Īss atbildes
Daļu no ISO 27001 varat iestatīt paši: aprakstīt savus procesus, novērtēt riskus un īstenot pasākumus. Bet sertifikātu pats nedrīkst izlaist. To izdod neatkarīga, akreditēta sertificēšanas iestāde, kas novērtē jūsu organizāciju pēc normas. Patstāvīga izpilde un outsourcing nav divas atsevišķas izvēles, bet divi posmi vienā un tajā pašā procesā.
Tas, vai jums ir nepieciešams konsultāciju birojs, galvenokārt ir atkarīgs no tā, cik daudz laika, zināšanu un iekšējās jaudas jums ir. Mazam uzņēmumam ar uzskatāmu IT vidi sistēmas iestatīšana bieži vien ir diezgan vienkārša. Organizācijai ar vairākām filiālēm, piegādātājiem un sistēmām šis process parasti aizņem tik daudz stundu, ka vadīšana var saīsināt procesu.
Kas tieši ir ISO 27001
ISO 27001 ir starptautiska standartu informācijas drošībai. Norma neskaitļo tehniskos produktus, bet sistēmu vienošanos: kā jūs novērtējat riskus, kādus pasākumus jūs viņiem pienostat un kā jūs uzturējat šo sistēmu. To kopumu sauc par ISMS, informācijas drošības pārvaldības sistēmu. Sertifikāts parāda, ka neatkarīga puse šo sistēmu ir pārbaudījusi, nevis to, ka nekad nevar kaut kas noiet greizi.
Ko jūs paši varat darīt
Pašu ISMS iestatīšana principā nav darbs, kas saskaņā ar likumu ir aizliegts ārējai pusei. Jūs varat paši: izveidot pārskatu par to, kuru informāciju un sistēmu jūs aizsargājat, veikt riska analīzi, izstrādāt politiku un procedūras, īstenot pasākumus, piemēram, piekļuves kontroli un dublējumus, un veikt iekšējo auditu, lai pārbaudītu, vai viss notiek tā, kā ir rakstīts. Daudzi uzņēmumi to dara ar pilnlaika darbinieku, kas uzņemas informācijas drošības speciālista lomu, papildinātu ar veidni vai darbību plānu.
Izaicinājums ir mazāk saturs nekā pilnīgums. Norma prasa lielu skaitu savstarpēji saistītu komponentu, un sertificēšanas iestāde pārbauda tieši to, vai nekas nav aizmirsts. Tas, kurš to dara pirmo reizi, bieži vien par maz novērtē, cik daudz dokumentācijas un pierādījumu ir nepieciešams, lai pierādītu, ka pasākums pastāv ne tikai uz papīra, bet arī tiek īstenots praksē.
Ko jūs paši nedrīkstat darīt: sertificēšanas iestāde
Sertifikāts nāk no sertificēšanas iestādes, kas ir akreditēta pārbaudei pret ISO 27001 standartu. Šī iestāde veic ārējo auditu, parasti divos posmos: pirmkārt, dokumentācijas pārbaude, pēc tam praktiskas pārbaudes. Šo posmu jūs nevarat veikt iekšēji, pat ja jums ir ļoti pieredzes bagāts darbinieks: auditori neatkarība ir daļa no tā, kas padara sertifikātu vērtīgu. Jūs paši izvēlieties, kuru akreditēto iestādi piesaistīt.
Ko konsultāciju birojs pievieno
Konsultāciju birojs neaizstāj sertificēšanas iestādi, bet palīdz iepriekšējā posmā: ISMS iestatīšanu un kārtošanu, lai ārējai auditei būtu lielākas izredzes uz panākumiem. Tas var ietvert esošās dokumentācijas strukturēšanu, darbinieku apmācību vai iekšējā audita vadīšanu. Uzņēmumiem bez savas IT vai atbilstības nodaļas tas galvenokārt ietaupa laiku: kāds, kurš jau zina normu, neviņam nav jāmeklē katrs komponents no jauna.
To, vai šis laika uzkrājums attaisno konsultāciju biroja izmaksas, dažāds katrai organizācijai. Uzņēmumam ar vienu vietu un uzskatāmu programmatūras ainavas ir īsāks ceļš nekā uzņēmumam ar vairākām filiālēm un daudzām ārējām pusēm ķēdē.
Vai ISO 27001 vienmēr ir nepieciešams, vai ir alternatīva
Ne visi pasūtītāji, kas pieprasa pierādāmu informācijas drošību, stingri pieprasa ISO 27001 sertifikātu. Daži klients pieņem pašnovērtējumu, jautājumu sarakstu vai paziņojumu par galvenajiem pasākumiem, it īpaši, ja jūsu uzņēmums ir mazs vai ir ierobežota piekļuve klientu sensitīvajiem datiem. Tāpēc ir pamatoti vispirms pārbaudīt, ko tieši pieprasa jūsu klients, pirms sākat sertificēšanas procesu. paskaidrojumi par katru tēmu zināšanu bāzē parāda, kādi jēdzieni parasti slēpjas aiz šāda jautājuma un kā tie savstarpēji korelē.
Supplia.eu nesertificē un nenovērtē neko, tāpēc nevar noteikt, vai jūsu organizācija atbilst normai. Tas, ko mēs darām, ir pazīstam jūsu klienta jautājumu sarakstu un aizpildām atbildes no viena piegādes ķēdes faila, lai jums katru reizi nebūtu jāpaskaidro, kādus pasākumus jūs jau esat veikuši. Ar dažiem jautājumiem redzat, kur aptuveni atrodas jūsu situācija, neizsakot neko par pašu sertificēšanas procesu.
Ko jūs varat darīt tagad
Sāciet ar izpēti, vai jūsu klients pieprasa sertifikātu vai ir pietiekams pamatots atbilde uz jautājumu sarakstu. Pēc tam apskatiet, cik lielā mērā jūs jau neoficiāli esat kārtojuši ISMS: riskus, piekļuves kontroli, rezerves kopijas un incidentu apstrādi bieži vien jau daļēji kārtojāt, arī bez tā, ka to kāds tā būtu nosauc. Tikai tad, kad zināt, kas vēl trūkst, ir jēga noteikt, vai jūs to paši pārņemat vai iesaistāt konsultācijas birojs, lai virzītos uz sertificējošo iestādi.
Uz lapas par to, kā supplia.eu informācija tiek veidota jūs lasīsit, no kura nāk mūsu paskaidrojums, lai jūs to varētu pārbaudīt blakus oficiālajai normai. Ja joprojām šaubāties, vai jūsu situācija pieprasa sertifikātu, veiciet bezmaksas ātrās skenēšanas vai apskatiet biežāk uzdotos jautājumus par jautājumu sarakstiem un pierādījumiem pirmajam virzienam.