Lyhyt vastaus
Osan ISO 27001 -standardista voit perustaa itse: prosessiesi kuvaamisen, riskien arvioimisen ja toimenpiteiden toteuttamisen. Sertifikaattia et kuitenkaan voi itse antaa. Sen antaa riippumaton, akkreditoitu sertifiointiyritys, joka arvioi organisaatiotasi standardin perusteella. Oma tekeminen ja ulkoistaminen eivät siis ole kaksi erillistä valintaa, vaan kaksi vaihetta samassa prosessissa.
Se, tarvitsetko konsultointitoimiston, riippuu pääasiassa siitä, kuinka paljon aikaa, tietoa ja sisäistä kapasiteettia sinulla on. Pienelle yritykselle, jolla on hallittava IT-ympäristö, järjestelmän perustaminen on usein helppo tehdä itse. Organisaatiolle, jolla on useita toimipaikkoja, toimittajia ja järjestelmiä, kyseinen prosessi kestää yleensä niin monta tuntia, että ohjaus lyhentää prosessia.
Mikä ISO 27001 tarkalleen ottaen on
ISO 27001 on kansainvälinen tietoturvan standardi. Standardi ei kuvaile teknisiä tuotteita, vaan sopimuksista koostuvaa järjestelmää: kuinka arvioit riskit, mitä toimenpiteitä otat niiden varalle ja kuinka ylläpidät järjestelmää. Tätä kokonaisuutta kutsutaan ISMS:ksi, tietoturvan hallintajärjestelmäksi. Sertifikaatti osoittaa, että riippumaton osapuoli on testannut järjestelmän, ei sitä, että mitään ei voi koskaan mennä pieleen.
Mitä voit itse tehdä
ISMS:n perustaminen itsessään ei ole lain mukaan ulkoistettava tehtävä. Voit itse: tehdä yhteenvedon siitä, mitä tietoa ja järjestelmiä suojaat, suorittaa riskianalyysin, laatia käytännöt ja menettelyt, toteuttaa toimenpiteitä, kuten pääsynvalvontaa ja varmuuskopioita, ja tehdä sisäisen tarkastuksen tarkistaaksesi, että kaikki todella tapahtuu kirjoitetulla tavalla. Monet yritykset tekevät tämän vakituisen työntekijän kanssa, joka ottaa tietoturvan johtajan roolin itselleen, täydennettynä mallilla tai toimintaohjelmalla.
Haaste ei ole niinkään sisällössä vaan täydellisyydessä. Standardi vaatii suuren määrän keskenään yhteydessä olevia osia, ja sertifiointiyritys testaa juuri sitä, ettei mikään puutu. Jotkut tekevät tämän ensimmäistä kertaa ja aliarvioidaan usein, kuinka paljon asiakirjoja ja todisteita tarvitaan osoittamaan, että toimenpide ei ole olemassa vain teoriassa, vaan myös käytännössä.
Mitä et voi tehdä itse: sertifiointiyritys
Sertifikaatin antaa sertifiointiyritys, joka on akkreditoitu ISO 27001 -standardiin vastaan testaamisen suorittamista varten. Tämä yritys suorittaa ulkoisen tarkastuksen, yleensä kahdessa vaiheessa: ensin asiakirjojen testaus, sitten käytännön testaus. Et voi toteuttaa tätä vaihetta itse, vaikka sinulla olisi erittäin kokenut työntekijä: arvioijan riippumattomuus on osa sitä, mitä sertifikaatti on arvoinen. Valitset kuitenkin itse, minkä akkreditoidun yrityksen käytät.
Mitä konsultointitoimisto tuo lisäarvoa
Konsultointitoimisto ei korvaa sertifiointiyritystä, vaan auttaa edellistä vaihetta: ISMS:n perustamista ja järjestämistä, jotta ulkoisella tarkastuksella on suurempi onnistumisen mahdollisuus. Tämä voi sisältyä olemassa olevan asiakirjan strukturoimiseen, työntekijöiden koulutukseen tai sisäisen tarkastuksen ohjaamiseen. Yrityksille, joilla ei ole omaa IT- tai compliance-osastoa, tämä säästää pääasiassa aikaa: henkilö, joka tuntee standardin, ei tarvitse etsiä jokaista osaa uudelleen.
Se, onko tämä aikaansäästö oikeutettu konsultointitoimiston kustannuksiksi, vaihtelee organisaation mukaan. Yrityksellä, jolla on yksi toimipaikka ja hallittava sovellusympäristö, on lyhyempi reitti kuin yrityksellä, jolla on useita toimipaikkoja ja monia ulkoisia osapuolia ketjussa.
Onko ISO 27001 aina välttämätöntä vai onko vaihtoehto
Jokainen asiakas, joka pyytää osoitettavissa olevaa tietoturvallisuutta, ei välttämättä vaadi kirjaimellisesti ISO 27001 -sertifikaattia. Jotkut asiakkaat hyväksyvät itsearviointiin, kyselylomakkeen tai selvityksen tärkeimmistä toimenpiteistä, erityisesti jos yrityksenne on pieni tai sillä on rajoitettu pääsy asiakkaan arkaluonteisiin tietoihin. On siksi viisasta tarkistaa ensin, mitä asiakkaasi tarkalleen ottaen kysyy, ennen kuin aloitatte sertifiointiprosessin. aihekohtaisista selityksistä tietopankista näyttää, mitkä käsitteet usein piilevät tällaisen kysymyksen takana ja miten ne liittyvät toisiinsa.
Supplia.eu ei sertifioi tai arvioi mitään, joten se ei voi määrittää, onko organisaationne standardin mukainen. Mitä me teemme, on tunnistaa asiakkaasi kyselylomakkeen ja täyttää vastaukset yhdestä ketjudossiereista, jotta ette joudu selittämään joka kerta uudelleen, mitä toimenpiteitä olette jo toteuttaneet. Muutamalla kysymyksellä näette, missä tilanteenne suunnilleen onilman, että tämä kertoo mitään sertifiointiprosessista itsestään.
Mitä voit nyt tehdä
Aloita selvittämällä, vaatiko asiakkaasi sertifikaattia vai riittääkö perusteltu vastaus kyselylomakkeeseen. Tarkista sitten, kuinka paljon ISMS:stä olet jo epävirallisesti järjestänyt: riskit, pääsynvalvonta, varmuuskopiot ja tapahtumaiden käsittely on usein jo osittain järjestetty, vaikka kukaan ei olisi antanut sille nimeä. Vasta kun tiedät, mitä vielä puuttuu, on järkevää määritellä, otatko sen itse vai palkkaat hallintokonsultin apuun ennen siirtoa sertifiointilaitokseen.
Osoitteessa tieto siitä, miten supplia.eu:n tiedot syntyvät voit lukea, mistä selitykseemme tulevat, jotta voit tarkistaa ne virallisen standardin rinnalla. Jos olet vielä epävarma, vaatiko tilanteesi sertifikaattia, tee sitten ilmainen pika-arvio tai katso usein kysytyt kysymykset kyselylomakkeista ja todisteista saadaksesi ensimmäisen käsityksen.