Како применити ИСО 27001: упутства за употребу

Данас је питање информационе безбедности (у даљем тексту информациона безбедност) предузећа једно од најхитнијих у свету. И то није изненађујуће, јер у многим земљама постоје пооштравање захтева за организације које чувају и обрађују личне податке. Тренутно, руско законодавство захтева одржавање значајног дела тока докумената у папирној форми. Истовремено, приметан је тренд дигитализације: многе компаније већ чувају велику количину поверљивих информација како у дигиталном формату, тако иу облику папирних докумената.

Prema rezultatima анкета Анти-Малваре Аналитички центар, 86% испитаника је навело да су током године бар једном морали да решавају инциденте након сајбер напада или као резултат кршења од стране корисника утврђених прописа. С тим у вези, давање приоритета безбедности информација у пословању постало је неопходно.

Тренутно, корпоративна информациона безбедност није само скуп техничких средстава, као што су антивируси или заштитни зидови, већ је интегрисани приступ управљању имовином компаније уопште и информацијама посебно. Компаније различито приступају овим проблемима. Данас бисмо желели да говоримо о примени међународног стандарда ИСО 27001 као решењу таквог проблема. За компаније на руском тржишту, присуство таквог сертификата поједностављује интеракцију са страним клијентима и партнерима који имају високе захтеве по овом питању. ИСО 27001 има широку примену на Западу и покрива захтеве у области информационе безбедности, који треба да буду покривени техничким решењима која се користе, а такође доприносе развоју пословних процеса. Дакле, овај стандард може постати ваша конкурентска предност и тачка контакта са страним компанијама.

Ова сертификација Система управљања безбедношћу информација (у даљем тексту ИСМС) сакупила је најбоље праксе за пројектовање ИСМС-а и, што је најважније, омогућила могућност избора контролних алата за обезбеђивање функционисања система, захтеве за технолошку безбедносну подршку, па чак и за процес управљања кадровима у предузећу. На крају крајева, неопходно је разумети да су технички кварови само део проблема. У питањима информационе безбедности, људски фактор игра огромну улогу и много је теже елиминисати или минимизирати.

Ако ваша компанија жели да добије ИСО 27001 сертификат, можда сте већ покушали да пронађете лак начин да то урадите. Морамо да вас разочарамо: овде нема лаких путева. Међутим, постоје одређени кораци који ће помоћи да се организација припреми за међународне захтеве безбедности информација:

1. Добијте подршку од менаџмента

Можда мислите да је ово очигледно, али у пракси се ова тачка често занемарује. Штавише, ово је један од главних разлога зашто пројекти имплементације ИСО 27001 често пропадају. Без разумевања значаја стандардног пројекта имплементације, менаџмент неће обезбедити ни довољне људске ресурсе ни довољан буџет за сертификацију.

2. Развити план припреме за сертификацију

Припрема за ИСО 27001 сертификацију је сложен задатак који укључује много различитих врста посла, захтева учешће великог броја људи и може трајати много месеци (или чак година). Због тога је веома важно направити детаљан план пројекта: доделити ресурсе, време и ангажовање људи на стриктно дефинисаним задацима и пратити поштовање рокова – иначе нећете моћи да завршите посао.

3. Дефинишите периметар сертификације

Ако имате велику организацију са разноврсним активностима, можда има смисла да сертификујете само део пословања компаније према ИСО 27001, што ће значајно смањити ризик вашег пројекта, као и његово време и трошкове.

4. Развити политику безбедности информација

Један од најважнијих докумената је Политика информационе безбедности компаније. Требало би да одражава циљеве информационе безбедности ваше компаније и основне принципе управљања безбедношћу информација које морају да поштују сви запослени. Сврха овог документа је да се утврди шта менаџмент компаније жели да постигне у области информационе безбедности, као и како ће се то спроводити и контролисати.

5. Дефинишите методологију процене ризика

Један од најтежих задатака је дефинисање правила за процену и управљање ризиком. Важно је разумети које ризике компанија може сматрати прихватљивим и који захтевају хитну акцију да их смањи. Без ових правила, ИСМС неће радити.
Истовремено, вреди запамтити адекватност предузетих мера за смањење ризика. Али не би требало да се превише заносите процесом оптимизације, јер они такође захтевају велике временске или финансијске трошкове или могу једноставно бити немогући. Препоручујемо да користите принцип „минималне довољности” када развијате мере за смањење ризика.

6. Управљати ризицима према одобреној методологији

Следећа фаза је доследна примена методологије управљања ризицима, односно њихова процена и обрада. Овај процес се мора спроводити редовно са великом пажњом. Одржавањем регистра ризика за безбедност информација ажурним, моћи ћете да ефикасно алоцирате ресурсе компаније и спречите озбиљне инциденте.

7. Планирајте третман ризика

Ризици који премашују прихватљив ниво за вашу компанију морају бити укључени у план третмана ризика. Требало би да евидентира радње које имају за циљ смањење ризика, као и лица одговорна за њих и рокове.

8. Попуните Изјаву о применљивости

Ово је кључни документ који ће током ревизије проучити стручњаци из сертификационог тела. Требало би да опише које се контроле безбедности информација примењују на активности ваше компаније.

9. Одредите како ће се мерити ефикасност контрола безбедности информација.

Свака акција мора имати резултат који води ка испуњењу постављених циљева. Због тога је важно јасно дефинисати којим параметрима ће се мерити постизање циљева како за цео систем управљања безбедношћу информација, тако и за сваки одабрани контролни механизам из Анекса применљивости.

10. Спровести контролу безбедности информација

И тек након што завршите све претходне кораке, требало би да почнете да примењујете применљиве контроле безбедности информација из Додатка о применљивости. Највећи изазов овде ће, наравно, бити увођење потпуно новог начина рада у многим процесима ваше организације. Људи имају тенденцију да се опиру новим политикама и процедурама, па обратите пажњу на следећу тачку.

11. Спровођење програма обуке запослених

Све горе описане тачке биће бесмислене ако ваши запослени не разумеју важност пројекта и не поступају у складу са политикама безбедности информација. Ако желите да ваше особље поштује сва нова правила, прво морате објаснити људима зашто су она неопходна, а затим обезбедити обуку о ИСМС-у, наглашавајући све важне политике које запослени морају да воде рачуна у свом свакодневном раду. Недостатак обуке особља је чест разлог за неуспех пројекта ИСО 27001.

12. Одржавање ИСМС процеса

У овом тренутку, ИСО 27001 постаје свакодневна рутина у вашој организацији. Да би потврдили спровођење контрола безбедности информација у складу са стандардом, ревизори ће морати да обезбеде евиденцију – доказ о стварном функционисању контрола. Али пре свега, евиденција би требало да вам помогне да пратите да ли ваши запослени (и добављачи) обављају своје задатке у складу са одобреним правилима.

13. Пратите свој ИСМС

Шта се дешава са вашим ИСМС-ом? Колико инцидената имате, које су врсте? Да ли се све процедуре правилно поштују? Уз ова питања, требало би да проверите да ли компанија испуњава своје циљеве безбедности информација. Ако не, морате развити план за исправљање ситуације.

14. Спровести интерну ИСМС ревизију

Сврха интерне ревизије је да идентификује недоследности између актуелних процеса у компанији и одобрених политика безбедности информација. Углавном, то је провера да ли се ваши запослени придржавају правила. Ово је веома важна тачка, јер ако не контролишете рад свог особља, организација може да претрпи штету (намерну или ненамерну). Али овде није циљ пронаћи кривце и дисциплиновати их за непоштовање политике, већ исправити ситуацију и спречити будуће проблеме.

15. Организујте преглед менаџмента

Менаџмент не би требало да конфигурише ваш заштитни зид, али треба да зна шта се дешава у ИСМС-у: на пример, да ли сви испуњавају своје обавезе и да ли ИСМС постиже своје циљне резултате. На основу тога, менаџмент мора донијети кључне одлуке за побољшање ИСМС-а и интерних пословних процеса.

16. Увести систем корективних и превентивних радњи

Као и сваки стандард, ИСО 27001 захтева „стално унапређење“: систематско исправљање и спречавање недоследности у систему управљања безбедношћу информација. Кроз корективне и превентивне радње, неусаглашеност се може исправити и спречити да се понови у будућности.

У закључку, желео бих да кажем да је у ствари добијање сертификата много теже него што је описано у различитим изворима. То потврђује и чињеница да у Русији данас постоје само КСНУМКС компаније су сертификовани за усаглашеност. Истовремено, ово је један од најпопуларнијих стандарда у иностранству, који задовољава растуће захтеве пословања у области информационе безбедности. Овај захтев за имплементацијом није само због раста и сложености врста претњи, већ и због захтева законодавства, као и клијената који морају да одрже потпуну поверљивост својих података.

Упркос чињеници да ИСМС сертификација није лак задатак, сама чињеница испуњавања захтева међународног стандарда ИСО/ИЕЦ 27001 може да обезбеди озбиљну конкурентску предност на глобалном тржишту. Надамо се да је наш чланак пружио почетно разумевање кључних фаза у припреми компаније за сертификацију.

Извор: ввв.хабр.цом