Krátka odpoveď
Časť ISO 27001 si môžete nastaviť sami: popis vašich procesov, posúdenie rizík a zavedenie opatrení. Certifikát si však nemôžete vydať sami. Vydáva ho nezávislá, akreditovaná certifikačná inštitúcia, ktorá posúdi vašu organizáciu podľa normy. Vlastné vykonávanie a outsourcing teda nie sú dve oddelené voľby, ale dva kroky v rovnakom procese.
To, či potrebujete poradenské kancelário, závisí hlavne od toho, koľko času, znalostí a interných kapacít máte k dispozícii. Pri malom podniku s jednoduchým IT prostredím je nastavenie systému obvykle možné vykonať sami. Pri organizácii s viacerými pobočkami, dodávateľmi a systémami tento proces zvyčajne vyžaduje toľko hodín, že konzultácia skráti dobu trvania.
Čo je presne ISO 27001
ISO 27001 je medzinárodná norma pre bezpečnosť informácií. Norma nepopisuje technické produkty, ale systém dohôd: ako posúdate riziká, aké opatrenia proti nim prijímate a ako systém udržiavate. Toto celé sa nazýva ISMS, systém manažérstva bezpečnosti informácií. Certifikát dokazuje, že nezávislá strana tento systém testovala, nie že sa nemôže nič pokaziť.
Čo môžete urobiť sami
Nastavenie samotného ISMS je v princípe práca, ktorá nie je zákonite vyhradená externe. Môžete sami: vytvoriť prehľad toho, aké informácie a systémy chránite, vykonať analýzu rizík, formulovať politiku a postupy, zaviesť opatrenia ako riadenie prístupu a zálohy, a vykonať internú revíziu, aby ste overili, že všetko prebieha tak, ako je napísané. Mnoho podnikov to robí s pevným zamestnancom, ktorý sa ujme úlohy bezpečnostného analytika informácií, doplneného šablónou alebo plánom.
Výzvou je menej obsah ako úplnosť. Norma vyžaduje veľký počet vzájomne súvisiacich prvkov a certifikačná inštitúcia práve kontroluje, či nič nechýba. Kto to robí po prvý raz, často podceňuje, koľko dokumentácie a dôkazov je potrebných na preukázanie, že opatrenie nielen existuje, ale aj sa vykonáva.
Čo si nemôžete urobiť sami: certifikačná inštitúcia
Certifikát prichádza od certifikačnej inštitúcie, ktorá je akreditovaná na testovanie v súlade s normou ISO 27001. Táto inštitúcia vykonáva externú revíziu, zvyčajne v dvoch fázach: najskôr kontrola dokumentácie, potom kontrola v praxi. Tento krok nemôžete vykonať interním spôsobom, ani s veľmi skúseným zamestnancom: nezávislosť audítora je súčasť toho, čo dáva certifikátu hodnotu. Vyberiete si sami, ktorú akreditovanú inštitúciu angažujete.
Čo poradenské kancelário prinesie
Poradenské kancelário nenahradí certifikačnú inštitúciu, ale pomáha v predchádzajúcom kroku: nastavení a usporiadaní ISMS tak, aby mala externá revízia väčšiu šancu na úspech. Môže ísť o štruktúrovanie existujúcej dokumentácie, školenie zamestnancov alebo vedenie internej revízie. Pre podniky bez vlastného IT alebo compliance oddelenia to šetrí hlavne čas: niekto, kto normu pozná, nemusí hľadať každú súčasť znova.
To, či táto úspora času oправdňuje náklady na poradenské kancelário, sa líši podľa organizácie. Podnik s jednou lokalitou a jednoduchým portfóliom aplikácií má kratšiu cestu ako podnik s viacerými pobočkami a mnohými externými stranami v reťazci.
Je ISO 27001 vždy potrebná, alebo existuje alternatíva
Nie každý odberateľ, ktorý si vyžaduje preukázateľnú bezpečnosť informácií, nutne požaduje doslova certifikát ISO 27001. Niektorí zákazníci akceptujú sebahodnotenie, zoznam otázok alebo vyhlásenie o kľúčových opatreniach, najmä ak je váš podnik malý alebo má obmedzený prístup k citlivým údajom zákazníka. Pred zahájením certifikačného procesu je preto rozumné najprv skontrolovať, čo presne váš zákazník požaduje. vysvetlení podľa témy v banke znalostí zobrazuje, aké pojmy sa za takou otázkou často skrývajú a ako spolu súvisia.
Supplia.eu necertifikuje ani nehodnotí nič a preto nemôže určiť, či vaša organizácia spĺňa normu. Čo robíme, je rozpoznanie zoznamu otázok od vášho zákazníka a vyplnenie odpovedí z jedného reťazcového spisu, aby ste nemuseli zakaždým nanovo vysvetľovať, aké opatrenia ste už prijali. S pár otázkami vidíte, kde sa vaša situácia približne nachádza, bez toho aby to niečo hovorilo o samotnom certifikačnom procese.
Čo teraz môžete robiť
Začnite tým, že zistíte, či váš zákazník vyžaduje certifikát alebo mu stačí zdôvodnená odpoveď na zoznam otázok. Potom si pozrite, koľko z ISMS ste už neformálne usporiadali: riziká, kontrola prístupu, zálohy a spracovanie incidentov sú často už čiastočne zavedené, aj bez toho aby to niekto tak nazval. Až keď budete vedieť, čo vám ešte chýba, má zmysel určiť si, či si to vezmete sami alebo si na cestu k certifikačnému orgánu zavoláte poradenský úrad.
Na stránke o tom, ako sa informácie na supplia.eu vytvárajú si môžete prečítať, odkiaľ pochádzajú naše vysvetlenia, aby ste ich mohli konzultovať vedľa oficiálnej normy. Ak si stále nie ste istí, či vaša situácia vyžaduje certifikát, vykonajte bezplatnú rýchlu analýzu alebo si pozrite časté otázky o zoznamoch otázok a dôkazoch ako prvú orientáciu.