ISO 27001 구현 방법: 사용 지침

오늘날 회사의 정보 보안(이하 IS) 문제는 세계에서 가장 관련성이 높은 문제 중 하나입니다. 많은 국가에서 개인 데이터를 저장하고 처리하는 조직에 대한 요구 사항이 엄격해졌기 때문에 이는 놀라운 일이 아닙니다. 현재 러시아 법률에서는 문서 흐름의 상당 부분을 종이 형식으로 보관하도록 요구하고 있습니다. 동시에 디지털화 추세가 눈에 띕니다. 많은 기업이 이미 많은 양의 기밀 정보를 디지털 형식과 종이 문서 형식으로 저장하고 있습니다.

결과에 따르면 심문 Anti-Malware Analytical Center의 응답자 중 86%는 해당 연도에 사이버 공격 후 또는 사용자가 규정을 위반한 결과로 한 번 이상 사고를 해결해야 한다고 언급했습니다. 이와 관련하여 비즈니스에서 정보 보안에 대한 우선적인 관심이 필요하게 되었습니다.

현재 기업 정보 보안은 바이러스 백신이나 방화벽과 같은 복잡한 기술적 수단일 뿐만 아니라 이미 일반적으로 회사 자산, 특히 정보를 처리하는 통합된 접근 방식입니다. 회사는 이러한 문제를 해결하기 위해 다양한 접근 방식을 사용합니다. 오늘 우리는 이러한 문제에 대한 해결책으로 국제 표준 ISO 27001의 구현에 대해 이야기하고자 합니다. 러시아 시장에 있는 회사의 경우 이러한 인증서가 있으면 이 문제에 대한 요구 사항이 높은 외국 고객 및 파트너와의 상호 작용이 단순화됩니다. ISO 27001은 서양에서 널리 사용되며 사용되는 기술 솔루션에서 다루어야 하는 정보 보안 요구 사항을 다루고 비즈니스 프로세스를 구축하는 데 도움이 됩니다. 따라서 이 표준은 귀사의 경쟁 우위이자 외국 기업과의 접점이 될 수 있습니다.

이 정보 보안 관리 시스템(이하 ISMS) 인증은 ISMS 설계를 위한 모범 사례를 수집했으며, 중요한 것은 시스템 기능을 보장하기 위한 제어 선택 가능성, 기술 보안 요구 사항 및 회사의 인사 관리 프로세스. 결국 기술적 실패는 문제의 일부일 뿐이라는 것을 이해해야 합니다. 정보 보안 문제에서 인적 요소는 배제하거나 최소화하기가 훨씬 더 어려운 인적 요소에 의해 큰 역할을 합니다.

회사가 곧 ISO 27001 인증을 받으려고 한다면 이미 쉬운 방법을 찾으려고 노력했을 것입니다. 우리는 당신을 실망시켜야 할 것입니다. 여기에는 쉬운 방법이 없습니다. 그러나 국제 정보 보안 요구 사항에 대해 조직을 준비하는 데 도움이 되는 특정 단계가 있습니다.

1. 경영진의 지원 받기

이것이 당연하다고 생각할 수도 있지만 실제로는 이 점을 간과하는 경우가 많습니다. 또한 이것이 ISO 27001을 구현하는 프로젝트가 종종 실패하는 주된 이유 중 하나입니다. 표준을 구현하는 프로젝트의 중요성을 이해하지 않고 경영진은 인증을 위한 충분한 인적 자원이나 충분한 예산을 제공하지 않을 것입니다.

2. 인증 준비 계획 개발

ISO 27001 인증을 준비하는 것은 다양한 유형의 작업을 포함하는 복잡한 작업이며 많은 수의 사람들이 참여해야 하며 몇 개월(또는 몇 년)이 걸릴 수 있습니다. 따라서 상세한 프로젝트 계획을 세우는 것이 매우 중요합니다. 엄격하게 정의된 작업에 리소스, 시간 및 인력을 할당하고 마감일 준수를 모니터링합니다. 그렇지 않으면 작업을 완료하지 못할 수 있습니다.

3. 인증 경계 결정

다양한 활동을 하는 대규모 조직이 있는 경우 회사 비즈니스의 일부만 ISO 27001로 인증하는 것이 이치에 맞을 것입니다. 이렇게 하면 프로젝트의 위험과 시간 및 비용을 크게 줄일 수 있습니다.

4. 정보 보안 정책 개발

가장 중요한 문서 중 하나는 회사의 정보 보안 정책입니다. 정보보호 분야에서 귀사의 목표와 전 직원이 반드시 준수해야 하는 정보보호 관리의 기본원칙을 반영해야 합니다. 이 문서의 목적은 회사 경영진이 정보 보안 분야에서 달성하고자 하는 것과 이를 구현 및 제어하는 ​​방법을 정의하는 것입니다.

5. 위험 평가 방법론 정의

가장 어려운 작업 중 하나는 위험을 평가하고 관리하기 위한 규칙을 정의하는 것입니다. 회사가 수용 가능한 것으로 간주할 수 있는 위험과 이를 완화하기 위해 즉각적인 조치가 필요한 위험을 이해하는 것이 중요합니다. 이러한 규칙이 없으면 ISMS가 작동하지 않습니다.
동시에 위험을 줄이기 위해 개발된 조치의 적절성을 기억할 가치가 있습니다. 그러나 무엇보다도 많은 시간이나 재정적 비용이 수반되거나 단순히 불가능할 수 있기 때문에 최적화 프로세스에 너무 몰두해서는 안됩니다. 위험 완화 조치를 개발할 때 "최소 충분성" 원칙을 사용하는 것이 좋습니다.

6. 승인된 방법론에 따라 위험 관리

다음 단계는 위험 관리 방법론의 일관된 적용, 즉 평가 및 처리입니다. 이 과정은 세심한 주의를 기울여 정기적으로 수행되어야 합니다. 정보 보안 위험 등록을 최신 상태로 유지함으로써 회사 리소스를 효과적으로 할당하고 심각한 사고를 예방할 수 있습니다.

7. 위험 처리 계획

귀사가 허용할 수 있는 수준을 초과하는 위험은 위험 처리 계획에 포함되어야 합니다. 위험을 줄이기 위한 조치와 이에 대한 책임이 있는 사람 및 시기를 기록해야 합니다.

8. 적용 가능성 진술서 작성

이것은 감사 중에 인증 기관이 검토할 핵심 문서입니다. 귀사의 운영에 적용되는 정보 보안 통제가 무엇인지 설명해야 합니다.

9. 정보 보안 제어의 효과를 측정하는 방법을 결정합니다.

모든 행동에는 설정된 목표를 달성하는 결과가 있어야 합니다. 따라서 전체 정보 보안 관리 시스템과 적용 가능성 부록에서 선택한 각 제어 메커니즘 모두에 대해 목표 달성을 측정할 매개변수를 명확하게 정의하는 것이 중요합니다.

10. 정보 보안 제어 구현

그리고 이전 단계를 모두 구현한 후에만 적용 가능성 부록에서 해당 정보 보안 제어 구현을 시작해야 합니다. 물론 여기에서 가장 큰 과제는 조직의 많은 프로세스에서 작업을 수행하는 완전히 새로운 방식을 구현하는 것입니다. 사람들은 일반적으로 새로운 정책과 절차에 저항하므로 다음 사항에 주의를 기울이십시오.

11. 직원 교육 프로그램 시행

직원이 프로젝트의 중요성을 이해하지 못하고 정보 보안 정책에 따라 행동하지 않으면 위에서 설명한 모든 사항은 의미가 없습니다. 직원이 모든 새로운 규칙을 준수하기를 원한다면 먼저 사람들에게 필요한 이유를 설명하고 ISMS에 대한 교육을 제공하여 직원이 일상 업무에서 고려해야 하는 모든 중요한 정책을 강조해야 합니다. 직원 교육 부족은 ISO 27001 프로젝트가 실패하는 일반적인 이유입니다.

12. ISMS 프로세스 유지

이 단계에서 ISO 27001은 조직의 일상이 됩니다. 표준에 따라 정보 보안 통제의 구현을 확인하기 위해 감사인은 통제의 실제 운영에 대한 증거인 기록을 제공해야 합니다. 그러나 무엇보다도 기록은 직원(및 공급업체)이 승인된 규칙에 따라 작업을 수행하는지 여부를 추적하는 데 도움이 되어야 합니다.

13. ISMS 모니터링

ISMS는 어떻게 됩니까? 얼마나 많은 인시던트가 있으며 어떤 유형입니까? 모든 절차가 제대로 지켜지고 있습니까? 이러한 질문을 통해 회사가 정보 보안 목표를 달성하고 있는지 확인해야 합니다. 그렇지 않은 경우 상황을 바로잡을 계획을 세워야 합니다.

14. ISMS 내부 감사 실시

내부 감사의 목적은 회사의 실제 프로세스와 승인된 IS 정책 간의 불일치를 밝히는 것입니다. 대부분의 경우 이것은 직원이 규칙을 준수하는지 테스트하는 것입니다. 직원의 업무를 통제하지 않으면 조직이 (의도적이든 아니든) 피해를 입을 수 있기 때문에 이것은 매우 중요한 포인트입니다. 그러나 여기서 중요한 점은 가해자를 찾아 정책 위반에 대한 징계 조치를 취하는 것이 아니라 상황을 바로 잡고 향후 문제를 예방하는 것입니다.

15. 관리 검토 구성

경영진은 방화벽을 설정할 필요는 없지만, 예를 들어 모든 책임을 다하고 있고 ISMS가 의도한 결과를 달성하고 있는지 등 ISMS에서 진행되는 상황을 알아야 합니다. 이를 바탕으로 경영진은 ISMS 및 내부 비즈니스 프로세스를 개선하기 위한 주요 결정을 내려야 합니다.

16. 시정 및 예방 조치 시스템 도입

다른 표준과 마찬가지로 ISO 27001은 정보 보안 관리 시스템의 불일치를 체계적으로 수정하고 방지하는 "지속적인 개선"을 요구합니다. 시정 및 예방 조치를 통해 부적합을 시정하고 향후 재발을 방지할 수 있습니다.

결론적으로 다양한 출처에서 설명하는 것보다 실제로 인증을 받는 것이 훨씬 더 어렵다고 말하고 싶습니다. 확인은 오늘날 러시아에서만 78 개 업체 준수 인증을 받았습니다. 동시에 해외에서는 정보 보안 분야에서 증가하는 비즈니스 요구 사항을 충족하는 가장 인기 있는 표준 중 하나입니다. 이러한 구현 요구는 위협 유형의 성장과 복잡성뿐만 아니라 법률의 요구 사항과 데이터의 완전한 기밀 유지가 필요한 고객 때문입니다.

ISMS 인증이 쉬운 일은 아니라는 사실에도 불구하고 국제 표준인 ISO/IEC 27001의 요구 사항을 충족한다는 사실만으로도 글로벌 시장에서 상당한 경쟁 우위를 점할 수 있습니다. 우리 기사가 인증을 위해 회사를 준비하는 주요 단계에 대한 기본 이해를 제공했기를 바랍니다.

출처 : habr.com