Lühikokkuvõte
Osa ISO 27001-st saate ise üles seada: oma protsesside kirjeldamine, riskide hindamine ja meetmete rakendamine. Kuid sertifikaati ei tohi te ise väljastada. Seda teeb sõltumatu, akrediteeritud sertifitseerimisasutus, kes hindab teie organisatsiooni normi alusel. Omaette tegemisel ja väljastamisel pole tegu kahe eraldi valikuga, vaid sama tee kahe sammuga.
Kas teil on nõustamisburoo vaja, sõltub peamiselt sellest, kui palju aega, teadmisi ja sisemist mahtu teil endal on. Väikeettevõtte puhul lihtsa IT-keskkonnaga on süsteemi ülesseadmine sageli ise hästi tehtav. Organisatsiooni puhul, millel on mitu asutust, hankijaid ja süsteeme, võtab see protsess tavaliselt nii palju tunde, et juhendamine lühendab protsessi.
Mis on täpselt ISO 27001
ISO 27001 on rahvusvaheline teabekaitse standard. Standard ei kirjelda tehislikke tooteid, vaid lepete süsteemi: kuidas hindate riske, milliseid meetmeid nende vastu võtate ja kuidas süsteemi hooldusele võtate. Seda tervikut nimetatakse ISMS-iks, teabejuhtimise ja turbemise süsteemiks. Sertifikaat näitab, et sõltumatu osapool on seda süsteemi kontrollinud, mitte seda, et midagi kunagi valesti ei saa minna.
Mida saate ise teha
ISMS-i ülesseadmine ise ei ole põhimõtteliselt töö, mis seaduse alusel välisosapoolele peetakse. Saate ise: teha ülevaate sellest, millist teavet ja süsteeme kaitsete, viia läbi riskianalüüsi, luua poliitikat ja protseduurid, rakendada meetmeid nagu juurdepääsukontroll ja varukoopiad, ja teha sisemist audiiti, et kontrollida, kas kõik tegelikult nii tehakse, nagu kirjutatud. Paljud ettevõtted teevad seda kindla töötajaga, kes võtab infoturbe spetsialisti rolli, täiendatud malli või sammude plaaniga.
Väljakutse on rohkem täielikkuses kui sisus. Standard nõuab palju omavahel seotud osi, ja sertifitseerimisasutus kontrollib just seda, kas midagi ei puudu. Kes seda esimest korda teeb, alahindab sageli, kui palju dokumentatsiooni ja tõendeid on vaja näitamaks, et meetme saab mitte ainult olemas, vaid ka tegelikult rakendama.
Mida te ise ei saa teha: sertifitseerimisasutus
Sertifikaat ise pärineb sertifitseerimisasutuselt, kes on akrediteeritud ISO 27001 standardi alusel hindamiseks. See asutus viib läbi välise auditi, tavaliselt kahes etapis: esmalt dokumentatsiooni kontroll, seejärel praktilise kontrolli. Seda sammu ei saa te sisemiselt teha, isegi väga kogenud töötajaga: auditori sõltumatus on osa sellest, mis annab sertifikaadile väärtust. Valite ise, millist akrediteeritud asutust kaasate.
Mida nõustamisburoo lisab
Nõustamisburoo ei asenda sertifitseerimisasutust, vaid aitab eelmises etapis: ISMS-i ülesseadmine ja korrastamine, et välisaudit omaks paremat edu võimalust. See võib tähendada olemasoleva dokumentatsiooni struktureerimist, töötajate koolitamist või sisemise auditi juhendamist. Ettevõtetele, kellel puudub oma IT- või compliance-osakond, säästab see peamiselt aega: keegi, kes normi juba tunneb, ei pea iga osa uuesti välja selgitama.
Kas see aja kokkuhoid õigustab nõustamisburoo kulusid, erineb sõltuvalt organisatsioonist. Ühel asukohel ja lihtsa rakenduste maastikuga ettevõttel on lühem tee kui mitme asutusega ja paljude kettesse kuuluvate väliste osapoolte ettevõttel.
Kas ISO 27001 on alati vajalik või on seal alternatiiv
Mitte iga klient, kes nõuab tõendatavat infohalduse turvalisust, ei nõua sõna otseses mõttes ISO 27001 sertifikaati. Mõned kliendid aktsepteerivad enesehinnangu, küsimustiku või avaldust peamiste meetmete kohta, eriti kui teie ettevõte on väike või on piiratud juurdepääs kliendi sensitiivsete andmetele. Seetõttu on mõistlik enne sertifitseerimisprotsessiga alustamist esmalt kontrollida, mida teie klient täpselt nõuab. teemas antud selgituste teadmispangast näitab, milliseid mõisteid sellise küsimuse taha tavaliselt peitub ja kuidas need üksteisega seotud on.
Supplia.eu ei sertifitseeri ega hinda midagi ja seega ei saa määrata, kas teie organisatsioon vastab standardile. Mida me aga teeme, on tunne ära teie kliendi küsimustiku ja täidame vastused ühest tarneahelise failist, nii et te ei pea iga kord uuesti selgitama, milliseid meetmeid olete juba võtnud. Koos mõne küsimusega näete, kus teie olukord ligikaudu seisabilma et see ütleks midagi sertifitseerimisprotsessi enda kohta.
Mida saate nüüd teha
Alustage sellest, et uurite välja, kas teie klient nõuab sertifikaati või on tal piisav põhjendatud vastus küsimustikule. Seejärel vaadake, kui palju ISMS-ist on teil juba mitteformaalsel kujul korrastatud: riskid, juurdepääsukontroll, varukoopiad ja häireolukordade käsitsemine on sageli osaliselt juba paigaldatud, isegi ilma et keegi oleks seda nii nimetanud. Alles siis, kui teate, mis veel puudub, on mõistlik määrata, kas te seda ise võtate või kutsute nõustamisburoo appi sammule sertifieerimisasutusse.
Lehel kuidas informatsioon supplia.eu-s tekib leiate, kust meie seletus pärineb, et saaksite seda kontrollida ametliku standardi kõrval. Kui teil on endiselt kahtlusi, kas teie olukord nõuab sertifikaati, tehke tasuta kiirkontroll või vaadake korduma kippuvaid küsimusi küsimustike ja tõendite kohta esialgse suuna jaoks.