Priprava na ISO/IEC 27001
Praktična priprava organizacije na vzpostavitev sistema upravljanja informacijske varnosti in na presojo, brez obljube certifikata.
Priprava na ISO/IEC 27001 je niz korakov, s katerimi organizacija vzpostavi in dokaže delovanje sistema upravljanja informacijske varnosti (ISMS): od ocene izhodišča in določitve obsega do ocene tveganj, izjave o uporabnosti, zapisov ter priprave na notranjo in zunanjo presojo.
Katero težavo rešujemo
Organizacija želi certifikat ali ga zahteva stranka, vendar ne ve, kje začeti, koliko je že urejenega in kaj mora pokazati presojevalcu. Dokumenti nastajajo brez povezave s tveganji, zapisi manjkajo, vodstvo pa ni vključeno.
Zakaj je to pomembno
Standard ne zahteva zgolj dokumentov, ampak delujoč sistem z vodstvom, tveganji in dokazili. Kdor začne brez jasnega obsega in ocene tveganj, pogosto piše dokumentacijo, ki je ne uporablja nihče, in jo mora pred presojo predelati.
Za koga je
- Podjetja, ki ISO/IEC 27001 uvajajo prvič, običajno zaradi zahteve naročnikov ali razpisov.
- Organizacije z delno urejeno varnostjo, ki jo želijo uskladiti s standardom.
- Ponudniki storitev, ki morajo naročnikom dokazati zrelost upravljanja informacijske varnosti.
- Podjetja pred prvo certifikacijsko ali ponovno presojo, ki želijo odpraviti vrzeli.
Kaj obsega delo
- Ocena izhodiščnega stanja glede na zahteve standarda in obstoječe ukrepe.
- GAP analiza z razvrščenimi vrzelmi in načrtom izboljšav.
- Opredelitev obsega ISMS, zainteresiranih strani in meja sistema.
- Podpora pri politikah, postopkih in vlogah ter odgovornostih.
- Popis informacijskih sredstev in določitev lastnikov.
- Ocena tveganj in načrt obravnave tveganj.
- Izjava o uporabnosti (Statement of Applicability) z utemeljitvijo izbire kontrol.
- Podpora pri zapisih, ozaveščanju zaposlenih in notranjih postopkih.
- Priprava na notranjo presojo in pregled vodstva.
- Priprava na zunanjo certifikacijsko presojo: pregled dokazil, vaja intervjujev, odprava vrzeli.
Potek dela
Uvodni pogovor: cilj, rok, obseg in morebitna zahteva naročnika ali razpisa.
Ocena izhodišča in GAP analiza.
Določitev obsega, vlog in plana dela z odgovornimi osebami.
Popis sredstev, ocena tveganj in načrt obravnave.
Izjava o uporabnosti ter priprava politik, postopkov in zapisov.
Ozaveščanje zaposlenih in zbiranje dokazil o delovanju sistema.
Notranja presoja in pregled vodstva (po načelu nepristranskosti).
Priprava na zunanjo presojo in odprava preostalih vrzeli.
Kaj potrebujemo od vas
- Trajanje priprave je odvisno od obsega, velikosti organizacije, zrelosti obstoječih ukrepov in razpoložljivosti vodstva ter lastnikov procesov. Okvirnega števila mesecev brez poznavanja izhodišča ne navajamo.
- Organizacija mora sama imenovati lastnike tveganj in sredstev, zagotoviti čas zaposlenih in sprejemati odločitve vodstva. Mi pripravimo okvir, vsebino in kakovost zapisov, ne moremo pa odločati namesto vodstva.
- Tehnični ukrepi (omrežje, dostopi, varnostne kopije, nadzor) se uvedejo ločeno in jih izvede ali preveri tehnična ekipa.
Kaj prejmete
- Poročilo o izhodiščnem stanju in GAP analiza z razvrščenimi vrzelmi.
- Opredelitev obsega ISMS.
- Popis sredstev in register tveganj z načrtom obravnave.
- Izjava o uporabnosti.
- Osnutki politik in postopkov, prilagojeni organizaciji.
- Seznam zapisov in dokazil za presojo.
- Načrt priprave na notranjo in zunanjo presojo.
Dokumentacija mora služiti sistemu
Standard zahteva dokumentirane informacije, ki so potrebne za delovanje sistema, ne čim več dokumentov. Zato politike in postopke pripravimo na podlagi ocene tveganj in dejanskih procesov, ne iz splošnih predlog.
Plačljivega besedila standarda ne povzemamo in ne ponatiskujemo. Za zahteve v celoti uporabite uradno izdajo standarda.
Kaj ni vključeno in kje so meje
- Izdaje certifikata. To dela samo akreditiran certifikacijski organ.
- Zagotovila ali obljube, da bo certifikacijska presoja uspešna.
- Neodvisne notranje presoje sistema, ki smo ga pomagali pripraviti.
- Izvedbe tehničnih varnostnih ukrepov v vašem okolju, če ni posebej dogovorjeno.
- Pravnega mnenja o skladnosti z zakonodajo.
Certifikat izda samo akreditiran certifikacijski organ, ki ga izbere naročnik. Presojevalec ni certifikacijski organ in certifikatov ne izdaja. Priprava ne zagotavlja uspešne certifikacijske presoje. Sistema, ki smo ga pomagali pripraviti, sami ne presojamo kot neodvisni presojevalec. Notranjo presojo istega sistema opravi druga oseba ali tretja stran, to pa se zapiše že v presojevalnem načrtu.
4secnet.com. Ob dokumentaciji so pogosto potrebni tudi tehnični ukrepi, npr. nadzor dostopov, varnostne kopije ali spremljanje dogodkov. Za njih je namenjena stran 4secnet.com, ki jo upravlja isti upravljavec.
Pogosta vprašanja
Kako poteka priprava na ISO 27001?
Začne se z oceno izhodišča in GAP analizo, nato sledijo obseg, popis sredstev, ocena tveganj, izjava o uporabnosti, politike in zapisi. Nato se sistem preveri z notranjo presojo in pregledom vodstva, sledi priprava na zunanjo presojo.
Koliko časa traja priprava na certifikacijo?
Odvisno je od obsega, velikosti organizacije, obstoječe zrelosti in časa, ki ga lahko namenijo vodstvo in lastniki procesov. Realno oceno naredimo po uvodnem pogovoru in GAP analizi, ne vnaprej.
Ali priprava zagotavlja certifikat?
Ne. Pripravo opravimo, da je organizacija pripravljena na presojo, odločitev o certificiranju pa sprejme izključno akreditiran certifikacijski organ, ki ga izberete sami.
Ali lahko isti izvajalec pripravi sistem in ga tudi neodvisno presodi?
Nepristranskost je pri tem ogrožena. Sistema, ki smo ga pomagali pripraviti, ne presojamo kot neodvisni presojevalec. Notranjo presojo opravi druga oseba ali tretja stran, kar se zapiše v presojevalnem načrtu.
Kaj mora organizacija pripraviti sama?
Imenovati mora odgovorne osebe, določiti lastnike sredstev in tveganj, zagotoviti čas zaposlenih in omogočiti dostop do informacij. Odločitve o sprejemljivosti tveganj sprejme vodstvo.
Viri
- ISO: ISO/IEC 27001 – informacijska varnost, kibernetska varnost in varstvo zasebnosti (odpre se v novem zavihku)
- ISO: ISO 19011 – smernice za presojanje sistemov vodenja (odpre se v novem zavihku)
- SIST – Slovenski inštitut za standardizacijo (odpre se v novem zavihku)
Zadnja vsebinska preveritev: . Besedilo je strokovni povzetek in ne nadomešča pravnega mnenja ali besedila standarda.
Potrebujete notranjo presojo ali pripravo na ISO?
Opišite organizacijo in cilj. Predlagamo smiseln obseg dela in pripravimo individualno ponudbo, brez obljub o rezultatu certifikacije.