ISO 27001 felkészítés
Felépítjük az információbiztonsági irányítási rendszert (ISMS) a tanúsításig. A szabályzatok mellett a műszaki kontrollokat is bevezetjük, hogy az auditon ne a papír és a valóság különbsége legyen a téma.
Mi az ISO 27001?
Az ISO/IEC 27001 az információbiztonsági irányítási rendszerek nemzetközi szabványa. Nem egy termék vagy beállítás, hanem egy működési keret: a szervezet felméri a kockázatait, kiválasztja és bevezeti a kezelésükhöz szükséges intézkedéseket, és ezt rendszeresen felülvizsgálja.
A szabvány jelenlegi, 2022-es változatának A melléklete (Annex A) 93 kontrollt tartalmaz négy témakörben: szervezeti, személyi, fizikai és technológiai intézkedések. Hogy ezek közül mi vonatkozik a szervezetre, azt az Alkalmazhatósági Nyilatkozat (SoA) rögzíti.
A tanúsítványt akkreditált tanúsító szervezet adja ki, kétlépcsős audit után.
Nem csak egy oklevél
- Ügyfélelvárás: nagyvállalati és állami partnerek egyre gyakrabban kérik
- NIS2: az ISO 27001 szerinti működés sok NIS2-elvárást lefed
- Rend: tudni lehet, ki miért felel, és mi történik incidens esetén
- Kevesebb meglepetés: a kockázatokat előre kezelik, nem utólag
Az út a tanúsításig
Hatókör és hiányelemzés
Mely telephelyekre, rendszerekre és folyamatokra vonatkozik az ISMS, és mi hiányzik még a szabványhoz képest.
Kockázatelemzés és SoA
Az információs vagyonelemek, a fenyegetések és a kockázatkezelési terv, majd az Alkalmazhatósági Nyilatkozat.
Szabályzatok
Információbiztonsági politika, hozzáférés-kezelés, incidenskezelés, mentés, beszállítók kezelése. Annyi, amennyi kell, nem több.
Műszaki kontrollok
Az Annex A technológiai kontrolljai a gyakorlatban: tűzfal, végpontvédelem, naplózás, mentés, hardening, többlépcsős azonosítás.
Belső audit
Átnézzük, hogy a rendszer valóban úgy működik-e, ahogy le van írva, és a vezetőség is átvizsgálja.
Tanúsító audit
Felkészítjük a csapatot, összeállítjuk a bizonyítékokat, és az audit alatt is rendelkezésre állunk.
Gyakori kérdések az ISO 27001-ről
Mennyi ideig tart az ISO 27001 felkészülés?
A szervezet méretétől, a hatókörtől és a kiinduló állapottól függ. Ha a műszaki alapok és néhány szabályzat már megvan, rövidebb; ha mindent az elejéről kell felépíteni, jellemzően több hónapos projekt.
Ki adja ki az ISO 27001 tanúsítványt?
Akkreditált tanúsító szervezet, kétlépcsős audit után. Mi nem tanúsítunk, hanem felkészítjük a szervezetet, hogy az audit sikeres legyen.
Kell ISO 27001 a NIS2-höz?
Nem kötelező, de a két követelményrendszer nagyrészt átfed. Ha a szervezet ISO 27001 szerint működik, a NIS2-elvárások jelentős része már teljesül, és fordítva. Érdemes a kettőt együtt tervezni. Részletek a NIS2 felkészítés oldalon.
Mi az Annex A?
Az ISO/IEC 27001 A melléklete, amely a választható biztonsági kontrollok listáját tartalmazza. A 2022-es változatban 93 kontroll van, négy témakörben. A szervezet a kockázatelemzés alapján dönti el, melyiket alkalmazza, és ezt az Alkalmazhatósági Nyilatkozatban rögzíti.
Kérjen ajánlatot
Írja meg, mekkora a szervezet, mi lenne a tanúsítás hatóköre, és van-e már valamilyen szabályzat. Ebből becsüljük meg a felkészülés idejét és költségét.