Rövid válasz
Az ISO 27001 egy része saját magam beállítható: a folyamatok leírása, a kockázatok értékelése és az intézkedések bevezetése. De az igazolványt magam nem adhatok ki. Ezt egy független, akkreditált tanúsító szervezet végzi, amely az adott norma alapján értékeli a szervezetemet. Az önálló végrehajtás és az outsourcing tehát nem két különálló választás, hanem ugyanannak a folyamatnak két lépése.
Az, hogy szükséges-e tanácsadó iroda, elsősorban az időn, a tudáson és a szervezeten belüli kapacitáson múlik. Egy kis vállalkozás, amely áttekinthető informatikai környezettel rendelkezik, a rendszer beállítása általában magadól ésszerűen megoldható. Az olyan szervezet, amely több telephellyel, szállítóval és rendszerrel rendelkezik, ilyen munkára általában annyi óra szükséges, hogy a szakértői irányítás lerövidíti a folyamatot.
Mit jelent pontosan az ISO 27001
Az ISO 27001 az információbiztonság nemzetközi szabványa. A norma nem műszaki termékeket ír le, hanem egy megállapodási rendszert: hogyan értékeled a kockázatokat, milyen intézkedéseket tervezel rá és hogyan tartod karban ezt a rendszert. Az egészet ISMS-nek, az információbiztonsági managementzisztémának hívják. Az igazolvány azt igazolja, hogy egy független fél értékelte ezt a rendszert, nem azt, hogy soha semmi nem mehet rosszul.
Mit tehet maga
Az ISMS beállítása maga alapvetően nem olyan munka, amely törvényben külső félre van fenntartva. Magadtól megteheted: összeállítani, hogy milyen információkat és rendszereket védesz, kockázatelemzést végezni, politikákat és eljárásokat kidolgozni, intézkedéseket bevezetni, például hozzáférés-vezérlést és biztonsági másolatot, valamint belső auditot végezni annak ellenőrzésére, hogy minden valóban úgy történik-e, ahogy leírták. Sok vállalat ezt egy olyan állandó alkalmazottal végzi, aki információbiztonsági szerepet vállal magára, kiegészítve egy sablonnal vagy lépésről lépésre történő utasítással.
A kihívás kevésbé a tartalom, mint a teljesség. A norma nagyszámú, egymással összefüggő összetevőt követel meg, és a tanúsító szervezet pontosan azt vizsgálja, hogy semmi sem hiányzik-e. Akik ezt először végzik el, gyakran alábecsülik, hogy mennyi dokumentációra és bizonyítékra van szükség annak bemutatására, hogy egy intézkedés nemcsak létezik, hanem végre is hajtódik.
Amit nem tudsz magadtól végezni: a tanúsító szervezet
Az igazolványt egy tanúsító szervezet adja ki, amely az ISO 27001 norma szerinti értékelésre akkreditált. Ez a szervezet külső auditot végez, általában két fázisban: először a dokumentáció értékelése, majd a gyakorlatban való értékelés. Ezt a lépést nem tudod belsőleg végezni, még egy nagyon tapasztalt munkatárssal sem: az értékelő függetlensége része annak, amitől az igazolvány értékes. Magad választod meg, hogy melyik akkreditált szervezetet vonzod be.
Mit ad hozzá egy tanácsadó iroda
Egy tanácsadó iroda nem helyettesíti a tanúsító szervezetet, hanem segít az előzetes lépésben: az ISMS beállításában és rendtartásában, hogy a külső audit nagyobb eséllyel sikeres legyen. Ez vonatkozhat a meglévő dokumentáció strukturálására, a munkatársak képzésére vagy a belső audit irányítására. A saját informatikai vagy compliance szakterülettel nem rendelkező vállalkozások számára elsősorban időt takarít meg: valakinek, aki ismeri a normát, nem kell minden összetevőt újra megkeresnie.
Az, hogy az időmegtakarítás indokolja-e a tanácsadó iroda költségeit, szervezetenként eltérő. Egy helyű és áttekinthető alkalmazásportfólióval rendelkező vállalkozatnak rövidebb az útja, mint egy több telephellyel és sok külső féllel rendelkező vállalkozatnak a láncban.
Az ISO 27001 mindig szükséges, vagy van rá alternatíva
Nem minden megrendelő, aki igazolható információbiztonságot kér, szó szerint ISO 27001-tanúsítványt követel meg. Egyes ügyfelek elfogadnak egy önevaluációt, egy kérdőívet vagy egy nyilatkozatot a legfontosabb intézkedésekről, különösen akkor, ha vállalatát kicsi vagy korlátozottan fér hozzá az ügyfél bizalmas adataihoz. Ezért célszerű, hogy először ellenőrizze, mit kér pontosan az ügyfele, mielőtt egy tanúsítási folyamatba kezdene. a tudásbázisban szereplő témaonként. azt mutatja, hogy milyen fogalmak rejtőznek gyakran egy ilyen kérdés mögött, és hogyan viszonyulnak egymáshoz.
A Supplia.eu nem tanúsít és nem értékel semmit, és ezért nem tudja meghatározni, hogy szervezete megfelel-e a szabványnak. Amit viszont teszünk, az az, hogy felismerjük ügyfele kérdőívét és kitöltjük a válaszokat egy láncdosszié alapján, így nem kell minden alkalommal újra elmagyaráznia, hogy mely intézkedéseket már megtette. néhány kérdéssel meglátja, körülbelül hol áll a helyzete, anélkül, hogy ez a tanúsítási folyamat selbéről valamit mondana.
Mit tehet most
Kezdje azzal, hogy megvizsgálja, ügyfelének tanúsítványra van-e szüksége, vagy elegendő egy alátámasztott válasz a kérdőívre. Ezt követően nézze meg, az ISMS mekkora része van már informálisan rendben: a kockázatok, a hozzáférés-ellenőrzés, a biztonsági másolatok és az incidensmegoldás gyakran már részben megvalósítottak, még akkor is, ha senki sem nevezte meg őket így. Csak akkor érdemes meghatározni, hogy ezt saját maga végzi-e, vagy tanácsadó irodát vesz-e igénybe a tanúsító szervezet felé vezető lépéshez, ha tudja, mi hiányzik még.
On az oldalon, amely bemutatja, hogyan készül a supplia.eu-n található információ megismerheti, honnan származik a magyarázatunk, hogy azt a hivatalos normához képest össze tudja vetni. Ha még kétségei vannak abban, hogy helyzete tanúsítványt igényel-e, végezze el az ingyenes gyorsszkenelést, vagy tekintse meg a kérdéssorokat és bizonylatokat érintő gyakran ismételt kérdéseket az első tájékozódáshoz.