Как да внедрим ISO 27001: инструкция за прилагане

В днешно време, въпросът за информационната безопасност (ИБ) на компаниите е един от най-актуалните в света. И това не е изненадващо, тъй като в много страни се засилват изискванията към организациите, които съхраняват и обработват лични данни. В момента, руското законодателство изисква значителна част от документоносенето да бъде в хартиен формат. В същото време, налице е осезаема тенденция към цифровизация: много компании вече съхраняват голямо количество конфиденциална информация както в цифров формат, така и под формата на хартиени документи.

По резултатите от анкета на аналитичния център Anti-Malware, 86% от респондентите отбелязаха, че през годината им се е наложило поне веднъж да регулират инциденти след кибератаки или в резултат на нарушение на установените регламенти от страна на потребителите. В тази връзка, приоритетното внимание на бизнеса към информационната безопасност стана необходимост.

В момента, корпоративната информационна безопасност не е само комплекс от технически средства, като антивирусни програми или защитни стени, а вече е комплексен подход към управлението на активите на компанията като цяло и с информацията – по-специално. Компаниите подхождат различно към решението на тези проблеми. Днес бихме искали да ви разкажем за внедряването на международния стандарт ISO 27001 като решение на подобен проблем. За компаниите на руския пазар, наличието на такъв сертификат улеснява взаимодействието с чуждестранни клиенти и партньори, които имат високи изисквания в този въпрос. ISO 27001 широко се прилага на Запад и обхваща изискванията в областта на ИБ, които трябва да бъдат покривани от използваните технически решения, а също така да способстват за изграждането на бизнес процеси. Така че, този стандарт може да стане ваше конкурентно предимство и точка на контакт със чуждестранни компании.

Тази сертификация на Системата за управление на информационната сигурност (по-долу – СУИС) обединява най-добрите практики за проектиране на СУИС и, не по-малко важно, предвижда възможност за избор на средства за управление, които да осигурят функционирането на системата, изискванията към технологичното осигуряване на сигурността и дори към процеса на управление на персонала в компанията. Трябва да се разбере, че техническите неуспехи само част от проблема. Въпросите на ИБ играят огромна роля и човешкият фактор, който е много по-сложно да се изключи или минимизира.

Ако вашата компания планира да премине сертификация по стандарта ISO 27001, вероятно вече сте се опитали да намерите лесен начин да го направите. Ще трябва да ви разочароваме: лесни пътища тук няма. Въпреки това, има определени стъпки, които ще помогнат на организацията да се подготви за международните изисквания за информационна сигурност:

1. Получете подкрепа от ръководството

Можете да считате това за очевидно, но на практика този момент често се пропуска. Освен това, това е една от основните причини, поради които проектите за внедряване на ISO 27001 често се провалят. Без разбиране на значението на проекта за внедряване на стандарта, ръководството не ще предостави нито достатъчно човешки ресурси, нито достатъчен бюджет за сертификация.

2. Разработете план за подготовка за сертификация

Подготовката за сертификация по ISO 27001 е комплексна задача, която включва различни видове работа, изискваща ангажираността на голям брой хора и може да продължи месеци (или дори години). Затова е много важно да съставите детален проектен план: да разпределите ресурси, време и ангажираност на хората за строго определени задачи и да следите за спазване на сроковете – в противен случай може никога да не завършите работата.

3. Определете обхвата на сертификацията

Ако имате голяма организация с диверсифицирана дейност, вероятно е разумно да сертифицирате по ISO 27001 само част от бизнеса на компанията, което значително ще намали рисковете на вашия проект, както и сроковете и разходите му.

4. Разработете политика за информационна сигурност

Един от най-важните документи е Политиката за информационна сигурност на компанията. В него трябва да се отразят целите на вашата компания в сферата на информационната сигурност и основните принципи за управление на ИТ сигурността, които трябва да спазват всички служители. Задачата на този документ е да определи какво иска ръководството на компанията да постигне в областта на ИТ сигурността, а също така как това ще бъде осъществявано и контролирано.

5. Определете методологията за оценка на рисковете

Една от най-сложните задачи е определянето на правилата за оценка на рисковете и управлението им. Важно е да се разбере какви рискове компанията може да счита за приемливи за себе си, а кои изискват незабавни действия за тяхното намаляване. Без тези правила системата за управление на информационната сигурност няма да работи.
В същото време е важно да се помни за адекватността на предприетите мерки за намаляване на рисковете. Но не трябва да се увлекате прекалено много в процеса на оптимизация, тъй като те могат да предизвикат значителни времеви или финансови разходи или да се окажат просто неизпълними. Препоръчваме ви, при разработването на мерки за намаляване на рисковете, да се ръководите от принципа на "минималната достатъчност".

6. Управлявайте рисковете според одобрената методология

Следващият етап е последователното прилагане на методологията за управление на рисковете, т.е. тяхната оценка и обработка. Този процес трябва да се извършва редовно с голямо внимание. Поддържайки регистър на рисковете в актуално състояние, вие ще можете ефективно да разпределяте ресурсите на компанията и да предотвратите сериозни инциденти.

7. Планирайте обработката на рисковете

Рисковете, които надвишават приемливото ниво за вашата компания, задължително трябва да бъдат включени в плана за обработка на рисковете. В него трябва да бъдат записани действията, насочени към намаляване на рисковете, както и отговорните лица и сроковете.

8. Попълнете Доклада за приложимост

Това е ключов документ, който ще бъде проучван от специалистите на сертифициращия орган при извършване на одит. В него трябва да бъде описано какви механизми за контрол в сферата на информационната сигурност са приложими за дейността на вашата компания.

9. Определете как ще бъде измервана ефективността на средствата за управление на ИТ сигурността

Всяко действие трябва да има резултат, който да води до изпълнение на поставените цели. Затова е важно ясно да се определи по какви параметри ще се измерва достигането на целите както за цялата система за управление на информацията за сигурността, така и за всеки избран механизъм за контрол от Приложението за приложимост.

10. Внедрете средства за управление на информацията за сигурността

И само след реализирането на всички предишни стъпки трябва да се пристъпи към внедряване на приложимите средства за управление на информацията за сигурността от Приложението за приложимост. Най-голямата трудност тук, разбира се, ще бъде въвеждането на напълно ново поведение в много от процесите на вашата организация. Хората обикновено се противопоставят на новите политики и процедури, затова обърнете внимание на следващия пункт.

11. Внедрете програми за обучение на служителите

Всички описани по-горе точки ще бъдат безсмислени, ако вашите служители не разбират важността на проекта и не действат в съответствие с политиките за информация за сигурността. Ако искате вашият персонал да спазва всички нови правила, първо трябва да обясните на хората защо те са необходими, а след това да проведете обучение по СУИБ, обхващайки всички важни политики, които служителите трябва да вземат предвид в ежедневната си работа. Липсата на обучение на персонала е честа причина за провал на проекта по ISO 27001.

12. Поддържайте процесите на СУИБ

На този етап ISO 27001 става част от ежедневието на вашата организация. За да потвърдят внедряването на средства за управление на информацията за сигурността в съответствие с нормата, на одиторите ще трябва да се предоставят записи – доказателства за реалната работа на контролите. Но преди всичко записите трябва да ви помогнат да проследите дали вашите служители (и доставчици) изпълняват задачите си в съответствие с одобрените правила.

13. Подлагайте СУИБ на мониторинг

Какво се случва с вашата СУИБ? Колко инцидента имате, какъв е техният вид? Изпълняват ли се всички процедури правилно? Чрез тези въпроси трябва да проверите дали компанията достига целите си в областта на информационната сигурност. Ако не, трябва да разработите план за коригиране на ситуацията.

14. Провеждайте вътрешен одит на СУИБ

Целта на вътрешния одит е да идентифицира несъответствията между реалните процеси в компанията и одобрените политики в областта на информационната безопасност. По-голямата част от проверката е свързана с това, доколко вашите служители спазват правилата. Това е изключително важен аспект, тъй като ако не контролирате работата на персонала си, компанията може да понесе щети (умишлени или неумислени). Но задачата не е да се намерят виновниците и да им се наложат дисциплинарни наказания за нарушаване на политиките, а да се коригира ситуацията и да се предотвратят бъдещи проблеми.

15. Организирайте анализ от страна на ръководството

Ръководството не трябва да настройва вашия фаервол, но трябва да знае какво се случва в СУИБ: например, дали всички изпълняват своите задължения и дали СУИБ постига целевите резултати. Въз основа на това ръководството трябва да взема ключови решения за подобряване на СУИБ и вътрешните бизнес процеси.

16. Въведете система за коригиращи и превантивни действия

Както всеки стандарт ISO 27001 изисква "непрекъснато подобрение": систематично коригиране и предотвратяване на несъответствия в системата за управление на информационната безопасност. Чрез коригиращи и превантивни действия можете да коригирате несъответствието и да предотвратите неговото повторно появяване в бъдеще.

В заключение, искам да кажа, че всъщност преминаването на сертификация е много по-трудно, отколкото е описано в различни източници. Потвърждение за това е фактът, че в Русия в момента само 78 компании са преминали сертификация за съответствие. В същото време в чужбина това е един от най-популярните стандарти, отговарящи на нарастващите нужди на бизнеса в областта на информационната безопасност. Тази търсеност за внедряване е обусловена не само от нарастващите и усложняващи се типове заплахи, но и от изискванията на законодателството, както и на клиентите, които изискват пълна конфиденциалност на техните данни.

Въпреки че сертификацията на СУИБ е трудна задача, самият факт на изпълнение на изискванията на международния стандарт ISO/IEC 27001 може да предостави сериозно конкурентно предимство на глобалния пазар. Надяваме се, че нашата статия е дала начален поглед върху ключовите етапи при подготовката на компанията за сертификация.

Източник: habr.com