ISO/IEC 27005 – tveganja informacijske varnosti
Smernice za oceno in obravnavo tveganj informacijske varnosti v okviru ISO/IEC 27001.
ISO/IEC 27005 je mednarodni standard s smernicami za upravljanje tveganj informacijske varnosti. Podpira postopek ocene in obravnave tveganj, ki ga zahteva ISO/IEC 27001, sam pa ni certifikacijski standard.
Katero težavo rešujemo
Ocena tveganj je izvedena zaradi presoje, ne zaradi odločanja: scenariji so splošni, lastniki tveganj niso določeni in ukrepi iz Izjave o primernosti se ne ujemajo z načrtom obravnave.
Zakaj je to pomembno
Ocena tveganj je izhodišče za izbor kontrol, Izjavo o primernosti in načrt obravnave. Če je šibka, so šibki tudi vsi ukrepi, ki iz nje izhajajo.
Za koga je
- Organizacije, ki uvajajo ali vzdržujejo ISO/IEC 27001.
- Organizacije, ki pred zunanjo presojo preverjajo kakovost ocene tveganj.
- Zavezanci po ZInfV-1 / NIS2, ki morajo dokazati analizo tveganj in izbor ukrepov.
Kaj obsega delo
- Merila za oceno in sprejemanje tveganj ter vloge lastnikov tveganj.
- Identifikacija, analiza in vrednotenje tveganj (pristop po scenarijih ali po virih).
- Načrt obravnave tveganj in povezava z Izjavo o primernosti.
- Sprejem preostalih tveganj s strani vodstva.
- Redno spremljanje in ponovna ocena.
Potek dela
Uvodni pogovor in dogovor o obsegu.
Pregled metodologije, meril, registra tveganj in načrta obravnave.
Preverjanje sledljivosti: tveganje, kontrola, Izjava o primernosti.
Poročilo z ugotovitvami in priporočili.
Kaj potrebujemo od vas
- Dokument metodologije ocene tveganj in merila.
- Register tveganj, načrt obravnave in Izjava o primernosti.
- Seznam informacijskih virov in njihovih lastnikov.
Kaj prejmete
- Poročilo s pregledom ocene tveganj in sledljivosti ukrepov.
- Seznam vrzeli in priporočil po prednosti.
Kaj ni vključeno in kje so meje
- Certifikacija: ISO/IEC 27005 ni certifikacijski standard.
- Izvedba celotne ocene tveganj namesto organizacije.
- Tehnično testiranje ranljivosti in penetracijski testi.
Presojevalec ni certifikacijski organ in ne izdaja certifikatov. Svetovalni pregled in notranja presoja nista zunanja certifikacijska presoja. Besedila standardov so avtorsko zaščitena in so na voljo pri ISO ali nacionalnem standardizacijskem organu. Na strani ni prepisanih zahtev standarda.
Pogosta vprašanja
Ali je ISO/IEC 27005 obvezen za ISO/IEC 27001?
Ne. ISO/IEC 27001 zahteva postopek ocene in obravnave tveganj, ne predpisuje pa metodologije. ISO/IEC 27005 je priporočena podlaga, ne zahteva.
Ali ISO/IEC 27005 pomeni skladnost z NIS2?
Ne samodejno. Pomaga pri analizi tveganj, ki jo zahtevajo ukrepi za obvladovanje tveganj, ostale obveznosti zakona pa je treba presojati posebej.
Ali ocenite tveganja namesto nas?
Ne. Ocena tveganj mora ostati v lasti organizacije, ker lastniki tveganj najbolje poznajo procese. Pregledamo metodologijo in rezultat ter predlagamo izboljšave.
Viri
Zadnja vsebinska preveritev: . Besedilo je strokovni povzetek in ne nadomešča pravnega mnenja ali besedila standarda.
Potrebujete notranjo presojo ali pripravo na ISO?
Opišite organizacijo in cilj. Predlagamo smiseln obseg dela in pripravimo individualno ponudbo, brez obljub o rezultatu certifikacije.