Kuidas rakendada ISO 27001: kasutusjuhend

Praeguseks on ettevõtete infoprobleemid (edaspidi – IP) maailmas üks kõige olulisemaid teemasid. See ei ole üllatav, kuna paljudes riikides karmistuvad nõuded organisatsioonidele, mis salvestavad ja töötlevad isikuandmeid. Tänapäeval nõuab Venemaa seadusandlus märkimisväärse osa dokumendihaldusest säilitamist paberkandjal. Sellegipoolest on selgelt tunda digiteerimise suundumust: paljud ettevõtted salvestavad suur hulk konfidentsiaalset teavet nii digitaalses formaadis kui ka paberdokumentidena.

Kokkuvõttes uuringust tugikeskus Anti-Malware'i uuringust märkis 86% vastanutest, et nad on viimase aasta jooksul pidanud vähemalt korra tegelema intsidentidega, mis on seotud küberrünnakute või kasutajate poolt seatud regulatsioonide rikkumisega. Seetõttu on infoprobleemidele äri prioriteediks saamine muutunud hädavajalikuks.

Täna on ettevõtete infoprobleem mitte ainult tehniliste vahendite kogum, nagu viirusetõrje või tulemüürid, vaid ka terviklik lähenemine ettevõtte varahaldamisele ja teabehaldusele. Ettevõtted lähenavad nendele probleemidele erinevalt. Täna soovime rääkida rahvusvahelise standardi ISO 27001 rakendamisest lahendina sarnastele probleemidele. Venemaa turul on sellise sertifikaadi olemasolu lihtsustatud koostööd välismaiste klientide ja partneritega, kellel on nendes küsimustes tõsised nõuded. ISO 27001 on laialdaselt rakendatav läänes ja katab IP-d puudutavad nõuded, mis peavad olema kaetud kasutatavate tehniliste lahendustega ning toetama äriprotsesside ülesehitust. Seega võib see standard olla teie konkurentsieelis ja kontaktpunkt välisettevõtetega.

See sertifitseerimiseinfokeskus riskiden kehituskuhubi, esindab parimaid harjumusi info turvalisuse haldamise süsteemi projekteerimisel, samuti on oluline, et süsteemi toimimise tagamiseks oleksid valitud juhtimise tööriistad, tehnoloogilise turvalisuse nõuded ja lausa töötajate haldamise protsess. Lõppude lõpuks tuleb mõista, et tehnilised tõrked on ainult osa probleemist. Teabe turvalisuse osas mängib suure osa inimfaktor, mille täielik kõrvaldamine või minimeerimine on oluliselt keerulisem.

Kui teie ettevõte kavatseb saada ISO 27001 sertifitseeringut, siis olete tõenäoliselt juba üritanud leida lihtsat teed selle saavutamiseks. Peame teid petma: lihtsaid teid siin ei ole. Siiski on olemas teatud sammud, mis aitavad organisatsiooni valmistada ette rahvusvahelistele teabe turvalisuse nõuetele:

1. Saage juhtkonna toetus

Võite pidada seda ilmselgeks, kuid praktikas jääb see sageli tähelepanuta. Veelgi enam, see on üks peamisi põhjuseid, miks ISO 27001 rakendamise projektid tihti ebaõnnestuvad. Ilma projekti olulisuse mõistmiseta ei paku juhtkond piisavalt inimressursse ega eelarvet sertifitseerimiseks.

2. Töötage välja sertifitseerimise ettevalmistusplaan

ISO 27001 sertifitseerimise ettevalmistamine on keeruline ülesanne, mis hõlmab mitmeid tegevusi, nõuab paljude inimeste kaasamist ja võib kesta kuid (või isegi aastaid). Seetõttu on väga oluline koostada detailne projekti plaan: jaotada ressursid, aeg ja inimeste kaasamine rangelt määratletud ülesannetele ning jälgida tähtaegade järgimist – vastasel juhul võite mitte kunagi tööd lõpetada.

3. Määrake sertifitseerimise ulatus

Kui teil on suur organisatsioon, mille tegevus on mitmekesine, on tõenäoliselt mõistlik sertifitseerida ainult osa ettevõttest ISO 27001 järgi, mis vähendab teie projekti riske, samuti selle aega ja kulusid.

4. Töötage välja teabe turvalisuse poliitika

Üks olulisemaid dokumente on ettevõtte teabejulgeoleku poliitika. Selles tuleks kajastada teie ettevõtte eesmärke teabejulgeoleku valdkonnas ning põhiprintsiipe, mida kõik töötajad peavad järgima. Selle dokumendi ülesanne on määratleda, mida ettevõtte juhtkond soovib teabejulgeoleku osas saavutada, samuti kuidas seda saavutatakse ja jälgitakse.

5. Määratlege riskide hindamise metodoloogia

Üks keerulisemaid ülesandeid on riskide hindamise ja haldamise reeglite määramine. On oluline mõista, milliseid riske ettevõte peab enda jaoks vastuvõetavaks ja millised nõuavad kohest sekkumist nende vähendamiseks. Ilma nende reegliteta ei tööta teabejulgeoleku juhtimissüsteem.
Sellegipoolest on oluline meeles pidada, et meetmed riskide vähendamiseks peavad olema adekvaatsed. Kuid ei tohi üle pingutada optimeerimise protsessiga, kuna need võivad tuua endaga kaasa suuri ajakulu või rahalisi kulutusi või võivad olla lihtsalt teostatamatud. Soovitame teil riskide vähendamise meetmete väljatöötamisel lähtuda „minimaalse piisavuse“ printsiibist.

6. Halda riske kehtestatud metodoloogia kohaselt

Järgmine etapp on riskihaldusmetodoloogia järjestikune rakendamine, st nende hindamine ja töötlemine. See protsess peab toimuma regulaarselt ja suure hoolikusega. Hoides teabejulgeoleku riskide register ajakohasena, suudate tõhusalt jaotada ettevõtte ressursse ning ennetada tõsiseid juhtumeid.

7. Planeeri riskide töötlemine

Riskid, mis ületavad teie ettevõtte jaoks vastuvõetava taseme, peavad kindlasti kuuluma riskide töötlemise plaani. Selles peaks fikseerima riskide vähendamiseks ette nähtud tegevused, samuti vastutavad isikud ja tähtaegade.

8. Täitke kohaldatavuse määrus

See on võtmedokument, mida auditi läbiviimisel vaatavad sertifitseerimise spetsialistid. Selles peaks olema kirjeldatud, milliseid teabejulgeoleku kontrollimehhanisme teie ettevõtte tegevusele kohaldatakse.

9. Määratlege, kuidas mõõdetakse teabejulgeoleku juhtimise vahendite tõhusust

Iga tegevus peab andma tulemusi, mis viivad kehtestatud eesmärkide täitmisele. Seetõttu on oluline selgelt määratleda, milliste parameetrite järgi mõõdetakse eesmärkide saavutamist nii kogu infosüsteemi juhtimise süsteemi kui ka iga valitud kontrollimehhanismi puhul, nagu on esitatud Rakenduses.

10. Rakendage teabehalduse juhtimise vahendeid

Ja alles pärast kõigi eelnevate sammude täitmist tuleb alustada rakendatavate teabehalduse juhtimise vahendite rakendamist Rakenduses. Suurimaks keerukuseks on siin ilmselt täiesti uue tegevusviisi rakendamine paljudes teie organisatsiooni protsessides. Inimesed kipuvad tavaliselt uutele poliitikatele ja protseduuridele vastu seisma, seega pöörake tähelepanu järgmisele punktile.

11. Rakendage koolitusprogramme töötajatele

Kõik ülaltoodud punktid on mõttetud, kui teie töötajad ei mõista projekti tähtsust ega tegutse vastavalt teabehalduse poliitikale. Kui soovite, et teie personal järgiks kõiki uusi reegleid, peate esmalt inimestele selgitama, miks need on vajalikud, ning seejärel viima läbi koolituse teabehalduse süsteemi kohta, tuues välja kõik olulised poliitikad, mida töötajad peavad oma igapäevases töös arvesse võtma. Koolituse puudumine on levinud põhjus, miks ISO 27001 projektid ebaõnnestuvad.

12. Toetage teabehalduse süsteemi protsesse

Selles etapis muutub ISO 27001 teie organisatsiooni igapäevaseks rutiiniks. Et kinnitada teabehalduse vahendite rakendamist standardi järgi, peavad auditeerijad esitama protokolle – tõendeid kontrollimehhanismide tegeliku töö kohta. Kuid kõigepealt peavad protokollid aitama teil jälgida, kas teie töötajad (ja tarnijad) täidavad oma ülesandeid vastavalt kehtestatud eeskirjadele.

13. Jälgige teabehalduse süsteemi

Mis toimub teie teabehalduse süsteemiga? Kui palju teil on juhtumeid, millist liiki need on? Kas kõik protseduurid täidetakse nõuetekohaselt? Nende küsimustega peate kontrollima, kas ettevõte saavutab teabeohutuse eesmärke. Kui ei, peate koostama paranduskava.

14. Tehke teabehalduse süsteemi sisemine audit

Siseauditimise eesmärk on tuvastada tegelike protsesside ja ettevõtte heakskiidetud infotehnoloogia turbe poliitikate vahelised lahknevused. Suuresti on tegemist kontrolliga, kuivõrd teie töötajad järgivad neid reegleid. See on väga oluline punkt, sest kui te ei kontrolli oma personali tööd, võib teie organisatsioon kannatada (olgu see tahtlik või tahtmatu). Kuid ülesanne pole mitte leidmine süüdlaste ja nende distsiplinaarsete karistamine reeglite rikkumise eest, vaid olukorra parendamine ja tulevaste probleemide ennetamine.

15. Korraldage juhtkonna analüüs

Juhtkond ei peaks seadma teie tulemüürü, kuid nad peavad teadma, mis toimub SIEM-s: näiteks, kas kõik täidavad oma kohustusi ja kas SIEM saavutab sihitud tulemusi. Selle põhjal peab juhtkond tegema olulisi otsuseid SIEM-i ja sisemiste äri protsesside täiustamise osas.

16. Sisseviimine parandavate ja ennetavate meetmete süsteem

Nagu iga ISO 27001 standard nõuab "pidevat parendamist": süsteemset kõrvalekallete õiendamist ja vältimist infotehnoloogia turbe juhtimise süsteemis. Parandavate ja ennetavate meetmete kaudu on võimalik kõrvalekalded parandada ja takistada nende kordumist tulevikus.

Kokkuvõttes võib öelda, et tegelikult on sertifitseerimine palju keerulisem, kui on kirjeldatud erinevates allikates. Selle tõenduseks on see, et Venemaal on tänaseks sertifitseerimise läbinud ainult 78 ettevõtet Sertifitseerimine. Samal ajal on välismaal see üks populaarsemaid standardeid, mis vastab äri kasvavale nõudlusele infotehnoloogia turbe vallas. Selline nõudlus rakendamise järele tuleneb mitte ainult tõhusate ja keerukate ohu liikide kasvust, vaid ka seadusandlikest nõuetest ning klientidelt, kellel on vajalik tagada nende andmete täielik konfidentsiaalsus.

Kuigi SIEM-i sertifitseerimine on keeruline ülesanne, võib rahvusvahelise standardi ISO/IEC 27001 nõuete täitmise fakt anda tõsise konkurentsieelise globaalses turul. Loodame, et meie artikkel andis esialgse arusaama võtmeetappidest ettevõtte ettevalmistamisel sertifitseerimiseks.

Allikas: habr.com