ISO 27001 diegimas informacijos saugumui užtikrinti
Diegiame ISO/IEC 27001:2022 standartą tada, kai organizacijai reikia ne pavienių techninių priemonių, o nuoseklios informacijos saugos vadybos sistemos. Padedame suvaldyti rizikas, apibrėžti kontrolės priemones, parengti reikalingą dokumentaciją ir integruoti saugą į kasdienius procesus taip, kad sistema būtų naudinga realiame darbe.
Kas yra ISO 27001 diegimas ir ką jūs realiai gaunate
ISO 27001 diegimas nėra tik dokumentų rinkinys. Tai veikianti informacijos saugos vadybos sistema, kurioje sauga valdoma per procesus, atsakomybes, rizikų logiką ir tinkamai parinktas kontrolės priemones.
Remiamės tuo, kad ISO/IEC 27001:2022 yra reikalavimų standartas informacijos saugos vadybos sistemai, o ISO 27000 šeimos aprašas jį sieja su platesniu informacijos saugos, kibernetinio saugumo ir privatumo apsaugos kontekstu. Todėl diegime apimame ne tik techninius klausimus, bet ir valdymą, darbuotojų vaidmenis, tiekėjų aspektus, incidentų tvarką, prieigų kontrolę ir įrodymų valdymą.
Klausimas: ar ISO 27001 skirtas tik IT skyriui? Trumpas atsakymas: ne, nes informacijos sauga pagal standartą turi būti integruota į bendrą organizacijos valdymo struktūrą.
Todėl dirbame ne tik su IT komanda. Įtraukiame vadovybę, procesų savininkus, personalo, teisės, pirkimų, kokybės ir operacijų funkcijas, kai jos patenka į jūsų ISMS taikymo sritį. Kibernetinių rizikų valdymas yra ir valdybos bei aukščiausiosios vadovybės atsakomybės klausimas.
Kaip diegiame ISO 27001 Lietuvoje
ISO 27001 diegiame etapais, kad sistema būtų aiški, pagrįsta ir valdoma. Pirmiausia nustatome taikymo sritį, informacijos turto ir procesų ribas, tada atliekame rizikų vertinimą, parenkame kontrolės priemones, rengiame politiką ir tvarkas, organizuojame įgyvendinimą, vidaus peržiūras ir pasirengimą auditui.
Etapai, kuriuos paprastai apimame:
- apibrėžiame ISMS taikymo sritį, suinteresuotas šalis ir svarbiausius informacijos srautus;
- identifikuojame informacijos turtą, prieigos taškus, tiekėjų sąsajas ir svarbiausias rizikas;
- parengiame rizikų vertinimo ir rizikų apdorojimo logiką;
- atrenkame taikytinas kontrolės priemones ir ruošiame Taikomumo deklaraciją (SoA);
- parengiame pagrindines tvarkas, atsakomybes, incidentų, prieigų, tiekėjų ir mokymų logiką;
- padedame atlikti vidaus patikrinimus, vadovybės peržiūrą ir pasirengimą sertifikavimo auditui.
Klausimas: ar diegimą pradedame nuo šablonų? Trumpas atsakymas: ne, nes kontrolės priemonės turi būti parenkamos pagal jūsų realias rizikas ir taikymo sritį.
Dokumentaciją rengiame tik tada, kai aišku, kokią informaciją saugote, kokios grėsmės jums svarbiausios ir kurie procesai iš tiesų patenka į ISMS ribas.
Plačiau apie mūsų vadybos sistemų kryptis skaitykite čia.
Kodėl organizacijoms Lietuvoje reikia ISO 27001
ISO 27001 siūlome tada, kai informacijos sauga jau nebegali būti valdoma vien atskirais techniniais sprendimais. Standartas padeda pereiti prie sistemos, kurioje duomenys, prieigos, tiekėjų ryšiai, incidentai ir atsakomybės vertinami per bendrą rizikos valdymo modelį.
ISO 27000 šeimos aprašas pabrėžia informacijos saugos, kibernetinio saugumo ir privatumo apsaugos svarbą, pabrėžiant vadovų atsakomybę prižiūrint kibernetines rizikas. Todėl ISO 27001 nėra vien techninė tema, o organizacijos valdymo klausimas, ir mes:
- padedame, kai dirbate su jautriais klientų, darbuotojų ar komerciniais duomenimis;
- padedame, kai reikia aiškesnių prieigos, incidentų ir tiekėjų kontrolės taisyklių;
- padedame, kai klientai, partneriai ar pirkimai tikisi brandesnio informacijos saugos valdymo modelio;
- padedame, kai norite susieti informacijos saugą su ISO 9001, ISO 22301 ar kitomis vadybos sistemomis.
Klausimas: ar ISO 27001 reiškia tik sertifikatą? Trumpas atsakymas: ne, nes pirmiausia tai yra valdymo sistema, kuri turi veikti organizacijos viduje dar iki sertifikavimo.
Kaip dirbame su A priedo (Annex A) kontrolėmis
A priedo kontroles laikome atrankos ir pagrindimo sistema, o ne kontroliniu sąrašu, kurį reikia pažymėti mechaniškai. ISO 27001:2022 aplinkoje kontrolės priemonės turi būti susietos su rizikų vertinimu, o jų įtraukimas ar neįtraukimas turi būti aiškiai pagrįstas Taikomumo deklaracijoje.
Praktiniame darbe svarbu atskirti organizacines, žmonių, fizines ir technologines kontrolės priemones. Tokia keturių grupių logika tiksliai atitinka 2022 m. atnaujintą standarto struktūrą.
| Kontrolės sritis | Ką joje tikriname | Ką tai reiškia praktikoje |
|---|---|---|
| Organizacinės | Politikas, atsakomybes, klasifikavimą, tiekėjų ir prieigų valdymo logiką | Užtikriname, kad sauga būtų aprašyta, paskirstyta ir prižiūrima ne tik techniniu lygiu |
| Žmonių | Mokymus, informuotumą, konfidencialumo pareigas, incidentų pranešimą | Mažiname riziką, kuri kyla ne iš technologijos, o iš elgsenos ir nežinojimo |
| Fizinės | Patalpas, įrangą, ekranų ir darbo vietų apsaugą, įrangos priežiūrą | Saugome ne tik sistemas, bet ir vietas, kuriose informacija naudojama ar laikoma |
| Technologinės | Prieigas, registravimą, stebėseną, atsargines kopijas, tinklo apsaugą | Siekiame, kad techninės priemonės būtų parinktos pagal realias rizikas, o ne vien pagal bendrą praktiką |
Kam šis diegimas tinka ir kam netinka
ISO 27001 diegimas tinka toms organizacijoms, kurioms svarbu informacijos saugą valdyti sistemiškai. Jis naudingas tada, kai reikia ne bendro kibernetinio saugumo patarimo, o aiškaus vadybos modelio su atsakomybėmis, rizikų logika, kontrolės priemonėmis ir auditui tinkamais įrodymais.
Kam tinka:
- tinka, kai tvarkote jautrią informaciją ir norite aiškesnių saugos taisyklių;
- tinka, kai klientai ar partneriai klausia apie informacijos saugos valdymą;
- tinka, kai reikia susieti informacijos saugą su kitomis vadybos sistemomis;
- tinka, kai norite pasirengti sertifikavimui be perteklinės dokumentų naštos.
Kam netinka:
- netinka, kai ieškote vien tik techninio IT projekto be vadybos sistemos;
- netinka, kai norite greito dokumentų paketo neįvertinę realių rizikų;
- netinka, kai organizacija neplanuoja skirti atsakomybių, laiko ir vadovybės dėmesio.
Kuo ISO 27001 skiriasi nuo kitų sprendimų
ISO 27001 verta rinktis tada, kai reikia valdymo sistemos, o ne tik pavienių kontrolės priemonių. Todėl svarbu aiškiai atskirti, kada tinkamesnė informacijos saugos vadybos sistema, o kada pakanka siauresnio vertinimo ar bendresnio ISO modelio.
| Sprendimas | Kada jį siūlome | Ką jūs gaunate | Kada jo nepakanka |
|---|---|---|---|
| ISO 27001 diegimas | Kai reikia sistemiškai valdyti informacijos saugą | ISMS struktūrą, rizikų vertinimą, kontrolės priemones, SoA logiką ir pasirengimą auditui | Kai jums reikia tik siauro techninio pataisymo vienoje sistemoje |
| Kibernetinio saugumo techninis projektas | Kai reikia konkretaus techninio sprendimo, pavyzdžiui, tinklo ar prieigų stiprinimo | Techninį pagerinimą konkrečioje srityje | Kai reikia organizacijos masto valdymo sistemos, politikų ir rizikų modelio |
| ISO 9001 diegimas | Kai pagrindinis tikslas yra procesų, kokybės ir atsakomybių valdymas plačiąja prasme | Procesinį valdymą ir kokybės sistemos discipliną | Kai pagrindinis klausimas yra informacijos sauga, incidentai, prieigos ir saugos kontrolės |
Ką siūlome daryti toliau
Siūlome pradėti nuo aiškaus ISMS ribų ir rizikų vaizdo, nes be jo ISO 27001 diegimas dažnai virsta bendrų dokumentų rinkiniu. Praktinis pirmas žingsnis yra nustatyti, kuri informacija, procesai, tiekėjai ir prieigos jums šiuo metu kelia didžiausią riziką. ISO 27001 yra ISMS reikalavimų standartas, todėl logiška pradėti nuo taikymo srities ir rizikų:
- kartu apibrėžiame, kokia organizacijos dalis patenka į ISO 27001 taikymo sritį;
- identifikuojame svarbiausią informaciją, procesus, sistemas ir atsakomybes;
- pasirenkame rizikų vertinimo metodiką ir kontrolės priemonių atrankos logiką;
- sudarome įgyvendinimo seką taip, kad sistema būtų realiai valdoma ir pasirengusi auditui.
Dažniausi klausimai
Ar ISO 27001 tinka tik didelėms įmonėms?
Ne, nes ISO nurodo, kad standartas gali būti taikomas įvairių tipų ir dydžių organizacijoms.
Diegimą planuojame pagal jūsų procesų apimtį, rizikas ir taikymo sritį, o ne pagal vienodą iš anksto paruoštą modelį.
Ar ISO 27001 galima derinti su ISO 9001 ar ISO 22301?
Taip, ISO 27001 logiškai gali būti integruojamas su kitomis valdymo sistemomis.
Toks derinimas naudingas tada, kai svarbu sujungti kokybės, veiklos tęstinumo ir informacijos saugos valdymą į nuoseklesnę bendrą struktūrą.
Ar sertifikavimui pakanka vien politikų ir procedūrų?
Ne, nes sistema turi būti ne tik aprašyta, bet ir įgyvendinta bei pagrįsta įrodymais. ISO 27001 nustato ISMS reikalavimus, todėl vien dokumentų rinkinio nepakanka.
Dėl to daug dėmesio skiriame atsakomybėms, įrašams, vidaus peržiūroms, kontrolės priemonių veikimui ir vadovybės įsitraukimui.
Ar visas Annex A kontrolės priemones reikia taikyti be išimties?
Ne, nes jų taikymas turi būti pagrįstas rizikų vertinimu ir Taikomumo deklaracijos (SoA) logika.
Kartu pagrindžiame, kurios kontrolės priemonės taikomos, kurios netaikomos ir kokiais argumentais tai paremta jūsų organizacijos kontekste.