Trumpas atsakymas
Dalį ISO 27001 galite nustatyti patys: aprašyti savo procesus, įvertinti rizikus ir įdiegti priemones. Tačiau pažymėjimo pats negalite išduoti. Jį išduoda nepriklausoma, akredituota sertifikavimo įstaiga, kuri pagal standartą vertina jūsų organizaciją. Darbas pačiam ir svešiųjų paslaugų naudojimas nėra dvi atskiros pasirinkties, o du to paties proceso žingsniai.
Tai, ar jums reikalinga konsultacinė firma, daugiausia priklauso nuo to, kiek laiko, žinių ir vidinių galimybių savo jėgomis turite. Mažai įmonei su aiškia IT aplinka sistemos nustatymas dažnai gali būti atliekamas savarankiškai. Organizacijai su keliais skyriais, tiekėjais ir sistemomis šio proceso metu paprastai reikalinga tiek daug valandų, kad konsultavimas sutrumpina procesą.
Kas tiksliai yra ISO 27001
ISO 27001 yra tarptautinis informacijos saugumo standartas. Standartas nedescribes technines produktus, o susitarimų sistemą: kaip vertinate rizikus, kokias priemones jiems priešopozicijuojate ir kaip ją prižiūrite. Visa tai vadinama ISMS, informacijos saugumo vadybos sistema. Pažymėjimas rodo, kad nepriklausoma šalis šią sistemą patikrinti, o ne tai, kad niekada negali kilti jokių problemų.
Ką galite padaryti jūs patys
ISMS nustatymas pats savaime pagal įstatymą nėra darbas, kuris yra išsaugojamas tik išorinei šaliai. Galite patys: sudaryti informacijos ir sistemų, kurias saugote, apžvalgą, atlikti rizikos analizę, parengti politiką ir procedūras, diegti priemones, tokias kaip prieigos kontrolė ir atsarginės kopijos, ir atlikti vidinę auditą, kad patikrintumėte, ar viską atliekate taip, kaip parašyta. Dauguma įmonių tai daro su pastoviu darbuotovu, kuris perimą informacijos saugumo specialisto vaidmenį, papildytą šablonu arba veiksmų planu.
Iššūkis yra ne tiek turinys, kiek visumatiškumas. Standartas reikalauja daugybės tarpusavyje susijusių komponentų, o sertifikavimo įstaiga tiksliai patikrina, ar niekas netrūksta. Tas, kuris tai daro pirmą kartą, dažnai nepakankamai įvertina, kiek dokumentacijos ir įrodymų reikia, norint parodyti, kad priemona ne tik egzistuoja, bet ir tikrai yra vykdoma.
Ką patys negalite daryti: sertifikavimo įstaiga
Pažymėjimą išduoda sertifikavimo įstaiga, kuri yra akredituota, kad auditTINOK pagal ISO 27001 standartą. Ši įstaiga atlieka išorinį auditą, paprastai dviem etapais: pirmiausia dokumentacijos peržiūra, tada praktinė peržiūra. Šio žingsnio negalite atlikti viduje, net turėdami labai patyrusį darbuotoją: vertintojo nepriklausomumas yra dalis to, kas suteikia pažymėjimui vertę. Patys pasirenkate, kurią akredituotą įstaigą naudotis.
Ką konsultacinė firma prideda
Konsultacinė firma nepakeičia sertifikavimo įstaigos, bet padeda ankstesniame žingsnyje: nustatyti ir sutvarkyti ISMS, kad išorinis auditas turėtų didesnę sėkmės tikimybę. Tai gali apimti esamos dokumentacijos struktūrizavimą, darbuotojų mokymą arba vidinės audito vadovavimą. Firmoms be savo IT ar compliance skyriaus tai ypač sutaupa laiko: žmogus, žinantis standartą, neturi kiekvieno komponento iš naujo ieškoti.
Tai, ar ta laiko ekonomija pateisingina konsultacinės firmos išlaidas, skiriasi priklausomai nuo organizacijos. Įmonė su viena vieta ir aiškia programų aplanka turi trumpesnį kelią nei įmonė su keliais skyriais ir daug išorinių šalių tiekimo grandinėje.
Ar ISO 27001 visada reikalinga, ar yra alternatyvą
Ne kiekvienas užsakovas, kuris prašo įrodomas informacijos saugumo, reikalauja tiesiogiai ISO 27001 sertifikato. Kai kurie klientai priima savęs įvertinimą, klausimyną arba pareiškimą apie pagrindinius saugumo reikalavimus, ypač jei jūsų įmonė yra maža arba turi ribotą prieigą prie jautrios kliento informacijos. Todėl patartina iš pradžių patikrinti, ką tiksliai jūsų klientas prašo, prieš pradedant sertifikavimo procesą. pagal paaiškinimą kiekvienu žingsniu žinių bazėje parodyti, kokie samprotavimai dažnai slypi už tokio klausimo ir kaip jie yra tarpusavyje susiję.
Supplia.eu nesertifikuoja ir nevertina nieko, todėl negali nustatyti, ar jūsų organizacija atitinka normą. Tai, ką mes darome, yra jūsų kliento klausimyną atpažinti ir atsakymus užpildyti iš vienos grandinės bylos, kad kiekvieną kartą nereikėtų iš naujo paaiškinti, kokius saugumo reikalavimus jau įgyvendinate. Su keliais klausimais pamatysite, kurioje situacijoje maždaug esate,, nesprendžiant, ką nors apie sertifikavimo procesą.
Ką dabar galite daryti
Pradėkite nuo to, kad sužinotumėte, ar jūsų klientas reikalauja sertifikato, ar jam pakanka pagrįsto atsakymo į klausimyną. Tada pasitikrinkite, kiek iš ISMS jau neoficialiai sutvarkyta: rizikos, prieigos kontrolė, atsarginės kopijos ir incidentų valdymas dažnai jau iš dalies įdiegti, net jei niekas to taip nepazvadino. Tik tada, kai žinosite, ko dar trūksta, verta spręsti, ar tai patys tvarkytumėte, ar pasamdytumėte konsultacijų biurą, kad padėtų žengti žingsnį į sertifikavimo įstaigą.
apie puslapyje, kuriame paaiškinama, kaip supplia.eu informacija susidaro, skaitysite, iš kur ją paėmėme, kad galėtumėte ją patikrinti pagal oficialią normą. Jei dar abejojate, ar jūsų situacija reikalauja sertifikato, atlikite nemokamą greitąją analizę arba skaitykite dažniausiai užduodamus klausimus apie klausimynus ir įrodymus, norėdami gauti pirmą orientyrą.