כיצד ליישם את ISO 27001: הוראות שימוש

כיום, נושא אבטחת המידע (להלן אבטחת מידע) של חברות הוא מהדוחקים בעולם. וזה לא מפתיע, כי במדינות רבות יש החמרה בדרישות לארגונים המאחסנים ומעבדים נתונים אישיים. נכון לעכשיו, החקיקה הרוסית מחייבת לשמור על חלק ניכר מזרימת המסמכים בצורת נייר. יחד עם זאת, מגמת הדיגיטליזציה בולטת: חברות רבות כבר מאחסנות כמות גדולה של מידע סודי הן בפורמט דיגיטלי והן בצורת מסמכי נייר.

לפי התוצאות סקר Anti-Malware Analytical Center, 86% מהנשאלים ציינו כי במהלך השנה הם נאלצו לפחות פעם אחת לפתור תקריות לאחר מתקפות סייבר או כתוצאה מהפרות משתמשים של תקנות שנקבעו. בהקשר זה, תעדוף אבטחת מידע בעסק הפך להכרח.

נכון להיום, אבטחת מידע ארגונית היא לא רק מערכת של אמצעים טכניים, כמו אנטי וירוסים או חומות אש, היא כבר גישה משולבת לטיפול בנכסי החברה בכלל ובמידע בפרט. חברות מתייחסות לבעיות אלו בצורה שונה. היום נרצה לדבר על יישום התקן הבינלאומי ISO 27001 כפתרון לבעיה כזו. עבור חברות בשוק הרוסי, הנוכחות של תעודה כזו מפשטת אינטראקציה עם לקוחות ושותפים זרים שיש להם דרישות גבוהות בעניין זה. תקן ISO 27001 נמצא בשימוש נרחב במערב ומכסה דרישות בתחום אבטחת המידע, אשר אמורות להיות מכוסות על ידי הפתרונות הטכניים המשמשים, וכן לתרום לפיתוח תהליכים עסקיים. כך, תקן זה יכול להפוך ליתרון התחרותי שלך ולנקודת מגע עם חברות זרות.

הסמכה זו של מערכת ניהול אבטחת המידע (להלן: ISMS) אספה את השיטות המומלצות לתכנון ISMS, וחשוב מכך, סיפקה אפשרות לבחירת כלי בקרה להבטחת תפקוד המערכת, דרישות לתמיכה אבטחה טכנולוגית ואף לתהליך ניהול כוח האדם בחברה. אחרי הכל, צריך להבין שכשלים טכניים הם רק חלק מהבעיה. בענייני אבטחת מידע, הגורם האנושי משחק תפקיד עצום, והרבה יותר קשה לבטלו או למזער אותו.

אם החברה שלך מחפשת לקבל אישור ISO 27001, ייתכן שכבר ניסית למצוא את הדרך הקלה לעשות זאת. אנחנו חייבים לאכזב אתכם: אין כאן דרכים קלות. עם זאת, ישנם שלבים מסוימים שיעזרו להכין ארגון לדרישות אבטחת מידע בינלאומיות:

1. קבל תמיכה מההנהלה

אתה אולי חושב שזה ברור, אבל בפועל נקודה זו מתעלמת לעתים קרובות. יתרה מכך, זו אחת הסיבות העיקריות לכך שפרויקטי הטמעת ISO 27001 נכשלים לעתים קרובות. מבלי להבין את המשמעות של פרויקט היישום הסטנדרטי, ההנהלה לא תספק משאבי אנוש מספקים או תקציב מספיק להסמכה.

2. פתח תוכנית הכנה להסמכה

הכנה להסמכת ISO 27001 היא משימה מורכבת הכוללת סוגים רבים ושונים של עבודה, דורשת מעורבות של מספר רב של אנשים ויכולה להימשך חודשים רבים (או אפילו שנים). לכן, חשוב מאוד ליצור תוכנית פרויקט מפורטת: הקצאת משאבים, זמן ומעורבות של אנשים למשימות מוגדרות בקפדנות ולפקח על עמידה בלוחות זמנים - אחרת אתה עלול לא לסיים את העבודה לעולם.

3. הגדר את היקף ההסמכה

אם יש לך ארגון גדול עם פעילויות מגוונות, אולי הגיוני לאשר רק חלק מהעסקים של החברה לתקן ISO 27001, מה שיפחית משמעותית את הסיכון של הפרויקט שלך, כמו גם את הזמן והעלות שלו.

4. לפתח מדיניות אבטחת מידע

אחד המסמכים החשובים ביותר הוא מדיניות אבטחת המידע של החברה. זה צריך לשקף את יעדי אבטחת המידע של החברה שלך ואת העקרונות הבסיסיים של ניהול אבטחת מידע, שעליהם לפעול על-ידי כל העובדים. מטרת מסמך זה היא לקבוע מה מבקשת הנהלת החברה להשיג בתחום אבטחת המידע, וכן כיצד ייושם ובקרה הדבר.

5. הגדירו מתודולוגיית הערכת סיכונים

אחת המשימות הקשות ביותר היא הגדרת כללים להערכת סיכונים וניהול. חשוב להבין אילו סיכונים חברה עשויה לראות כמקובלים ואילו דורשים פעולה מיידית להפחתתם. ללא כללים אלה, ה-ISMS לא יעבוד.
יחד עם זאת, כדאי לזכור את נאותות האמצעים הננקטים לצמצום הסיכונים. אבל לא כדאי להיסחף יותר מדי עם תהליך האופטימיזציה, כי הם גם כרוכים בזמן או עלויות כספיות גדולות או שהם פשוט בלתי אפשריים. אנו ממליצים להשתמש בעקרון "הספיקות המינימלית" בעת פיתוח אמצעים להפחתת סיכונים.

6. ניהול סיכונים לפי מתודולוגיה מאושרת

השלב הבא הוא יישום עקבי של מתודולוגיית ניהול סיכונים, כלומר הערכתם ועיבודם. תהליך זה חייב להתבצע על בסיס קבוע בזהירות רבה. על ידי שמירת מרשם סיכוני אבטחת המידע עדכני, תוכל להקצות ביעילות משאבי החברה ולמנוע תקריות חמורות.

7. לתכנן טיפול בסיכון

סיכונים העולים על רמה מקובלת עבור החברה שלך חייבים להיכלל בתוכנית הטיפול בסיכונים. עליו לרשום פעולות שמטרתן להפחית סיכונים, כמו גם את האנשים האחראים להן ואת המועדים.

8. השלם את הצהרת התחולה

זהו מסמך מרכזי שיילמד על ידי מומחים מגוף ההסמכה במהלך הביקורת. זה צריך לתאר אילו בקרות אבטחת מידע חלות על פעילות החברה שלך.

9. קבע כיצד תימדד האפקטיביות של בקרות אבטחת מידע.

לכל פעולה חייבת להיות תוצאה המובילה להגשמת המטרות שנקבעו. לכן, חשוב להגדיר בצורה ברורה באילו פרמטרים יימדד השגת היעדים הן עבור כל מערכת ניהול אבטחת המידע והן עבור כל מנגנון בקרה שנבחר מתוך נספח התחולה.

10. הטמעת בקרות אבטחת מידע

ורק לאחר השלמת כל השלבים הקודמים, עליך להתחיל ליישם את בקרות אבטחת המידע הרלוונטיות מנספח היישום. האתגר הגדול ביותר כאן, כמובן, יהיה הצגת דרך חדשה לחלוטין לעשות דברים בהרבה מהתהליכים של הארגון שלך. אנשים נוטים להתנגד למדיניות ונהלים חדשים, אז שימו לב לנקודה הבאה.

11. הטמעת תכניות הדרכה לעובדים

כל הנקודות המתוארות לעיל יהיו חסרות משמעות אם העובדים שלכם לא יבינו את חשיבות הפרויקט ולא יפעלו בהתאם למדיניות אבטחת מידע. אם אתה רוצה שהצוות שלך יעמוד בכל הכללים החדשים, תחילה עליך להסביר לאנשים מדוע הם נחוצים, ולאחר מכן לספק הדרכה על ה-ISMS, תוך הדגשת כל המדיניות החשובה שהעובדים חייבים לקחת בחשבון בעבודתם היומיומית. חוסר הכשרת צוות הוא סיבה נפוצה לכישלון פרויקט ISO 27001.

12. שמירה על תהליכי ISMS

בשלב זה, ISO 27001 הופך לשגרה יומיומית בארגון שלך. כדי לאשר יישום בקרות אבטחת מידע בהתאם לתקן, יצטרכו רואי החשבון לספק רישומים - עדות להפעלתן בפועל של הבקרות. אבל יותר מכל, רשומות אמורות לעזור לך לעקוב אחר האם העובדים (והספקים) שלך מבצעים את המשימות שלהם בהתאם לכללים מאושרים.

13. עקוב אחר ה-ISMS שלך

מה קורה עם ה-ISMS שלך? כמה תקריות יש לך, איזה סוג הם? האם כל הנהלים מבוצעים כראוי? בשאלות אלו כדאי לבדוק האם החברה עומדת ביעדי אבטחת המידע שלה. אם לא, עליך לפתח תוכנית לתיקון המצב.

14. ביצוע ביקורת ISMS פנימית

מטרת הביקורת הפנימית היא לזהות אי התאמות בין תהליכים בפועל בחברה לבין מדיניות אבטחת מידע מאושרת. לרוב, זה בודק עד כמה העובדים שלך פועלים לפי הכללים. זוהי נקודה חשובה ביותר, שכן אם אינכם שולטים בעבודת הצוות שלכם, הארגון עלול להיגרם נזק (מכוון או לא מכוון). אבל המטרה כאן היא לא למצוא את האשמים ולהטיל עליהם משמעת על אי עמידה במדיניות, אלא לתקן את המצב ולמנוע בעיות עתידיות.

15. ארגן סקירת הנהלה

ההנהלה לא צריכה להגדיר את חומת האש שלך, אבל היא צריכה לדעת מה קורה ב-ISMS: למשל, האם כולם עומדים באחריות שלהם והאם ה-ISMS משיגה את תוצאות היעד שלו. בהתבסס על כך, על ההנהלה לקבל החלטות מפתח לשיפור ה-ISMS והתהליכים העסקיים הפנימיים.

16. להנהיג מערכת של פעולות מתקנות ומניעתיות

כמו כל תקן, ISO 27001 דורש "שיפור מתמיד": תיקון שיטתי ומניעת חוסר עקביות במערכת ניהול אבטחת המידע. באמצעות פעולות מתקנות ומנעות ניתן לתקן את האי-התאמה ולמנוע את הישנותו בעתיד.

לסיכום, אני רוצה לומר שלמעשה, קבלת הסמכה היא הרבה יותר קשה ממה שמתואר במקורות שונים. זה מאושר על ידי העובדה כי ברוסיה היום יש רק 78 חברות אושרו לתאימות. יחד עם זאת, מדובר באחד התקנים הפופולריים בחו"ל, העונה על הדרישות ההולכות וגוברות של עסקים בתחום אבטחת המידע. דרישה זו ליישום נובעת לא רק מהגידול והמורכבות של סוגי האיומים, אלא גם מדרישות החקיקה, כמו גם מלקוחות שצריכים לשמור על סודיות מלאה של הנתונים שלהם.

למרות העובדה שהסמכת ISMS אינה משימה קלה, עצם העמידה בדרישות התקן הבינלאומי ISO/IEC 27001 יכולה לספק יתרון תחרותי רציני בשוק העולמי. אנו מקווים שהמאמר שלנו סיפק הבנה ראשונית של השלבים המרכזיים בהכנת חברה להסמכה.

מקור: www.habr.com