Priprava na certifikacijsko presojo ISO 27001: kontrolni seznam

Kaj pomeni biti pripravljen

Pripravljenost na certifikacijo ni stanje, v katerem so vsi dokumenti napisani. Pomeni, da sistem upravljanja informacijske varnosti deluje: tveganja so ocenjena, kontrole uvedene, ljudje vedo, kaj delati, in obstajajo zapisi, ki to dokazujejo. Certifikacijski presojevalec pregleduje prav te dokaze.

Spodnji seznam sledi strukturi standarda ISO/IEC 27001 in je namenjen začetni orientaciji. Ne nadomešča pregleda posameznega okolja.

1. Obseg in kontekst

• Obseg sistema je jasno opredeljen: lokacije, procesi, sistemi, organizacijske enote.
• Zainteresirane strani in njihove zahteve (zakonske, pogodbene) so popisane.
• Izključitve iz obsega so utemeljene in ne zmanjšujejo zaupanja v sistem.

2. Vodenje in politika

• Politika informacijske varnosti je odobrena in dostopna.
• Vloge in odgovornosti so določene in dodeljene.
• Vodstvo lahko pojasni, kako sodeluje pri sistemu, ne le, da ga je odobrilo.

3. Tveganja

• Metodologija ocenjevanja tveganj je dokumentirana in dosledno uporabljena.
• Register tveganj je ažuren, lastniki tveganj imenovani.
• Načrt obravnave tveganj je pripravljen in vodstvo je sprejelo preostala tveganja.
• Izjava o uporabnosti vsebuje vseh 93 kontrol iz Priloge A (izdaja 2022) z utemeljitvijo uvedbe ali izključitve.

4. Kontrole in dokazi

Za izbrane kontrole preverite, ali lahko pokažete dokaz o delovanju. Nekaj primerov:

• Dostopi: pregled pravic in zapisi o odvzemu dostopa ob odhodu zaposlenega.
• Varnostne kopije: dnevniki kopiranja in zapisnik preizkusa obnove.
• Dobavitelji: ocena in pogodbene zahteve za ključne dobavitelje.
• Incidenti: postopek, register incidentov in zapisi o odzivu.
• Ozaveščanje: zapisi o usposabljanjih in seznam udeležencev.
• Spremembe: zapisi o odobritvah in preizkusih.

5. Notranja presoja

• Program presoj je pripravljen.
• Presoja je bila izvedena pred certifikacijsko presojo, ne tik pred njo.
• Presojevalec je bil objektiven in nepristranski.
• Poročilo je predano vodstvu, ugotovitve imajo korektivne ukrepe z roki.

Več o tem v članku kaj je notranja presoja ISO 27001.

6. Vodstveni pregled

Točka 9.3 zahteva, da vodstvo v načrtovanih presledkih pregleda sistem. Pregled naj upošteva stanje ukrepov iz prejšnjih pregledov, spremembe v kontekstu, rezultate spremljanja in meritev, rezultate presoj, povratne informacije zainteresiranih strani, rezultate ocene tveganj in priložnosti za izboljšave. Zapisnik naj vsebuje sklepe in odločitve, ne zgolj seznam tem.

7. Neskladnosti in izboljševanje

• Neskladnosti so zabeležene z analizo vzroka.
• Korektivni ukrepi so izvedeni in njihova učinkovitost je preverjena.
• Sistem kaže, da se izboljšuje, ne le, da vzdržuje stanje.

8. Ljudje

Presojevalec bo pogosto izbral naključne zaposlene in jih vprašal, kaj vedo o politiki, svojih odgovornostih in poročanju incidentov. Pripravite jih, vendar ne s pripravljenimi odgovori. Cilj je razumevanje, ne učenje na pamet.

9. Praktični koraki pred presojo

1. Naredite GAP analizo ali samooceno, če stanja ne poznate.
2. Odpravite ugotovljene vrzeli po prednostnem vrstnem redu.
3. Izvedite notranjo presojo in vodstveni pregled.
4. Zaprite korektivne ukrepe.
5. Uskladite termin s certifikacijskim organom.
6. Preverite logistiko: dostop do dokazov, razpoložljivost ljudi, prostori.

Česa priprava ne zagotavlja

Ne zagotavlja certifikata. Certifikat izda akreditiran certifikacijski organ na podlagi lastne presoje. Priprava ne more nadomestiti dejanskega delovanja sistema. Če določenih kontrol ni, jih je treba uvesti, ne le zapisati.

Priporočamo tudi ločitev vlog: tisti, ki vas pripravlja, ne bi smel izvajati notranje presoje istega sistema.

Naslednji korak

Za hiter vpogled v stanje izpolnite brezplačno samooceno. Za podrobnejšo pomoč si oglejte pripravo na ISO 27001 in notranje presoje ISO 27001. Za individualno ponudbo pošljite povpraševanje.