Σύντομη απάντηση
Ένα μέρος της ISO 27001 μπορείτε να το δημιουργήσετε μόνοι σας: το να περιγράψετε τις διαδικασίες σας, να αξιολογήσετε τους κινδύνους και να εφαρμόσετε μέτρα. Ωστόσο, το ίδιο το πιστοποιητικό δεν επιτρέπεται να το εκδώσετε μόνοι σας. Αυτό γίνεται από ένα ανεξάρτητο, διαπιστευμένο όργανο πιστοποίησης που αξιολογεί τον οργανισμό σας σύμφωνα με το πρότυπο. Επομένως, το να κάνετε κάτι μόνοι σας και το να αναθέσετε σε τρίτο δεν είναι δύο ξεχωριστές επιλογές, αλλά δύο βήματα της ίδιας διαδικασίας.
Το αν χρειάζεστε ένα γραφείο συμβούλων εξαρτάται κυρίως από το πόσο χρόνο, γνώση και εσωτερική ικανότητα έχετε μόνοι σας. Για μια μικρή επιχείρηση με ένα ευδιάκριτο περιβάλλον πληροφορικής, η δημιουργία του συστήματος είναι συχνά εφικτή μόνοι σας. Για έναν οργανισμό με πολλές τοποθεσίες, προμηθευτές και συστήματα, αυτή η διαδικασία συνήθως απαιτεί τόσες ώρες που η καθοδήγηση συντομεύει τη διαδικασία.
Τι είναι ακριβώς η ISO 27001
Η ISO 27001 είναι ένα διεθνές πρότυπο για την ασφάλεια της πληροφορίας. Το πρότυπο δεν περιγράφει τεχνικά προϊόντα, αλλά ένα σύστημα συμφωνιών: πώς εκτιμάτε τους κινδύνους, ποια μέτρα λαμβάνετε για αυτούς και πώς διατηρείτε αυτό το σύστημα. Το σύνολο αυτό ονομάζεται ISMS, το σύστημα διαχείρισης ασφάλειας πληροφοριών. Ένα πιστοποιητικό δείχνει ότι ένα ανεξάρτητο μέρος έχει αξιολογήσει αυτό το σύστημα, όχι ότι δεν μπορεί ποτέ να συμβεί κάτι λάθος.
Τι μπορείτε να κάνετε οι ίδιοι
Η δημιουργία του ISMS μόνοι σας δεν είναι καθ' αυτή ένα έργο που διατηρείται κατά νόμο αποκλειστικά για ένα εξωτερικό μέρος. Μπορείτε μόνοι σας να: δημιουργήσετε μια επισκόπηση των πληροφοριών και των συστημάτων που προστατεύετε, να διεξάγετε μια ανάλυση κινδύνου, να καθορίσετε πολιτική και διαδικασίες, να εφαρμόσετε μέτρα όπως ο έλεγχος πρόσβασης και τα αντίγραφα ασφαλείας, και να διεξάγετε ένα εσωτερικό audit για να ελέγξετε ότι όλα πραγματικά γίνονται όπως έχουν καταγραφεί. Πολλές εταιρείες το κάνουν αυτό με έναν σταθερό υπάλληλο που αναλαμβάνει το ρόλο του αρμόδιου ασφάλειας πληροφοριών, συμπληρωμένο με ένα πρότυπο ή ένα σχέδιο δράσης.
Η πρόκληση είναι λιγότερο το περιεχόμενο παρά η πληρότητα. Το πρότυπο απαιτεί έναν μεγάλο αριθμό αλληλοσχετιζόμενων στοιχείων, και ένα όργανο πιστοποίησης ελέγχει ακριβώς αν κίποτε λείπει. Όσοι το κάνουν για πρώτη φορά, συχνά υποτιμούν πόση τεκμηρίωση και τεκμήριο απαιτείται για να δείξουν ότι ένα μέτρο δεν υπάρχει μόνο, αλλά εφαρμόζεται επίσης.
Αυτό που δεν μπορείτε να κάνετε μόνοι σας: το όργανο πιστοποίησης
Το ίδιο το πιστοποιητικό προέρχεται από ένα όργανο πιστοποίησης που είναι διαπιστευμένο για να αξιολογεί σύμφωνα με το πρότυπο ISO 27001. Αυτό το όργανο διεξάγει ένα εξωτερικό audit, συνήθως σε δύο φάσεις: πρώτα μια αξιολόγηση της τεκμηρίωσης, στη συνέχεια μια αξιολόγηση στην πράξη. Αυτό το βήμα δεν μπορείτε να το εκτελέσετε εσωτερικά, ακόμη και με έναν πολύ έμπειρο υπάλληλο: η ανεξαρτησία του αξιολογητή είναι μέρος αυτού που κάνει το πιστοποιητικό αξιόλογο. Επιλέγετε μόνοι σας ποιο διαπιστευμένο όργανο θα χρησιμοποιήσετε.
Τι προσθέτει ένα γραφείο συμβούλων
Ένα γραφείο συμβούλων δεν αντικαθιστά το όργανο πιστοποίησης, αλλά βοηθά στο προηγούμενο βήμα: τη δημιουργία και διευθέτηση του ISMS ώστε το εξωτερικό audit να έχει μεγαλύτερη πιθανότητα επιτυχίας. Αυτό μπορεί να περιλαμβάνει τη δομημάτωση της υπάρχουσας τεκμηρίωσης, την εκπαίδευση των υπαλλήλων ή την καθοδήγηση του εσωτερικού audit. Για εταιρείες χωρίς δικό τους τμήμα πληροφορικής ή συμμόρφωσης, αυτό εξοικονομεί κυρίως χρόνο: κάποιος που γνωρίζει ήδη το πρότυπο, δεν χρειάζεται να ανακαλύψει ξανά κάθε στοιχείο.
Το αν αυτή η εξοικονόμηση χρόνου δικαιολογεί το κόστος ενός γραφείου συμβούλων διαφέρει ανά οργανισμό. Μια εταιρεία με μία τοποθεσία και ένα ευδιάκριτο σύνολο εφαρμογών έχει μια συντομότερη διαδρομή από μια εταιρεία με πολλές τοποθεσίες και πολλά εξωτερικά μέρη στην αλυσίδα.
Είναι η ISO 27001 πάντα απαραίτητη, ή υπάρχει κάποια εναλλακτική
Δεν απαιτούν όλοι οι πελάτες που ζητούν αποδείξιμη ασφάλεια πληροφοριών ένα κυριολεκτικό πιστοποιητικό ISO 27001. Ορισμένοι πελάτες αποδέχονται μια αυτοαξιολόγηση, έναν κατάλογο ερωτήσεων ή μια δήλωση σχετικά με τα κύρια μέτρα, ιδιαίτερα αν η επιχείρησή σας είναι μικρή ή έχει περιορισμένη πρόσβαση σε ευαίσθητα δεδομένα του πελάτη. Επομένως, είναι σκόπιμο να ελέγξετε πρώτα τι ακριβώς ζητά ο πελάτης σας, πριν ξεκινήσετε μια διαδικασία πιστοποίησης. την εξήγηση ανά θέμα στη βάση γνώσης δείχνει ποιες έννοιες συχνά κρύβονται πίσω από ένα τέτοιο ερώτημα και πώς σχετίζονται μεταξύ τους.
Η Supplia.eu δεν πιστοποιεί ούτε αξιολογεί τίποτα και επομένως δεν μπορεί να προσδιορίσει εάν η οργάνωσή σας συμμορφώνεται με το πρότυπο. Αυτό που κάνουμε είναι να αναγνωρίσουμε τον κατάλογο ερωτήσεων του πελάτη σας και να συμπληρώσουμε τις απαντήσεις από ένα ενιαίο φάκελο αλυσίδας προμέτρησης, ώστε να μην χρειάζεται κάθε φορά να εξηγείτε ποια μέτρα έχετε ήδη λάβει. Με μερικές ερωτήσεις βλέπετε πού βρίσκεται περίπου η κατάστασή σας, χωρίς αυτό να λέει κάτι για μια ίδια τη διαδικασία πιστοποίησης.
Τι μπορείτε να κάνετε τώρα
Ξεκινήστε διερευνώντας αν ο πελάτης σας απαιτεί ένα πιστοποιητικό ή αν είναι επαρκής μια τεκμηριωμένη απάντηση στον κατάλογο ερωτήσεων. Στη συνέχεια, δείτε πόσα από το ISMS έχετε ήδη ρυθμίσει ανεπίσημα: οι κίνδυνοι, ο έλεγχος πρόσβασης, τα αντίγραφα ασφαλείας και η διαχείριση περιστατικών είναι συχνά ήδη εν μέρει ρυθμισμένα, ακόμα και χωρίς κάποιος να το έχει ονομάσει έτσι. Μόνο αφού γνωρίζετε τι λείπει ακόμα, είναι λογικό να αποφασίσετε εάν θα το αναλάβετε μόνοι σας ή θα φέρετε ένα συμβουλευτικό γραφείο για το βήμα προς το πιστοποιητικό όργανο.
Στη σελίδα σχετικά με τον τρόπο δημιουργίας των πληροφοριών στο supplia.eu διαβάζετε από πού προέρχεται η εξήγησή μας, ώστε να μπορείτε να την αναφέρετε δίπλα στο επίσημο πρότυπο. Εάν εξακολουθείτε να αμφιβάλλετε για το αν η κατάστασή σας απαιτεί ένα πιστοποιητικό, κάντε τη δωρεάν γρήγορη σάρωση ή δείτε τις συχνές ερωτήσεις σχετικά με καταλόγους ερωτήσεων και αποδεικτικά στοιχεία για μια πρώτη κατεύθυνση.