ISO IEC 27001 padeda organizacijai sistemingai valdyti informacijos saugos rizikas ir apsaugoti verslui svarbią informaciją, sistemas, paslaugas bei duomenis. Standartas skirtas ne vien IT skyriui. Jis apima vadovybės sprendimus, darbuotojų atsakomybes, tiekėjus, prieigos teises, incidentus, veiklos tęstinumą, fizinę saugą ir technologines kontrolės priemones. Businesstage diegimo metu standarto reikalavimus susiejame su realiais procesais, kad informacijos saugos vadybos sistema veiktų praktiškai ir būtų parengta nepriklausomam sertifikavimo auditui.
Kas yra ISO IEC 27001
ISO IEC 27001:2022 yra tarptautinis informacijos saugos vadybos sistemos standartas. Jis nustato, kaip organizacija turi įvertinti savo kontekstą, informacijos saugos rizikas, parinkti rizikų valdymo priemones, stebėti jų veiksmingumą ir nuolat gerinti sistemą. Standarto logika remiasi konfidencialumu, vientisumu ir prieinamumu: informacija turi būti prieinama tik tiems, kam ji reikalinga, apsaugota nuo neteisėto pakeitimo ir pasiekiama tada, kai jos reikia veiklai. Galiojančiai ISO IEC 27001:2022 redakcijai taikomas ir 2024 m. klimato veiksmų pakeitimas, todėl organizacijos kontekste įvertinama, ar klimato kaita yra aktualus veiksnys vadybos sistemai.
Kam aktualus ISO IEC 27001 sertifikavimas
ISO IEC 27001 aktualus organizacijoms, kurios valdo klientų, darbuotojų, partnerių ar savo verslo informaciją ir kurioms informacijos praradimas, nutekėjimas, pakeitimas ar sistemų nepasiekiamumas galėtų turėti reikšmingų pasekmių. Standartą dažnai diegia IT ir SaaS įmonės, debesijos paslaugų teikėjai, finansų, sveikatos, gamybos, logistikos, konsultacijų bei profesionalių paslaugų organizacijos. Jis taip pat svarbus tiekėjams, kuriems informacijos saugos vadybos sistemos reikalauja tarptautiniai klientai, konkursai ar tiekimo grandinių partneriai. Sertifikatas gali būti reikšmingas pasitikėjimo įrodymas, tačiau svarbiausia yra realiai sumažinta informacijos saugos rizika.
GAP analizė ir sistemos apimtis
Diegimą pradedame nuo esamos situacijos įvertinimo. Analizuojame organizacijos procesus, naudojamas sistemas, duomenų tipus, esamas politikas, prieigos valdymą, incidentų procesą, atsargines kopijas, tiekėjus ir kitus jau veikiančius kontrolės mechanizmus. Kartu nustatome informacijos saugos vadybos sistemos taikymo sritį. Ji turi būti aiški, pagrįsta ir atitikti realią organizacijos veiklą. GAP analizė parodo, kas jau įgyvendinta, kur yra spragų ir kokie darbai turi būti prioritetiniai, todėl išvengiama perteklinės dokumentacijos ir nereikalingų kontrolės priemonių.
Informacijos saugos rizikų vertinimas ir valdymas
Rizikų valdymas yra ISO IEC 27001 sistemos pagrindas. Kartu nustatome svarbų informacinį turtą, procesus, grėsmes, pažeidžiamumus ir galimas pasekmes. Parengiame rizikų vertinimo metodiką, kuri būtų suprantama ir praktiškai naudojama. Įvertinus rizikas sudaromas rizikų apdorojimo planas, kuriame nusprendžiama, kokias rizikas reikia mažinti, priimti, išvengti ar perduoti. Kontrolės priemonių pasirinkimas grindžiamas konkrečia organizacijos rizika ir taikomais reikalavimais, o ne mechanišku visų galimų priemonių diegimu.
Taikomumo pareiškimas ir Annex A kontrolės priemonės
Vienas svarbiausių ISO IEC 27001 dokumentų yra Taikomumo pareiškimas, dažnai žymimas SoA. Jame organizacija nurodo taikomas informacijos saugos kontrolės priemones ir jų pagrindimą. ISO IEC 27001:2022 Annex A pateikia 93 kontrolės priemones, suskirstytas į organizacines, žmonių, fizines ir technologines kategorijas. Jos naudojamos kaip kontrolinis atskaitos taškas, tačiau rizikų valdymas neturi apsiriboti vien Annex A sąrašu. Businesstage padeda SoA susieti su rizikų vertinimu, realiomis kontrolėmis ir audito įrodymais.
Kokias informacijos saugos sritis padedame sutvarkyti
Diegimo metu peržiūrime prieigos teisių valdymą, naudotojų administravimą, privilegijuotas paskyras, informacijos klasifikavimą, atsargines kopijas, žurnalų ir įvykių stebėseną, pažeidžiamumų bei atnaujinimų valdymą, saugų sistemų keitimą, fizinę prieigą, nuotolinį darbą, mobiliuosius įrenginius ir darbuotojų saugos atsakomybes. Atskiras dėmesys skiriamas tiekėjams ir debesijos paslaugoms, nes svarbi informacija dažnai valdoma už organizacijos ribų. Taip pat sutvarkome incidentų registravimo, reagavimo, analizės ir mokymosi procesą bei jo sąsajas su veiklos tęstinumu.
Dokumentacija, mokymai ir sistemos veikimas
ISO IEC 27001 neturi virsti dideliu politikų rinkiniu, kurio darbuotojai neskaito. Rengiame tiek dokumentuotos informacijos, kiek reikia atsakomybėms, procesams, kontrolėms ir įrodymams valdyti. Tai gali būti informacijos saugos politika, rizikų metodika, prieigos valdymo taisyklės, incidentų procesas, tiekėjų saugos reikalavimai ir kiti aktualūs dokumentai. Darbuotojų mokymas ne mažiau svarbus už technines priemones, todėl paaiškiname atsakomybes, saugaus darbo principus, incidentų pranešimą ir kasdienes rizikas.
Vidaus auditas ir pasirengimas sertifikavimui
Kai pagrindiniai sistemos elementai įdiegti ir veikia, atliekamas vidaus auditas. Jo metu tikriname, ar kontrolės priemonės realiai vykdomos, ar yra pakankamai įrodymų, ar rizikų valdymo sprendimai veikia ir ar darbuotojai supranta savo atsakomybes. Taip pat parengiama vadovybės vertinamoji analizė, peržiūrimi informacijos saugos tikslai, incidentai, auditų rezultatai, rizikos ir gerinimo veiksmai. Businesstage nėra sertifikavimo įstaiga. Mes padedame sukurti sistemą ir pasirengti auditui, o sertifikavimo sprendimą priima nepriklausoma sertifikavimo įstaiga.
Ką gauna organizacija
Po projekto organizacija turi aiškią sistemos apimtį, rizikų vertinimo metodiką, rizikų registrą, rizikų apdorojimo planą, Taikomumo pareiškimą, reikalingas politikas ir procedūras, atsakomybių modelį bei veikiančias kontrolės priemones. Taip pat būna atliktas vidaus auditas, parengta vadovybės analizė ir darbuotojai pasiruošę sertifikavimo auditui. Svarbiausias rezultatas yra organizacijos gebėjimas nuosekliai suprasti, valdyti ir mažinti informacijos saugos rizikas.
Dažniausiai užduodami klausimai
Ne. Standartas taikomas bet kokiai organizacijai, kuriai svarbi informacijos apsauga. Technologinės priemonės yra tik viena sistemos dalis. Ne mažiau svarbūs žmonės, procesai, fizinė sauga, tiekėjai ir vadovybės sprendimai.
Ne. Kontrolės priemonės parenkamos pagal organizacijos informacijos saugos rizikas ir kitus taikomus reikalavimus. Annex A padeda patikrinti, ar vertinant rizikas nebuvo praleistos reikalingos kontrolės sritys.
Taip. ISO IEC 27001 galima integruoti su ISO 9001, ISO 22301, ISO IEC 20000-1 ir kitomis vadybos sistemomis. Bendri procesai gali apimti rizikų valdymą, dokumentų kontrolę, vidaus auditus, korekcinius veiksmus ir vadovybės analizę.
Jeigu planuojate pirmą kartą diegti ISO IEC 27001:2022, atnaujinti esamą informacijos saugos sistemą arba pasirengti sertifikavimo auditui, Businesstage gali pradėti nuo esamos situacijos ir rizikų valdymo brandos įvertinimo. Pagal rezultatus parengiame konkretų diegimo planą ir padedame sukurti praktišką, valdomą bei sertifikavimui parengtą informacijos saugos vadybos sistemą.