Kuidas rakendada ISO 27001: rakendusjuhend

Praegu on ettevõtete infokaitse (edaspidi – IK) küsimus üks maailma kõige aktuaalsemaid teemasid. Ja see pole üllatav, kuna paljudes riikides teravdavad nõuded organisatsioonidele, mis hoiavad ja töötlevad isikuandmeid. Praegu nõuab Venemaa seadusandlus, et märkimisväärne osa dokumendihaldusest peab olema paberkandjal. Sellegipoolest on selge suundumus digitaliseerimise poole: paljud ettevõtted hoiavad juba suurt hulka konfidentsiaalset teavet nii digitaalses vormis kui ka paberdokumendina.

Tulemused uuring analüüsi keskuse Anti-Malware järgi märkis 86% vastajatest, et nad pidid viimase aasta jooksul vähemalt korra tegelema intsidentide lahendamisega pärast küberrünnakut või seoses kasutajate kehtestatud reeglite rikkumisega. Seetõttu on infokaitse esmatähtis tähelepanu äris muutunud hädavajalikuks.

Praegu on ettevõtte teave ja turvalisus rohkem kui lihtsalt tehniliste vahendite kogum, nagu viirusetõrje või tulemüürid; see on juba integreeritud lähenemine ettevõtte varade ja teabe käsitlemiseks üldiselt. Ettevõtted läheneda nendele probleemidele erinevalt. Täna soovime rääkida rahvusvahelise ISO 27001 standardi rakendamisest kui lahendusest sarnastele probleemidele. Venemaa turul olevatele ettevõtetele lihtsustab sarnase sertifikaadi olemasolu koostööd välismaiste klientide ja partneritega, kellel on selles osas kõrged nõudmised. ISO 27001 on laialdaselt kasutusel Läänes ning see katab infoturbe nõuded, mis peavad olema kaetud kasutatavate tehniliste lahendustega, ning aitab kaasa äriprotsesside kujundamisele. Seega võib see standard saada teie konkurentsieeliseks ja kontaktpunktiks välismaiste ettevõtetega.

Selle teabeohutuse juhtimissüsteemi (edaspidi - ISMS) sertifitseerimine on kogunud endasse parimad praktikad ISMSi kavandamisel ja, mis on väga oluline, arvesse on võetud ka juhtimisvahendite valiku võimalus süsteemi toimimise tagamiseks, nõuded tehnikaalastele ohutuse tagamisele ja isegi personali juhtimise protsessile ettevõttes. Oluline on mõista, et tehnilised tõrked on vaid osa probleemist. Teabeohutuse küsimustes mängib inimfaktor tohutut rolli, mida on oluliselt keerulisem kõrvaldada või minimeerida.

Kui teie ettevõte kavatseb saada ISO 27001 standardi kohast sertifikaati, siis olete võib-olla juba püüdnud leida lihtsat teed selle saavutamiseks. Peame teid pettuma: lihtsaid teid siin ei ole. Siiski on olemas teatud sammud, mis aitavad organisatsiooni ette valmistada rahvusvahelistele teabeohutuse nõuetele:

1. Saage juhtkonna tugi

Te võite arvata, et see on ilmselge, kuid praktikas jääb see sageli tähelepanuta. Veelgi enam, see on üks peamisi põhjusi, miks ISO 27001 rakendamise projektid sageli läbi kukuvad. Ilma projekti olulisuse mõistmiseta ei paku juhtkond piisavalt inimressursse ega eelarvet sertifitseerimiseks.

2. Koostage sertifitseerimise ettevalmistusplaan

ISO 27001 sertifitseerimise ettevalmistamine on keeruline ülesanne, mis hõlmab erinevaid tegevusi, nõuab paljude inimeste kaasamist ning võib kesta pikki kuid (või isegi aastaid). Seetõttu on väga oluline koostada üksikasjalik projektiplaan: jaotada ressursid, aega ja inimeste kaasamine rangelt määratletud ülesannete vahel ning jälgida tähtaegade järgimist – vastasel juhul ei pruugi te kunagi oma tööd lõpetada.

3. Määrake sertifitseerimise ulatus

Kui teie organisatsioon on suur ja tegevused on mitmekesised, võib olla mõistlik sertifitseerida ISO 27001 kohaselt ainult osa ettevõttest, mis vähendab oluliselt projekti riske, kestust ja maksumust.

4. Kujundage infopolitsiipoliitika

Üks olulistest dokumentidest on ettevõtte infopolitsiipoliitika. See peaks kajastama teie ettevõtte eesmärke infopolitiika valdkonnas ning peamisi teabehalduse põhimõtteid, mida kõik töötajad peavad järgima. Selle dokumendi ülesanne on määratleda, mida ettevõtte juhtkond soovib infopolitiikas saavutada ning kuidas seda rakendatakse ja jälgitakse.

5. Määrake riskide hindamise metoodika

Üks keerulisemaid ülesandeid on riskihindamise ja -haldamise reeglite määratlemine. On oluline mõista, milliseid riske ettevõte peab enda jaoks vastuvõetavaks ja millised nõuavad kohest tegutsemist nende vähendamiseks. Ilma nende reegliteta ei toimi teabehalduse süsteem.
Sellega seoses on oluline meeles pidada, et võetud meetmed riskide vähendamiseks peavad olema adekvaatsed. Samas ei tasu liiga palju optimeerimise protsessiga liialdada, kuna see võib kaasa tuua suuri ajakulusid või rahalisi väljaminekuid või osutuda lihtsalt teostamatuks. Soovitame teil riskide vähendamise meetmete väljatöötamisel lähtuda „minimaalse piisavuse“ printsiibist.

6. Halda riske kinnitatud metoodika kohaselt

Järgmine etapp on järjepidev riskide juhtimise metoodika rakendamine, see tähendab nende hindamine ja käsitlemine. See protsess peaks toimuma regulaarselt ja põhjalikult. Hoides jahinduse registrit ajakohasena, suudate tõhusalt jaotada ettevõtte ressursse ja ennetada tõsiseid intsidente.

7. Plaanige riskide käsitlemine

Riskid, mis ületavad teie ettevõtte vastuvõetava tasandi, peavad kindlasti olema riskide käsitlemise plaanis. Sellest peaks ilmnema riskide vähendamiseks suunatud tegevused ning vastutavad isikud ja tähtajad.

8. Täitke rakenduslik regulatsioon

See on otsustav dokument, mida sertifitseerimise organi spetsialistid auditite läbiviimisel uurivad. Selles peaks olema kirjeldatud, millised infotehnoloogia turvameetmed on teie ettevõtte tegevusele kohandatud.

9. Määratlege, kuidas mõõdetakse infojulgeoleku juhtimise meetmete tõhusust

Iga tegevusel peab olema tulemus, mis viib seatud eesmärkide saavutamiseni. Seetõttu on oluline selgelt määratleda, milliste parameetrite alusel mõõdetakse eesmärkide saavutamist nii kogu infojulgeoleku juhtimissüsteemi kui ka iga valitud kontrollimeetme jaoks, mis on toodud rakendatavuse lisas.

10. Rakendage infojulgeoleku juhtimise meetmeid

Ja alles pärast kõigi eelnevate sammude elluviimist tuleb hakata rakendama rakendatavuse lisas nimekirjas olevaid infojulgeoleku juhtimise meetmeid. Suurim väljakutse seisneb muidugi täiesti uue tegutsemisviisi juurutamises paljudes teie organisatsiooni protsessides. Inimesed vastanduvad tavaliselt uutele poliitikatele ja protseduuridele, seega pöörake tähelepanu järgmisele punktile.

11. Rakendage koolitusprogrammid töötajatele

Kõik ülaltoodud punktid on mõttetud, kui teie töötajad ei mõista projekti tähtsust ning ei tegutse IT-poliitikate kohaselt. Kui soovite, et teie personal järgiks kõiki uusi reegleid, tuleb esmalt inimestele selgitada, miks need on vajalikud, ja seejärel viia läbi juhtimis- ja turvainfopoliitikate koolitus, tuues välja kõik olulised põhimõtted, mida töötajad peavad igapäevases töös arvesse võtma. Töötajate koolituse puudumine on levinud põhjus ISO 27001 projekti ebaõnnestumisel.

12. Toetage juhtimis- ja turvainfosüsteemi protsesse

Selles etapis muutub ISO 27001 teie organisatsioonis igapäevaseks rutiiniks. Et kinnitada IT-juhtimise rakendamist vastavalt standardile, peavad auditoorid esitama registrid – tõendid süsteemide töö kohta. Kuid kõigepealt peavad registrid aitama teil jälgida, kas teie töötajad (ja tarnijad) täidavad oma ülesandeid vastavalt kehtestatud reeglitele.

13. Jälgige juhtimis- ja turvainfosüsteemi

Mis toimub teie ISMS-iga? Kui palju on teil juhtumeid ja millised need on? Kas kõik protseduurid järgitakse nõuetekohaselt? Nende küsimustega peaksite kontrollima, kas teie ettevõte saavutab infotehnoloogia turvalisuse eesmärke. Kui ei, peaksite koostama olukorra parandamise plaani.

14. Tehke ISMS-i siseaudit

Siseauditi eesmärk on tuvastada ettevõtte tegelike protsesside mittevastavus heakskiidetud IT-turvapoliitikatega. Peamiselt on see kontroll, kui hästi teie töötajad järgivad reegleid. See on väga oluline punkt, kuna kui te ei jälgi oma personali tööd, võib organisatsioon kannatada (nii tahtlikult kui tahtmatult). Kuid eesmärk ei ole leida süüdlasi ja määrata neile distsiplinaarsed karistused poliitikate mittejärgimise eest, vaid olukorra parandamine ja tulevaste probleemide ennetamine.

15. Korraldage juhtkonna analüüs

Juhtkond ei peaks seadistama teie tulemüüri, kuid see peaks teadma, mis toimub ISMS-is: näiteks, kas see täidab oma kohustusi ja kas ISMS saavutab sihttulemusi. Selle põhjal peab juhtkond võtma olulisi otsuseid ISMS-i ja siseäritegevuse parendamiseks.

16. Sisestage korrigeerivate ja ennetavate meetmete süsteem

Nagu iga ISO 27001 standard nõuab "pidevat parandamist": süsteemset mittevastavuste lahendamist ja ennetamist teabe turvajuhtimissüsteemis. Korrektiivsete ja ennetavate meetmete abil on võimalik vigu parandada ja nende kordumist tulevikus vältida.

Kokkuvõtteks võib öelda, et tegelikult on sertifitseerimine palju keerulisem, kui seda erinevates allikates kirjeldatakse. Tõendiks on see, et Venemaal on täna kokku 78 ettevõtet on läbinud sertifitseerimise vastavuse osas. Sellega seoses on see välismaal üks populaarsemaid standardeid, mis vastab äriliselt kasvavatele nõudmistele teabe- ja küberjulgeoleku valdkonnas. Sellise rakendamisnõudluse põhjuseks on mitte ainult ohtude kasvu ja keerukuse suurenemine, vaid ka seadusandlikud nõuded ning klientide soov säilitada täielikku konfidentiilsust oma andmete osas.

Kuigi teabejulgeoleku juhtimissüsteemi sertifitseerimine on keeruline ülesanne, võib rahvusvahelise standardi ISO/IEC 27001 nõuete täitmine anda tõsise konkurentsieelise globaalsetel turgudel. Loodame, et meie artikkel andis esialgse arusaama ettevõtte ettevalmistamise võtmeetappidest sertifitseerimiseks.

Allikas: habr.com