Krótka odpowiedź
Część ISO 27001 można wdrożyć samodzielnie: opisanie procesów, ocena ryzyka i wdrożenie środków. Jednak samego certyfikatu nie można wystawić samodzielnie. Robi to niezależna, akredytowana jednostka certyfikująca, która ocenia Twoją organizację na podstawie normy. Wdrożenie własnymi siłami i outsourcing to zatem nie dwa osobne wybory, ale dwa etapy tej samej ścieżki.
To, czy potrzebujesz biura doradczego, zależy przede wszystkim od tego, ile czasu, wiedzy i wewnętrznych zasobów posiadasz. W małym przedsiębiorstwie z przejrzystym środowiskiem IT wdrożenie systemu jest często możliwe do przeprowadzenia samodzielnie. W organizacji z wieloma oddziałami, dostawcami i systemami ten proces zwykle zajmuje tyle godzin, że wsparcie doradcze skraca ten proces.
Co dokładnie to ISO 27001
ISO 27001 jest międzynarodową normą dotyczącą bezpieczeństwa informacji. Norma nie opisuje produktów technicznych, ale system porozumień: jak oceniasz ryzyko, jakie środki podejmujesz w stosunku do nich i jak utrzymujesz ten system. Całość ta nazywa się ISMS, systemem zarządzania bezpieczeństwem informacji. Certyfikat potwierdza, że niezależna strona oceniła ten system, ale nie że nigdy nic nie może pójść źle.
Co Pan/Pani sam/sama może zrobić
Wdrożenie samego ISMS zasadniczo nie jest pracą zastrzeżoną dla stron zewnętrznych na mocy prawa. Możesz samodzielnie: sporządzić przegląd informacji i systemów, które chronisz, przeprowadzić analizę ryzyka, opracować politykę i procedury, wdrożyć środki takie jak kontrola dostępu i kopie zapasowe, oraz przeprowadzić audyt wewnętrzny, aby sprawdzić, czy wszystko przebiega zgodnie z dokumentacją. Wiele przedsiębiorstw robi to za pomocą pracownika, który pełni rolę specjalisty ds. bezpieczeństwa informacji, uzupełnionego szablonem lub planem działania.
Wyzwaniem jest mniej zawartość niż kompletność. Norma wymaga dużej liczby wzajemnie powiązanych elementów, a jednostka certyfikująca sprawdza właśnie, czy nic nie brakuje. Osoby wykonujące to po raz pierwszy często niedoceniają, ile dokumentacji i dowodów jest potrzebne, aby wykazać, że środek nie tylko istnieje, ale także jest wdrażany.
Co nie możesz zrobić sam: jednostka certyfikująca
Certyfikat pochodzi od jednostki certyfikującej, która jest akredytowana do oceny zgodności z normą ISO 27001. Jednostka ta przeprowadza audyt zewnętrzny, zwykle w dwóch fazach: najpierw ocena dokumentacji, a następnie ocena w praktyce. Tego kroku nie możesz przeprowadzić wewnętrznie, nawet z bardzo doświadczonym pracownikiem: niezależność oceniającego jest częścią tego, co czyni certyfikat wartościowym. Sami wybierasz, którą akredytowaną jednostkę zaangażujesz.
Co dodaje biuro doradcze
Biuro doradcze nie zastępuje jednostki certyfikującej, ale wspomaga etap poprzedni: wdrożenie i przygotowanie ISMS tak, aby audyt zewnętrzny miał większe szanse powodzenia. Może to obejmować strukturyzowanie istniejącej dokumentacji, szkolenie pracowników lub wsparcie w audycie wewnętrznym. Dla przedsiębiorstw bez własnego działu IT lub compliance oszczędza to przede wszystkim czas: osoba znająca normę nie musi odkrywać każdego elementu od nowa.
To, czy oszczędność czasu uzasadnia koszty biura doradczego, różni się w zależności od organizacji. Przedsiębiorstwo z jedną lokalizacją i przejrzystym krajobrazem aplikacji ma krótszą ścieżkę niż przedsiębiorstwo z wieloma oddziałami i wieloma zewnętrznymi stronami w łańcuchu.
Czy ISO 27001 jest zawsze konieczne, czy jest alternatywa
Nie każdy odbiornik, który żąda możliwej do udowodnienia ochrony informacji, wymaga dosłownie certyfikatu ISO 27001. Niektórzy klienci akceptują samoewaluację, kwestionariusz lub oświadczenie dotyczące kluczowych środków, zwłaszcza jeśli Twoja firma jest mała lub ma ograniczony dostęp do poufnych danych klienta. Dlatego warto najpierw sprawdzić, o co dokładnie pyta Twój klient, zanim zaczniesz proces certyfikacji. wyjaśnieniach dotyczących poszczególnych zagadnień w bazie wiedzy pokazuje, jakie pojęcia kryją się zwykle za takim pytaniem i jak się one do siebie odnoszą.
Supplia.eu nie certyfikuje ani nie ocenia niczego i dlatego nie może określić, czy Twoja organizacja spełnia normę. To, co robimy, to rozpoznawanie kwestionariusza Twojego klienta i wypełnianie odpowiedzi z jednego dossier łańcucha, dzięki czemu nie musisz za każdym razem na nowo wyjaśniać, jakie środki już podjąłeś. Z kilkoma pytaniami widać, gdzie w przybliżeniu jest Twoja sytuacja, bez żeby to cokolwiek mówiło o samym procesie certyfikacji.
Co możesz teraz zrobić
Zacznij od ustalenia, czy Twój klient wymaga certyfikatu, czy wystarczy mu uzasadniona odpowiedź na kwestionariusz. Następnie sprawdź, ile z ISMS masz już nieformalnie w porządku: ocena ryzyka, kontrola dostępu, kopie zapasowe i obsługa incydentów są często częściowo już wdrożone, nawet jeśli nikt tego tak nie nazwał. Dopiero gdy wiesz, co jeszcze brakuje, warto określić, czy weźmiesz się za to sam, czy zaangażujesz firmę doradczą na etapie certyfikacji.
Na stronie o tym, jak powstają informacje na supplia.eu przeczytasz, skąd pochodzi nasze wyjaśnienie, abyś mógł je sprawdzić w odniesieniu do oficjalnej normy. Jeśli wciąż wątpisz, czy Twoja sytuacja wymaga certyfikatu, zrób darmową szybką ocenę lub przejrzyj często zadawane pytania dotyczące kwestionariuszy i dowodów aby otrzymać pierwsze wskazówki.