Kratak odgovor
Dio ISO 27001 možete sami postaviti: opisati svoje procese, procijeniti rizike i provesti mjere. Ali certifikat sami ne možete izdati. To čini nezavisna, akreditirana certificirajuća institucija koja ocjenjuje vašu organizaciju prema normi. Samovršenje i outsourcing nisu dakle dva odvojena izbora, već dva koraka u istom procesu.
Trebate li savjetodavnu agenciju, uglavnom ovisi o količini vremena, znanja i unutarnjeg kapaciteta koji sami imate. Za malo poduzeće s preglednom IT-okolinom, postavljanje sustava često je sasvim moguće obaviti samima. Za organizaciju s nekoliko lokacija, dobavljačima i sustavima, taj proces obično traje toliko sati da vođenje skraćuje proces.
Što je točno ISO 27001
ISO 27001 je međunarodna norma za informacijsku sigurnost. Norma ne opisuje tehničke proizvode, već sustav dogovora: kako procjenjujete rizike, koje mjere poduzimate nasuprot njima i kako održavate taj sustav. Taj skup se naziva ISMS, sustav upravljanja informacijskom sigurnosti. Certifikat pokazuje da je nezavisna strana proverila ovaj sustav, a ne da nikada ništa ne može biti pogrešno.
Što vi sami možete učiniti
Postavljanje ISMS-a samoga je načelno rad koji zakonom nije rezerviran za vanjsku stranu. Sami možete: napraviti pregled koje informacije i sustave štitite, provesti analizu rizika, estabeliti politike i procedure, provesti mjere kao što su kontrola pristupa i sigurnosne kopije, i obaviti unutarnju reviziju da provjerite jesu li sve stvari doista obavljena kako je napisano. Mnogim poduzećima to čini stalni zaposljenik koji preuzima ulogu informacijskog sigurnjaka, nadopunjen sa šablonom ili planom akcije.
Izazov je manje sadržaj nego potpunost. Norma zahtijeva veliki broj međusobno povezanih dijelova, a certificirajuća institucija upravo provjerava nije li ništa propušteno. Tko to čini po prvi put, često potcijenji koliko je dokumentacije i dokaza potrebno da bi se pokazalo da mjera ne samo da postoji, već se i provodi.
Što sami ne možete obaviti: certificirajuća institucija
Certifikat sam dolazi od certificirajuće institucije koja je akreditirana za procjenu prema normi ISO 27001. Ova institucija provodi vanjsku reviziju, obično u dvije faze: prvo pregled dokumentacije, zatim pregled u praksi. Ovaj korak ne možete obaviti interno, čak ni s vrlo iskusnim zaposljenim: nezavisnost ocjenjivača dio je onog što certifikat čini vrijednim. Sami biratejednu akreditiranu instituciju koju ćete angažirati.
Što dodaje savjetodavna agencija
Savjetodavna agencija ne zamjenjuje certificirajuću instituciju, već pomaže u koraku prije: postavljanju i blagajnom dovođenju ISMS-a tako da vanjska revizija ima veću šansu uspjeha. To može obuhvatiti strukturiranje postojeće dokumentacije, obuku zaposlenika ili vođenje unutarnje revizije. Za poduzeća bez vlastite IT- ili compliance-odjele, ovo uglavnom štedi vrijeme: netko tko već poznaje normu, ne mora ponovno pronalaziti svaki dio.
Opravdava li ta ušteda vremena troškove savjetodavne agencije, razlikuje se po organizaciji. Poduzeće s jednom lokacijom i preglednim krajolikom primjena ima kraći put nego poduzeće s više lokacija i mnogo vanjskih strana u lancu.
Je li ISO 27001 uvijek potreban ili postoji alternativa
Nije svaki kupac koji traži dokaziv informatičku sigurnost nužno zahtjeva doslovno ISO 27001 certifikat. Neki kupci prihvaćaju samoevaluaciju, upitnik ili izjavu o ključnim mjerama, pogotovo ako je vaša tvrtka mala ili ima ograničen pristup osjetljivim podacima kupca. Stoga je razumno prvo provjeriti što točno vaš kupac traži, prije nego što započnete put certificiranja. objašnjenju po predmetu u bazi znanja pokazuje koje koncepte često krije takvo pitanje i kako se oni međusobno odnose.
Supplia.eu ne certificira niti vrednuje ništa i stoga ne može odrediti je li vaša organizacija u skladu s normom. Ono što mi radimo jest da prepoznamo upitnik vašeg kupca i popunimo odgovore iz jedne datoteke lanca opskrbe, tako da ne trebate svaki put iznova objašnjavati koje ste mjere već poduzeli. S nekoliko pitanja vidite gdje se otprilike nalazi vaša situacija, bez da to nešto govori o samom procesu certificiranja.
Što sada možete učiniti
Počnite s istraživanjem trebate li vašem kupcu certifikat ili mu je dovoljan utemeljen odgovor na upitnik. Zatim pregledajte koliko su od ISMS-a već neformalno sredi: rizici, kontrola pristupa, sigurnosne kopije i rukovanje incidentima često su barem dijelomično postavljeni, čak i bez da je netko to tako nazvao. Tek kada znate što vam nedostaje, razumno je odrediti hoćete li to sami preuzeti ili angažirati savjetnu agenciju za korak prema certificiranom tijelu.
Na stranici o tome kako nastaju informacije na supplia.eu čitate odakle dolazi naša objašnjenja, tako da je možete provjeriti uz službenu normu. Ako ste még uvijek nesigurni trebate li vam certificat, napravite besplatnu brzu procjenu ili pregledajte česta pitanja o upitnicima i dokazima za početnu orijentaciju.