídalo o samotném certifikačním procesu.
Co můžete udělat teď
Začněte tím, že zjistíte, zda váš zákazník vyžaduje certifikát, nebo mu stačí zdůvodněná odpověď na dotazník. Poté se podívejte, kolik z ISMS máte již neformálně v pořádku: rizika, řízení přístupu, zálohování a řešení incidentů jsou často již částečně zavedeny, i bez toho, aby to někdo takto nazval. Teprve když víte, co ještě chybí, má smysl rozhodnout, zda to vyřešíte sami, nebo si vezmete poradenskou firmu k přechodu k certifikační organizaci.
Na stránce o tom, jak informace na supplia.eu vznikají si můžete přečíst, odkud naše vysvětlení pochází, abyste je mohli prozkoumat vedle oficiální normy. Pokud si stále nejste jisti, zda vaše situace vyžaduje certifikát, proveďte bezplatné rychlé skenování nebo si prohlédněte často kladené otázky o dotaznících a důkazech pro první orientaci.