Како да се имплементира ISO 27001: упатства за употреба

Денес, прашањето за безбедноста на информациите (во натамошниот текст: безбедност на информации) на компаниите е едно од најактуелните во светот. И тоа не е изненадувачки, бидејќи во многу земји има заострување на барањата за организациите кои чуваат и обработуваат лични податоци. Во моментов, руското законодавство бара одржување значителен дел од протокот на документи во хартиена форма. Во исто време, забележлив е трендот кон дигитализација: многу компании веќе складираат голема количина доверливи информации и во дигитален формат и во форма на хартиени документи.

Според резултатите анкета Анти-Malware аналитички центар, 86% од испитаниците забележале дека во текот на годината барем еднаш морале да решаваат инциденти по сајбер напади или како резултат на кориснички прекршувања на утврдените прописи. Во овој поглед, давање приоритет на безбедноста на информациите во бизнисот стана неопходност.

Во моментов, безбедноста на корпоративните информации не е само збир на технички средства, како што се антивируси или заштитни ѕидови, таа е веќе интегриран пристап за ракување со средствата на компанијата воопшто и особено со информациите. Компаниите поинаку пристапуваат кон овие проблеми. Денес би сакале да зборуваме за имплементацијата на меѓународниот стандард ISO 27001 како решение за ваков проблем. За компаниите на рускиот пазар, присуството на таков сертификат ја поедноставува интеракцијата со странски клиенти и партнери кои имаат високи барања во ова прашање. ISO 27001 е широко користен на Запад и ги покрива барањата од областа на безбедноста на информациите, кои треба да бидат покриени со техничките решенија што се користат, а исто така да придонесат за развој на деловните процеси. Така, овој стандард може да стане ваша конкурентска предност и точка на контакт со странски компании.

Оваа сертификација на Системот за управување со безбедноста на информациите (во натамошниот текст ISMS) ги собра најдобрите практики за дизајнирање ISMS и, што е најважно, обезбеди можност за избор на контролни алатки за да се обезбеди функционирање на системот, барања за технолошка безбедносна поддршка, па дури и за процесот на управување со персоналот во компанијата. На крајот на краиштата, неопходно е да се разбере дека техничките неуспеси се само дел од проблемот. Во прашањата за безбедноста на информациите, човечкиот фактор игра огромна улога и многу е потешко да се елиминира или минимизира.

Ако вашата компанија сака да добие сертификат ISO 27001, тогаш можеби веќе сте се обиделе да го најдете лесен начин да го направите тоа. Мораме да ве разочараме: тука нема лесни начини. Сепак, постојат одредени чекори кои ќе помогнат да се подготви организација за меѓународни барања за безбедност на информациите:

1. Добијте поддршка од раководството

Можеби мислите дека ова е очигледно, но во пракса оваа точка често се занемарува. Покрај тоа, ова е една од главните причини зошто проектите за имплементација на ISO 27001 честопати не успеваат. Без разбирање на значењето на стандардниот проект за имплементација, менаџментот нема да обезбеди ниту доволно човечки ресурси ниту доволен буџет за сертификација.

2. Развијте план за подготовка на сертификација

Подготовката за сертификат ISO 27001 е сложена задача која вклучува многу различни видови на работа, бара вклучување на голем број луѓе и може да потрае многу месеци (или дури и години). Затоа, многу е важно да се создаде детален проектен план: да се распределат ресурсите, времето и вклученоста на луѓето на строго дефинирани задачи и да се следи усогласеноста со роковите - во спротивно можеби никогаш нема да ја завршите работата.

3. Дефинирајте го периметарот за сертификација

Ако имате голема организација со разновидни активности, можеби има смисла да сертифицирате само дел од бизнисот на компанијата на ISO 27001, што значително ќе го намали ризикот од вашиот проект, како и неговото време и трошоци.

4. Развијте политика за безбедност на информациите

Еден од најважните документи е Политиката за информациска безбедност на компанијата. Тоа треба да ги одразува целите за безбедноста на информациите на вашата компанија и основните принципи на управување со безбедноста на информациите, кои мора да ги следат сите вработени. Целта на овој документ е да се утврди што сака да постигне менаџментот на компанијата во областа на безбедноста на информациите, како и како тоа ќе се спроведува и контролира.

5. Дефинирајте методологија за проценка на ризикот

Една од најтешките задачи е дефинирање на правила за проценка и управување со ризикот. Важно е да се разбере кои ризици компанијата може да ги смета за прифатливи и кои бараат итна акција за нивно намалување. Без овие правила, ISMS нема да работи.
Во исто време, вреди да се потсетиме на соодветноста на преземените мерки за намалување на ризиците. Но, не треба премногу да се занесувате со процесот на оптимизација, бидејќи тие исто така повлекуваат големи временски или финансиски трошоци или едноставно може да бидат невозможни. Ви препорачуваме да го користите принципот на „минимална доволност“ кога развивате мерки за намалување на ризикот.

6. Управувајте со ризиците според одобрена методологија

Следната фаза е доследна примена на методологијата за управување со ризици, односно нивна проценка и обработка. Овој процес мора да се спроведува на редовна основа со големо внимание. Со ажурирање на регистарот за ризици за безбедноста на информациите, ќе можете ефективно да ги распределите ресурсите на компанијата и да спречите сериозни инциденти.

7. Планирајте третман со ризик

Ризиците што надминуваат прифатливо ниво за вашата компанија мора да бидат вклучени во планот за третман на ризик. Треба да ги евидентира активностите насочени кон намалување на ризиците, како и одговорните лица за нив и роковите.

8. Пополнете ја изјавата за применливост

Ова е клучен документ што ќе го проучуваат специјалисти од телото за сертификација за време на ревизијата. Треба да опише кои контроли за безбедноста на информациите се применуваат на активностите на вашата компанија.

9. Определете како ќе се мери ефективноста на контролите за безбедност на информациите.

Секоја акција мора да има резултат што води кон исполнување на поставените цели. Затоа, важно е јасно да се дефинира со кои параметри ќе се мери постигнувањето на целите како за целиот систем за управување со безбедноста на информациите, така и за секој избран контролен механизам од Анексот за применливост.

10. Спроведување на контроли за безбедноста на информациите

И само откако ќе ги завршите сите претходни чекори, треба да започнете да ги спроведувате применливите контроли за безбедност на информации од Додатокот за применливост. Најголемиот предизвик овде, се разбира, ќе биде воведувањето на сосема нов начин на вршење на работите во многу процеси на вашата организација. Луѓето имаат тенденција да се спротивставуваат на новите политики и процедури, затоа обрнете внимание на следната точка.

11. Спроведување на програми за обука за вработените

Сите точки опишани погоре ќе бидат бесмислени ако вашите вработени не ја разберат важноста на проектот и не постапуваат во согласност со политиките за безбедност на информациите. Ако сакате вашиот персонал да ги почитува сите нови правила, прво треба да им објасните на луѓето зошто тие се неопходни, а потоа да обезбедите обука за ISMS, истакнувајќи ги сите важни политики што вработените мора да ги земат предвид при нивната секојдневна работа. Недостигот од обука на персоналот е честа причина за неуспехот на проектот ISO 27001.

12. Одржувајте ги процесите на ISMS

Во овој момент, ISO 27001 станува секојдневна рутина во вашата организација. За да се потврди спроведувањето на контролите за безбедност на информациите во согласност со стандардот, ревизорите ќе треба да обезбедат евиденција - доказ за фактичкото работење на контролите. Но, најмногу од сè, записите треба да ви помогнат да следите дали вашите вработени (и добавувачи) ги извршуваат своите задачи во согласност со одобрените правила.

13. Следете го вашиот ISMS

Што се случува со вашиот ISMS? Колку инциденти имате, каков тип се тие? Дали сите процедури се почитуваат правилно? Со овие прашања, треба да проверите дали компанијата ги исполнува своите цели за безбедност на информациите. Ако не, мора да развиете план за да ја поправите ситуацијата.

14. Спроведете внатрешна ISMS ревизија

Целта на внатрешната ревизија е да се идентификуваат недоследностите помеѓу реалните процеси во компанијата и одобрените политики за безбедност на информациите. Во најголем дел, се проверува колку добро вашите вработени ги следат правилата. Ова е многу важен момент, бидејќи ако не ја контролирате работата на вашиот персонал, организацијата може да претрпи штета (намерна или ненамерна). Но, целта овде не е да се најдат виновниците и да се дисциплинираат за непочитување на политиките, туку да се поправи ситуацијата и да се спречат идни проблеми.

15. Организирајте преглед на менаџментот

Менаџментот не треба да го конфигурира вашиот заштитен ѕид, туку треба да знае што се случува во ISMS: на пример, дали секој ги исполнува своите одговорности и дали ISMS ги постигнува своите целни резултати. Врз основа на ова, менаџментот мора да донесе клучни одлуки за подобрување на ISMS и внатрешните деловни процеси.

16. Воведување систем на корективни и превентивни активности

Како и секој стандард, ISO 27001 бара „континуирано подобрување“: систематска корекција и спречување на недоследности во системот за управување со безбедноста на информациите. Преку корективни и превентивни активности, неусогласеноста може да се коригира и да се спречи повторното појавување во иднина.

Како заклучок, би сакал да кажам дека всушност, добивањето сертификат е многу потешко отколку што е опишано во различни извори. Ова се потврдува со фактот дека во Русија денес има само 78 компании се сертифицирани за усогласеност. Во исто време, ова е еден од најпопуларните стандарди во странство, кој ги задоволува растечките барања на бизнисот во областа на информациската безбедност. Ова барање за имплементација се должи не само на растот и сложеноста на видовите закани, туку и на барањата на законодавството, како и на клиентите кои треба да одржуваат целосна доверливост на нивните податоци.

И покрај фактот дека ISMS сертификацијата не е лесна задача, самиот факт на исполнување на барањата на меѓународниот стандард ISO/IEC 27001 може да обезбеди сериозна конкурентска предност на глобалниот пазар. Се надеваме дека нашата статија обезбеди првично разбирање за клучните фази во подготовката на компанија за сертификација.

Извор: www.habr.com