Küsimus ISO 27001 kohta väikeettevõttes tuleb tavaliselt väljastpoolt, mitte seestpoolt. Suur klient saadab tarnijaküsimustiku reaga „Kas teil on ISO 27001 sertifikaat?“. Või ilmub nõue riigihanke tingimustesse ja pakkumist, mis seda ei täida, ei hinnatagi. Siis hakkab juht arvutama: kas see tasub end ära, kui palju aega võtab ja kas on lihtsamat teed?
Vastus sõltub sellest, kes sertifikaati vajab ja mida klient tegelikult ootab. Mõne ettevõtte jaoks avab sertifikaat turge, mis muidu jääksid suletuks. Teistel piisab sellest, et turvalisus on standardi järgi korda tehtud ja seda saab tõendada ilma sertifitseerimisasutuse templita.
Selles artiklis selgitame, mis ISO 27001 tegelikult on, millal sertifikaat on vajalik, millised etapid ees ootavad ja kui kaua need 20 kuni 100 töötajaga ettevõttel realistlikult aega võtavad.
Mis on ISO 27001 ja mida tähendab ISMS
ISO 27001 on infoturbe juhtimise rahvusvaheline standard. See ei nõua konkreetset tehnoloogiat ega tarkvara. See nõuab, et ettevõttel oleks toimiv infoturbe juhtimissüsteem (ISMS).
ISMS ei ole programm ega poliitikate kaust. See on viis, kuidas ettevõte pidevalt vastab neljale küsimusele: millist infot me kaitseme, mis seda ohustab, mida me teeme, et ohud ei realiseeruks, ja kuidas me teame, et see töötab. Standard määrab, kuidas see tsükkel peab olema korraldatud, ning lisa kontrollide loeteluga (organisatsioonilised, inimesed, füüsilised ja tehnoloogilised) annab menüü konkreetsetest meetmetest, millest ettevõte valib oma riskide järgi.
Väikeettevõttele on oluline: standard on proportsionaalne. Kümne inimesega tarkvaraarendaja ISMS võib mahtuda tosina dokumendi ja ühe riskiregistri sisse. Eraldi turvaosakonda keegi ei nõua.
Millal sertifikaati päriselt vaja on
Sertifikaat on sõltumatu sertifitseerimisasutuse kinnitus, et teie ISMS vastab standardile. Seda on vaja siis, kui keegi väljastpoolt nõuab täpselt seda, mitte teie sõna.
- Kliendi nõuded. Suured ettevõtted, eriti finantsvaldkonnas, telekommunikatsioonis ja rahvusvahelistes kontsernides, nõuavad üha sagedamini sertifikaati tarnijatelt, kes käsitlevad nende andmeid või ühenduvad nende süsteemidega. Ilma selleta võtab tarnija hindamine kuid või ei toimu üldse.
- Hanked. Avalikel ja erasektori hangetel on sertifikaat sageli kvalifitseerimisnõue. Ilma selleta lükatakse pakkumine tagasi ilma hindamata.
- Eksport. IT-teenuste või tarkvara müümisel Skandinaaviasse, Saksamaale või Ühendkuningriiki on sertifikaat sageli esimene küsimus, mille ostja turvameeskond esitab.
- Reguleeritud kliendid. Kui teie kliendid kuuluvad NIS2 või DORA alla, peavad nad hindama oma tarnijate turvalisust ning sertifikaat teeb selle hindamise palju lihtsamaks.
Kui ükski neist juhtudest teie kohta ei kehti, võib sertifikaat olla kallis märk, mida keegi ei küsi.
Millal piisab töötamisest „nõuete järgi“
Märkimisväärne osa ettevõtetest valib keskmise tee: nad juurutavad ISMSi standardi järgi, kuid ei sertifitseeri seda. See on mõistlik, kui kliendid küsivad mitte sertifikaati, vaid tõendeid, et turvalisust juhitakse: poliitikad, riskihindamine, intsidentide protseduur, varukoopiate testid.
See tee on odavam ja kiirem, sest sertifitseerimisaudit ja iga-aastased järelevalveauditid jäävad ära. Ettevõte saab peaaegu kogu kasu: korra, selged vastutusalad, vähem intsidente ja valmisoleku vajaduse korral hiljem sertifitseerida. MDP CLOUD osutab ise oma teenuseid kooskõlas ISO 27001 nõuetega, nii et täidame kliendiküsimustikke olemasolevate dokumentide põhjal, mitte ei kirjuta vastuseid nullist.
Oluline on mitte ennast petta: „nõuete järgi“ tähendab, et ISMS tõesti töötab. Kui see on vaid poliitikate komplekt, mida keegi ei järgi, paljastab selle esimene tõsine kliendiaudit.
Hea kompromiss on juurutada ISMS nii, et sertifitseerimine jääb võimalikuks mõne kuuga, kui ilmub klient, kes seda vajab. Siis muutub otsus sertifitseerida ärilisest, mitte kiireloomuliseks projektiks.
Etapid ja realistlik ajakava
Nullist alustava väikeettevõtte tee sertifikaadini võtab tavaliselt kuus kuni kaksteist kuud. Siin on etapid ja nende ligikaudne kestus meie kogemuse järgi.
Ulatuse määramine ja lüngaanalüüs (2 kuni 4 nädalat)
Määrate, mis kuulub ISMSi alla: kogu ettevõte või ainult üks teenus, millised kontorid, süsteemid ja tarnijad. Seejärel võrreldakse praegust seisu standardi nõuetega. Tulemuseks on selge nimekiri sellest, mis puudu on.
Riskihindamine ja kontrollide valik (4 kuni 6 nädalat)
Koostatakse varade register, hinnatakse riske, valitakse kontrollid ja koostatakse kohaldatavuse avaldus. See on kõige olulisem etapp, sest see määrab, kui palju dokumente ja tehnilisi meetmeid vaja läheb. Riskihindamist teeme sageli eraldi tööna, ka siis, kui ettevõte pole veel sertifitseerimise üle otsustanud.
Dokumentatsioon ja meetmete juurutamine (2 kuni 4 kuud)
Kirjutatakse poliitikad ja protseduurid ning juurutatakse tehnilised meetmed: mitmikautentimine, lõppseadmete kaitse, varukoopiate eraldamine, ligipääsuõiguste ülevaatused, logide kogumine. Suurem osa tööst langeb siin IT-teenusepakkujale.
Toimimisperiood (vähemalt 2 kuni 3 kuud)
Sertifitseerimisauditeerija kontrollib kirjeid: intsidentide logi, ligipääsuõiguste ülevaatused, koolituste kirjed, juhtkonna ülevaatuse tulemused. Kirjed peavad koguneda, seega peab ISMS enne auditit mõnda aega töötama. Seda etappi ei saa lühendada.
Siseaudit, juhtkonna ülevaatus ja sertifitseerimisaudit (1 kuni 2 kuud)
Tehakse siseaudit, juhtkond vaatab süsteemi üle ja teeb otsused, seejärel toimub kaheastmeline sertifitseerimisaudit: dokumentatsioon ja toimimine. Pärast edukat auditit antakse sertifikaat kolmeks aastaks koos iga-aastaste järelevalveauditite.
Kõige sagedasemad vead
Esiteks ostetakse dokumendimallid ja nimetatakse need lihtsalt ümber. Poole tunni jooksul näeb auditeerija, et poliitika mainib osakondi, mida ettevõttel ei ole. Teiseks valitakse ulatus liiga lai. Kui sertifikaati on vaja ühe teenuse jaoks, pole vaja kogu ettevõtet ISMSi kaasata. Kolmandaks osaleb juhtkond ainult allkirjastamisega. Standard nõuab juhtkonna ülevaatust päris otsustega ja auditeerija küsitleb just juhti. Neljandaks jäetakse tehniline osa viimaseks kuuks, kuigi varukoopiate eraldamine või ligipääsude korrastamine võib võtta rohkem aega kui dokumendid.
Mida teeb IT-teenusepakkuja ja mida ettevõte
Selge tööjaotus säästab kõige rohkem aega.
IT-teenusepakkuja: tehniliste kontrollide ja nende tõendite juurutamine, varukoopiate ja taastamise testid, haavatavuste haldus, ligipääsude haldamine, logide kogumine, tehnilised poliitikad ja protseduurid, valmistumine auditi tehniliseks osaks. Kui IT-tugi on juba allhangitud, peaks suurem osa neist kuuluma IT-tugiteenusesse.
Ettevõte ise: otsused ulatuse ja riskiisu kohta, infoomanike määramine, töötajate koolitus ja selle kirjed, personaliprotseduurid (töölevõtmine, töölt lahkumine, konfidentsiaalsus), tarnijalepingud, juhtkonna ülevaatus. Pakkuja ei saa neid teie eest teha, sest auditeerija kontrollib, et ettevõte juhib oma turvalisust ise.
Kust alustada
- Küsige endalt, kes sertifikaati vajab. Kui on konkreetne klient või hange, märkige selle tähtaeg: arvestate sellest tagasi.
- Määrake ulatus nii kitsaks, kui see veel kliendi jaoks mõtet omab.
- Tellige lüngaanalüüs ja riskihindamine. See annab teile ennustuste asemel päris ülesannete nimekirja ja kestuse.
- Parandage tehnilised alused kohe, dokumente ootamata: autentimine, kaitse, varukoopiad.
- Määrake ettevõttes vastutav isik. Kui kedagi pole, tagab CISO teenusena, et ISMSil on omanik ilma lisatöötajat palkamata.
Meie meeskond, kellel on kehtivad ISACA sertifikaadid, aitab nii sertifitseerimisel kui ka lihtsalt turvalisuse nõuete järgi korda tegemisel. Esimeses vestluses ütleme ausalt, milline tee teie puhul rohkem mõtet omab.
