Răspuns scurt
O parte din ISO 27001 o puteți configura singuri: descrierea proceselor dvs., evaluarea riscurilor și implementarea măsurilor. Dar certificatul în sine nu puteți emite singuri. Aceasta se face printr-un organism de certificare independent și acreditat care evaluează organizația dvs. în conformitate cu norma. Deci, lucrul intern și externalizarea nu sunt două alegeri separate, ci doi pași în același proces.
Dacă aveți nevoie de o agenție de consulting depinde în principal de cât timp, cunoștințe și capacitate internă aveți. Pentru o mică întreprindere cu un mediu IT ușor de gestionat, configurarea sistemului este adesea ușor de realizat singuri. Pentru o organizație cu mai multe locații, furnizori și sisteme, acel proces necesită de obicei atât de multe ore încât îndrumarea îl poate scurta.
Ce este exact ISO 27001
ISO 27001 este o normă internațională pentru securitatea informațiilor. Norma nu descrie produse tehnice, ci un sistem de acorduri: cum evaluați riscurile, ce măsuri luați în raport cu acestea și cum mențineți acel sistem. Acest ansamblu se numește ISMS, sistemul de management al securității informațiilor. Un certificat demonstrează că o parte independentă a evaluat acest sistem, nu că nu poate merge niciodată ceva rău.
Ce puteți face dvs.
Configurarea ISMS-ului în sine nu este în principiu o activitate care prin lege este rezervată unei părți externe. Puteți singuri: să faceți o privire de ansamblu asupra informațiilor și sistemelor pe care le protejați, să realizați o analiză a riscurilor, să elaborați politici și proceduri, să implementați măsuri cum ar fi controlul accesului și copiile de rezervă, și să efectuați un audit intern pentru a verifica dacă totul se întâmplă într-adevăr așa cum este scris. Multe companii fac acest lucru cu un angajat permanent care ia rolul de specialist în securitatea informațiilor, completat cu un șablon sau un plan pas cu pas.
Provocarea este mai puțin conținutul decât completitudinea. Norma solicită un număr mare de componente interconectate, iar un organism de certificare testează tocmai dacă nu lipsește nimic. Cei care fac acest lucru pentru prima dată subestimează adesea câte documente și dovezi sunt necesare pentru a demonstra că o măsură nu doar că există, ci și că se execută.
Ceea ce nu puteți face singuri: organismul de certificare
Certificatul în sine vine de la un organism de certificare care este acreditat să efectueze audit împotriva normei ISO 27001. Acest organism efectuează un audit extern, de obicei în două faze: mai întâi o evaluare a documentației, apoi o evaluare în practică. Nu puteți efectua acest pas în intern, nici măcar cu un angajat foarte experimentat: independența evaluatorului face parte din ceea ce dă valoare certificatului. Voi înșivă alegeți ce organism de certificare acreditat angajați.
Ceea ce adaugă o agenție de consulting
O agenție de consulting nu înlocuiește organismul de certificare, ci ajută la pasul anterior: configurarea și punerea în ordine a ISMS-ului, astfel încât auditul extern să aibă o șansă mai mare de succes. Aceasta poate include structurarea documentației existente, instruirea angajaților sau îndrumarea auditului intern. Pentru companii fără departament IT sau de conformitate propriu, aceasta economisește în special timp: cineva care cunoaște deja norma nu trebuie să afle din nou fiecare componentă.
Dacă această economie de timp justifică costurile unei agenții de consulting diferă în funcție de organizație. O companie cu o locație și un peisaj aplicațional ușor de gestionat are o cale mai scurtă decât o companie cu mai multe locații și mulți parteneri externi în lanț.
Este ISO 27001 întotdeauna necesar, sau există o alternativă
Nu orice client care cere securitate provabilă a informațiilor nu necesită în mod literal un certificat ISO 27001. Unii clienți acceptă o autoevaluare, un chestionar sau o declarație cu privire la principalele măsuri, mai ales dacă compania dvs. este mică sau are acces limitat la date sensibile ale clientului. Este deci prudent să verificați mai întâi exact ce cere clientul dvs., înainte de a începe o procedură de certificare. explicația pe subiect în baza de cunoștințe arată care sunt conceptele care se ascund adesea în spatele unei asemenea întrebări și cum se raportează acestea între ele.
Supplia.eu nu certifică și nu evaluează nimic și, prin urmare, nu poate determina dacă organizația dvs. respectă norma. Ceea ce facem cu siguranță este să recunoaștem chestionarul clientului dvs. și să completăm răspunsurile dintr-un singur dosar de lanț, astfel încât să nu trebuie să explicați din nou de fiecare dată ce măsuri ați luat deja. Cu câteva întrebări, vedeți unde se situează aproximativ situația dvs.fără ca aceasta să spună ceva despre procedura de certificare în sine.
Ce puteți face acum
Începeți prin a afla dacă clientul dvs. cere un certificat sau dacă i-a ajuns un răspuns bine fundamentat la chestionar. După aceea, verificați câte dintre ISMS-ul dvs. aveți deja informal în ordine: riscurile, controlul accesului, copiile de rezervă și gestionarea incidentelor sunt adesea deja parțial implementate, chiar și fără ca cineva să le numească în felul acesta. Abia când știți ce lipsește, are sens să determinați dacă vă ocupați de asta singuri sau aduceți un birou de consultanță pentru pasul către organismul de certificare.
Pe pagina privind modul în care informațiile pe supplia.eu sunt create vedeți de unde provin explicațiile noastre, astfel încât să le puteți consulta alături de norma oficială. Dacă aveți îndoieli dacă situația dvs. necesită un certificat, faceți apoi scanarea rapidă gratuită sau consultați întrebările frecvente despre chestionare și dovezi pentru o primă orientare.