ISO/IEC 27001 svetovanje za ISMS, tveganja, kontrole in dokazila.
ISO/IEC 27001 je mednarodni standard za sistem upravljanja informacijske varnosti. CISOaaS pomaga vzpostaviti ISMS, izvesti analizo tveganj, urediti politike, kontrole, dokazila in pripravljenost na presojo.
Ključna področja
ISMS mora biti uporaben v praksi, ne samo v dokumentih.
Obseg ISMS
Določimo poslovne storitve, lokacije, sisteme, procese, dobavitelje in meje sistema.
Analiza tveganj
Vzpostavimo metodo, register tveganj, kriterije in povezavo s kontrolami.
Kontrole in Annex A
Kontrole povežemo z dejanskimi tveganji, lastniki in dokazili.
Notranja presoja
Preverimo pripravljenost, neskladnosti, ukrepe in sledljivost izboljšav.
Kako poteka
Od začetnega pregleda do pripravljenosti na presojo.
GAP
Pregledamo trenutno stanje ISMS, politike, kontrole in dokazila.
Tveganja
Uredimo risk register, kriterije, ocene in odločitve o obravnavi tveganj.
Dokumentacija
Pripravimo politike, postopke, izjavo o uporabnosti in evidence.
Presoja
Izvedemo notranji pregled, odpravimo vrzeli in pripravimo vodstvo.
Rezultati
Kaj prejmete pri ISO 27001 sodelovanju?
GAP poročilo
Pregled trenutnega stanja in ključnih vrzeli.
Risk register
Tveganja, ocene, lastniki in načrt obravnave.
Statement of Applicability
Povezava kontrol, utemeljitev in dokazil.
Policy set
Politike in postopki, prilagojeni organizaciji.
Evidence matrix
Pregled dokazil, lastnikov in statusa.
Notranja presoja
Ugotovitve, neskladnosti in korektivni ukrepi.
Proces
Faze poti do certifikacije ISO 27001
Pot od odločitve do certifikata običajno poteka v jasno ločenih fazah, čeprav se natančno trajanje razlikuje glede na velikost in zrelost organizacije.
- GAP analiza glede na zahteve ISO 27001 in določitev obsega ISMS
- Analiza tveganj in priprava izjave o uporabnosti (Statement of Applicability, SoA)
- Vzpostavitev politik, postopkov in kontrol iz Priloge A
- Uvajanje kontrol v vsakdanje delo in zbiranje dokazil o izvajanju
- Notranja presoja, ki pred certifikacijsko presojo pokaže preostale vrzeli
- Certifikacijska presoja pri akreditiranem certifikacijskem organu (stopnja 1 in 2)
- Vzdrževanje ISMS in letne nadzorne presoje do triletne recertifikacije
Najpogostejša napaka je preskok notranje presoje – brez nje se pomanjkljivosti pogosto pokažejo šele pri certifikacijski presoji, ko je popravek dražji in časovno bolj pod pritiskom.
FAQ
Pogosta vprašanja o ISO 27001
Ali ISO 27001 pomeni popolno varnost?
Ne. ISO 27001 je sistem upravljanja, ki pomaga sistematično obvladovati tveganja in izboljševati varnost.
Kaj je ISMS?
ISMS je sistem upravljanja informacijske varnosti, ki povezuje tveganja, kontrole, odgovornosti, dokumentacijo in izboljševanje.
Ali je pred uvedbo smiselna GAP analiza?
Da. GAP analiza pokaže, kaj je že urejeno in katere vrzeli je treba zapreti pred presojo.
Standard v praksi
ISO 27001 mora postati sistem upravljanja, ne mapa dokumentov.
ISO/IEC 27001:2022 določa zahteve za sistem upravljanja informacijske varnosti. Uradna ISO predstavitev standard povezuje z vzpostavitvijo, izvajanjem, vzdrževanjem in stalnim izboljševanjem ISMS. V praksi to pomeni, da dokumenti niso dovolj: organizacija mora razumeti tveganja, določiti kontrole, voditi dokazila, izvajati notranje preglede in sprejemati odločitve o izboljšavah.
CISOaaS ISO 27001 uvedbo poveže z realnim poslovnim kontekstom. Najprej določimo obseg ISMS, nato ocenimo tveganja in obstoječe kontrole. Šele potem pripravljamo politike, postopke, izjavo o uporabnosti in evidence. Tako se izognemo generičnim dokumentom, ki niso povezani z dejanskimi sistemi, dobavitelji in odgovornostmi.
ISO 27001 lahko podpira tudi pripravo na ZInfV-1 in NIS2, vendar ne pomeni avtomatske skladnosti z zakonodajo. Potrebna je preslikava zahtev, incidentnih postopkov, dokazil, dobaviteljskih kontrol in poročanja.
Vir: ISO – ISO/IEC 27001 information security management.
Najpogostejše napake pri ISO 27001 uvedbi
Preširok obseg
ISMS je težko voditi, če obseg ni vezan na realne storitve, procese in odgovornosti.
Kontrole brez tveganj
Kontrole morajo biti utemeljene z oceno tveganj, ne izbrane samo zato, ker so na seznamu.
Dokazila brez lastnikov
Vsako dokazilo potrebuje lastnika, frekvenco pregleda in povezavo z zahtevo ali kontrolo.
Presoja in dokazila
ISO 27001 priprava mora biti sledljiva od tveganja do kontrole.
Pri ISO 27001 je ključno, da se vsaka pomembna kontrola poveže s tveganjem, odločitvijo in dokazilom. Če kontrola nima lastnika, če se dokazilo ne posodablja ali če tveganje ni jasno opisano, sistem težko deluje kot živ ISMS. Zato pri pripravi ne začnemo s predlogami dokumentov, ampak z obsegom, tveganji in dejanskimi procesi.
Pred notranjo ali zunanjo presojo je smiselno preveriti, ali so politike znane odgovornim osebam, ali se izjave in evidence ujemajo s prakso, ali so korektivni ukrepi zaprti in ali vodstvo razume preostala tveganja. Tako ISO 27001 postane uporaben sistem upravljanja, ne samo projekt certificiranja.
Vir: ISO/IEC 27001 je mednarodni standard za sisteme upravljanja informacijske varnosti; pri formalni uporabi standarda je treba uporabljati veljavno uradno izdajo standarda in licencirano dokumentacijo.
Prvi praktičen rezultat ISO 27001 priprave je povezava med obsegom ISMS, tveganji, kontrolami in dokazili. Ko je ta povezava jasna, se dokumentacija pripravi hitreje in je bistveno bolj uporabna pri notranjih pregledih.
Sorodne vsebine: ISO 27001 svetovanje, ISO 27001 implementacija, GAP analiza ISO 27001, ISO 27001 dokumentacija, ISO 27001 analiza tveganj, ISO 27001 Annex A kontrole , Notranja presoja ISO 27001 in Virtualni CISO, ki lahko prevzame vodenje celotnega procesa.
Naslednji korak
Preverite, kaj je treba urediti najprej.
Na uvodnem posvetu razjasnimo obseg, prioritete in najhitrejso pot do dokazljivega napredka.
Želite skladnost, ki jo lahko tudi dokažete?
Pomagamo urediti zahteve, politike, odgovornosti, dokazila in poročanje, da skladnost ne ostane samo seznam dokumentov.
Obrazec odpre kontaktno stran in izbere pravo temo povpraševanja.