Kratek odgovor
Del ISO 27001 lahko nastavite sami: opis vaših procesov, ocena tveganj in uvedba ukrepov. Vendar potrdila ne smete izdati sami. To naredi neodvisna, akreditirana certifikacijska organizacija, ki oceni vašo organizacijo po standardi. Lastna izvedba in zunanja podpora niso torej dve ločeni možnosti, temveč dva koraka v istem postopku.
Ali potrebujete svetovalnico, je odvisno predvsem od količine časa, znanja in notranje kapacitete, ki jo imate. Za majhno podjetje s pregledno IT-okolico je nastavitev sistema pogosto povsem izvedljiva lastna naloga. Za organizacijo z več lokacijami, dobavitelji in sistemi ta postopek navadno traja toliko ur, da usmerjevanje proces skrajša.
Kaj je natančno ISO 27001
ISO 27001 je mednarodni standard za varnost informacij. Standard ne opisuje tehničnih proizvodov, temveč sistem dogovorov: kako ocenite tveganja, katere ukrepe jim nasprotite in kako ta sistem vzdrževate. To celoto imenujemo ISMS, sistem upravljanja varnosti informacij. Potrdilo kaže, da je neodvisna tretja oseba ta sistem preverila, ne da se nikoli ne more kaj zgoditi.
Kaj lahko sami storите
Nastavitev samega ISMS načeloma ni delo, ki ga zakon pridržuje zunanji tretji osebi. Sami lahko: naredite pregled, katere informacije in sisteme varujete, izvedete analizo tveganj, oblikujete politike in postopke, uvedete ukrepe, kot so nadzor dostopa in varnostne kopije, ter izvedete notranjo revizijo, da preverite, ali se vse res dogaja tako, kot je napisano. Številna podjetja to opravijo s stalnim zaposlenim, ki prevzame vlogo varnostnega inženirja za informacije, dopolnjeno s predlogo ali akcijskim načrtom.
Izziv je manj v vsebini kot v popolnosti. Standard zahteva veliko medsebojno povezanih delov, certifikacijska organizacija pa preverja ravno to, da nič ne manjka. Tisti, ki to počnejo prvič, pogosto podcenijo, koliko dokumentacije in dokazov je potrebnih, da pokažete, da ukrep ne obstaja le na papirju, temveč se tudi izvaja.
Česa ne morete storiti sami: certifikacijska organizacija
Potrdilo samo po sebi prihaja od certifikacijske organizacije, ki je akreditirana za preverjanje po standardi ISO 27001. Ta organizacija izvrši zunanjo revizijo, običajno v dveh fazah: prvo preverko dokumentacije, nato preverko v praksi. To fazo ne morete izvedeti interno, tudi ne s zelo izkušenim zaposlenim: neodvisnost pregledovalca je del tega, kaj potrdilo vredi. Sami si izberete, katero akreditirano organizacijo angažirate.
Kaj svetovalnica dodaja
Svetovalnica ne nadomešča certifikacijske organizacije, temveč pomaga pri prejšnjem koraku: nastavitvi in urejenosti ISMS-a, da ima zunanja revizija večjo možnost uspeha. To lahko vključuje strukturiranje obstoječe dokumentacije, usposabljanje zaposlenih ali vodenje notranje revizije. Za podjetja brez lastne oddelka za IT ali skladnost to zlasti prihrani čas: nekdo, ki standard že pozna, ne mora vsakega dela znova reševati.
Ali ta prihranek časa upravičuje stroške svetovalnice, se razlikuje po organizaciji. Podjetje z eno lokacijo in pregledno krajino aplikacij ima krajšo pot kot podjetje z več lokacijami in številnimi zunanjimi strankami v verigi.
Ali je ISO 27001 vedno potreben ali obstaja alternativa
Ni vsak odjemalec, ki zahteva dokazljivo varnost informacij, izrecno zahteva certifikat ISO 27001. Nekateri odjemalci sprejmejo samoevalvacijo, vprašalnik ali izjavo o ključnih ukrepih, posebno če je vaše podjetje majhno ali ima omejen dostop do občutljivih podatkov odjemalca. Zato je smiselno, da najprej preverite, kaj natanko vaš odjemalec zahteva, preden se odpravite na pot certificiranja. razlagi po temah v bazi znanja prikazuje, kateri koncepti se pogosto skrivajo za takim vprašanjem in kako se medsebojno nanašajo.
Supplia.eu ne certificira in ne ocenjuje ničesar ter zato ne more določiti, ali vaša organizacija izpolnjuje normo. Kaj pa res naredimo, je, da prepoznamo vprašalnik vašega odjemalca in izpolnimo odgovore iz enega lančnega dosjeja, tako da vsakič znova ne morate razlagati, katere ukrepe ste že sprejeli. S nekaj vprašanji vidite, kako se vaša situacija približno nahaja, brez da bi to kaj govorilo o samem procesu certificiranja.
Kaj lahko naredite zdaj
Začnite z ugotavljanjem, ali vaš odjemalec zahteva certifikat ali mu je dovolj utemeljen odgovor na vprašalnik. Nato si oglejte, koliko ISMS imate že neformalno urejeno: tveganja, nadzor dostopa, varnostne kopije in upravljanje incidentov so pogosto že delno urejena tudi brez da bi jih kdo tako poimenoval. Šele ko veste, kaj še manjka, je smiselno odločiti, ali to sami prevzamete ali angažirate svetovalno pisarno za korak v smeri certificirne ustanove.
Na strani o tem, kako so informacije na supplia.eu nastale preberite, od kod prihaja naša razlaga, da jo lahko preverite skupaj s pravo normo. Če še dvomite, ali vaša situacija zahteva certifikat, opravite brezplačni hitri pregled ali si oglejte pogosta vprašanja o vprašalnikih in dokazilih za prvi pregled.