Dažniausiai klausimas apie ISO 27001 mažoje įmonėje kyla ne iš vidaus, o iš išorės. Didelis klientas atsiunčia tiekėjo klausimyną, kuriame yra eilutė „Ar turite ISO 27001 sertifikatą?“. Arba viešojo pirkimo sąlygose atsiranda reikalavimas, kurio neatitikus pasiūlymas net nevertinamas. Tada vadovas pradeda skaičiuoti: ar verta, kiek tai kainuos laiko ir ar nėra paprastesnio kelio.
Atsakymas priklauso nuo to, kam sertifikato reikia ir ko iš tikrųjų tikisi klientas. Daliai įmonių sertifikatas atveria rinkas, kurios kitaip lieka uždarytos. Kitai daliai užtenka sutvarkyti saugumą pagal standarto reikalavimus ir tai įrodyti be sertifikavimo įstaigos antspaudo.
Šiame straipsnyje paaiškinsime, kas iš tiesų yra ISO 27001, kada sertifikatas būtinas, kokie etapai laukia ir kiek realistiškai jie trunka 20–100 darbuotojų įmonei.
Kas yra ISO 27001 ir ką reiškia ISMS
ISO 27001 – tarptautinis informacijos saugumo valdymo standartas. Jis nereikalauja konkrečios technologijos ar programinės įrangos. Jis reikalauja, kad įmonė turėtų veikiančią informacijos saugumo valdymo sistemą (ISMS, angl. Information Security Management System).
ISMS – tai ne programa ir ne aplankas su politikomis. Tai būdas, kuriuo įmonė nuolat atsako į keturis klausimus: kokią informaciją saugome, kas jai gresia, ką darome, kad grėsmės nesirealizuotų, ir kaip žinome, kad tai veikia. Standartas apibrėžia, kaip šis ciklas turi būti organizuotas, o priedas su kontrolių sąrašu (organizacinės, žmonių, fizinės ir technologinės kontrolės) duoda konkrečių priemonių meniu, iš kurio įmonė renkasi pagal savo rizikas.
Mažai įmonei svarbu suprasti: standartas yra proporcingas. Dešimties žmonių programinės įrangos kūrėjo ISMS gali tilpti į keliolika dokumentų ir vieną rizikų registrą. Niekas nereikalauja atskiro saugumo skyriaus.
Kada sertifikatas tikrai reikalingas
Sertifikatas – tai nepriklausomos sertifikavimo įstaigos patvirtinimas, kad jūsų ISMS atitinka standartą. Jis reikalingas tada, kai kažkas iš išorės reikalauja būtent jo, o ne jūsų žodžio.
- Klientų reikalavimai. Didelės įmonės, ypač finansų, telekomunikacijų ir tarptautinės grupės, vis dažniau reikalauja sertifikato iš tiekėjų, kurie tvarko jų duomenis ar jungiasi prie jų sistemų. Be sertifikato tiekėjo vertinimas užtrunka mėnesius arba apskritai neįvyksta.
- Konkursai. Viešuosiuose ir privačiuose pirkimuose sertifikatas būna kvalifikacinis reikalavimas. Jo neturint pasiūlymas atmetamas neskaitant.
- Eksportas. Parduodant IT paslaugas ar programinę įrangą į Skandinaviją, Vokietiją ar Jungtinę Karalystę, sertifikatas dažnai yra pirmas klausimas, kurį užduoda pirkėjo saugumo skyrius.
- Reguliuojami klientai. Jei jūsų klientai patenka į TIS2 ar DORA reikalavimus, jie privalo vertinti tiekėjų saugumą, o sertifikatas tą vertinimą labai supaprastina.
Jei nė vienas iš šių atvejų jums netaikomas, sertifikatas gali būti brangus ženkliukas, kurio niekas neprašo.
Kada užtenka dirbti „pagal reikalavimus“
Nemaža dalis įmonių pasirenka tarpinį kelią: įsidiegia ISMS pagal standartą, bet nesertifikuoja. Tai prasminga, kai klientai prašo ne sertifikato, o įrodymų, kad saugumas valdomas: politikų, rizikų vertinimo, incidentų procedūros, kopijų testų.
Toks kelias pigesnis ir greitesnis, nes atkrenta sertifikavimo auditas ir kasmetiniai priežiūros auditai. Įmonė gauna beveik visą naudą: tvarką, aiškias atsakomybes, mažiau incidentų ir pasiruošimą sertifikuotis vėliau, jei prireiks. Pati MDP CLOUD paslaugas teikia dirbdama pagal ISO 27001 reikalavimus, todėl klientų klausimynus užpildome iš turimų dokumentų, o ne rašome atsakymus iš naujo.
Svarbu neapsigauti: „pagal reikalavimus“ reiškia, kad ISMS realiai veikia. Jei tai tik politikų rinkinys, kuriuo niekas nesivadovauja, pirmas rimtesnis kliento auditas tai parodys.
Geras kompromisas – įsidiegti ISMS taip, kad sertifikavimas liktų galimas per kelis mėnesius, jei atsirastų klientas, kuriam jo reikia. Tada sprendimas sertifikuotis tampa komerciniu, o ne skubiu projektu.
Etapai ir realistiška trukmė
Mažai įmonei, kuri pradeda nuo nulio, kelias iki sertifikato dažniausiai trunka nuo šešių iki dvylikos mėnesių. Štai etapai ir jų apytikslė trukmė mūsų praktikoje.
Apimties nustatymas ir spragų analizė (2–4 savaitės)
Apibrėžiama, kas patenka į ISMS: visa įmonė ar tik viena paslauga, kurie biurai, sistemos, tiekėjai. Tada palyginama esama padėtis su standarto reikalavimais. Rezultatas – aiškus sąrašas, ko trūksta.
Rizikų vertinimas ir kontrolių parinkimas (4–6 savaitės)
Sudaromas turto registras, įvertinamos rizikos, parenkamos kontrolės ir parengiamas taikomumo pareiškimas. Tai svarbiausias etapas, nes nuo jo priklauso, kiek dokumentų ir techninių priemonių reikės. Rizikų vertinimą dažnai atliekame kaip atskirą darbą, net jei įmonė dar nenusprendė dėl sertifikato.
Dokumentų rengimas ir priemonių diegimas (2–4 mėnesiai)
Rašomos politikos ir procedūros, diegiamos techninės priemonės: daugiapakopė autentifikacija, galinių įrenginių apsauga, kopijų atskyrimas, prieigų peržiūra, žurnalų rinkimas. Čia daugiausia darbo tenka IT tiekėjui.
Veikimo laikotarpis (ne mažiau 2–3 mėnesių)
Sertifikavimo auditorius tikrins įrašus: incidentų žurnalą, prieigų peržiūras, mokymų protokolus, vadovybės peržiūros rezultatus. Įrašai turi susikaupti, todėl ISMS turi veikti kurį laiką prieš auditą. Šio etapo sutrumpinti neįmanoma.
Vidaus auditas, vadovybės peržiūra ir sertifikavimo auditas (1–2 mėnesiai)
Atliekamas vidaus auditas, vadovybė peržiūri sistemą ir priima sprendimus, tada vyksta dviejų etapų sertifikavimo auditas: dokumentų ir veikimo. Po sėkmingo audito išduodamas sertifikatas trejiems metams su kasmetiniais priežiūros auditais.
Dažniausios klaidos
Pirma – perkami dokumentų šablonai ir pervadinami. Auditorius per pusvalandį pamato, kad politikoje minimi padaliniai, kurių įmonė neturi. Antra – apimtis pasirenkama per plati. Jei sertifikato reikia dėl vienos paslaugos, nebūtina į ISMS įtraukti visos įmonės. Trečia – vadovybė dalyvauja tik pasirašydama. Standartas reikalauja vadovybės peržiūros su realiais sprendimais, o auditorius klausinės būtent vadovo. Ketvirta – techninė dalis paliekama paskutiniam mėnesiui, nors kopijų atskyrimas ar prieigų sutvarkymas gali užtrukti ilgiau nei dokumentai.
Ką daro IT tiekėjas, o ką pati įmonė
Aiškus darbų pasidalijimas sutaupo daugiausia laiko.
IT tiekėjas: techninių kontrolių diegimas ir jų įrodymai, kopijų ir atstatymo testai, pažeidžiamumų valdymas, prieigų administravimas, žurnalų rinkimas, techninės politikos ir procedūros, pasirengimas techninei audito daliai. Jei IT priežiūra jau perduota išorei, dauguma šių dalykų turėtų būti IT priežiūros paslaugos dalis.
Pati įmonė: apimties ir rizikos apetito sprendimai, informacijos savininkų paskyrimas, darbuotojų mokymai ir jų įrašai, personalo procedūros (priėmimas, atleidimas, konfidencialumas), tiekėjų sutartys, vadovybės peržiūra. Šių dalykų tiekėjas padaryti už jus negali, nes auditorius tikrins, ar įmonė pati valdo savo saugumą.
Nuo ko pradėti
- Atsakykite sau, kam sertifikato reikia. Jei yra konkretus klientas ar konkursas, užsirašykite jo terminą – nuo jo skaičiuosite atgal.
- Nustatykite apimtį kuo siauresnę, bet prasmingą klientui.
- Užsakykite spragų analizę ir rizikų vertinimą. Tai duos realų darbų sąrašą ir trukmę vietoj spėjimų.
- Sutvarkykite techninius pagrindus iš karto, nelaukdami dokumentų: autentifikaciją, apsaugą, kopijas.
- Paskirkite atsakingą žmogų įmonės viduje. Jei tokio nėra, CISO paslauga užtikrina, kad ISMS turėtų šeimininką be papildomo etato.
Mūsų komanda, turinti galiojančius ISACA sertifikatus, padeda ir sertifikuotis, ir tiesiog sutvarkyti saugumą pagal reikalavimus. Pirmo pokalbio metu sąžiningai pasakysime, kuris kelias jūsų atveju prasmingesnis.
