Kansainvälinen standardointijärjestö (ISO) on globaali elin, joka kerää ja hallinnoi erilaisia standardeja eri tieteenaloille. Nykymaailmassa, jossa niin monet teollisuudenalat ovat nyt riippuvaisia Internetistä ja digitaalisista verkoista, yhä enemmän painotetaan ISO-standardien teknologiaosia.
Erityisesti ISO 27001 -standardi on suunniteltu toimimaan kehyksenä organisaation tietoturvan hallintajärjestelmälle (ISMS). Tämä sisältää kaikki käytännöt ja prosessit, jotka liittyvät tietojen hallintaan ja käyttöön. ISO 27001 ei määrätä tiettyjä työkaluja, ratkaisuja tai menetelmiä, vaan toimii vaatimustenmukaisuuden tarkistusluettelona. Tässä artikkelissa tutkitaan, miten ISO 27001 -sertifikaatti toimii ja miksi se tuo arvoa organisaatiollesi.
Hanki ilmainen essentiaali Opas Yhdysvaltain tietosuojavaatimusten noudattamiseen ja säännöksiin
- Kuinka tulla ISO 27001 -sertifioiduksi
- ISO 27001 -vaatimustenmukaisuusstandardit
- ISO 27001 -vaatimustenmukaisuuden tarkastuskäytännöt
- Kuinka ylläpitää ISO 27001 -yhteensopivuutta
- ISO 27001 -vaatimusten noudattamisen usein kysytyt kysymykset + resurssit
Johdatus ISO 27001 -standardiin
ISO julkaisi standardipaketinsa ensimmäisen kerran vuonna 2005 ja on siitä lähtien päivitti säännöllisesti eri käytäntöjä. ISO 27001: n osalta viimeisimmät suuret muutokset otettiin käyttöön vuonna 2013. ISO 27001: n omistajuus on tosiasiallisesti jaettu ISO: n ja kansainvälisen sähköteknisen komission (IEC), joka on sveitsiläinen organisaatio, joka keskittyy ensisijaisesti sähköisiin järjestelmiin,
ISO 27001 -standardin tavoitteena on tarjota standardikehys sille, kuinka modernin organisaation tulisi hallita tietojaan. Riskienhallinta on keskeinen osa ISO 27001 -standardia. Sen avulla varmistetaan, että yritys tai voittoa tavoittelematon organisaatio ymmärtää vahvuutensa ja heikkoutensa. ISO-kypsyys on merkki turvallisesta ja luotettavasta organisaatiosta, johon voidaan luottaa datalla.
Kaikenkokoisten yritysten on tunnustettava kyberturvallisuuden merkitys, mutta yksinkertaisesti IT-tietoturvaryhmän perustaminen organisaatioon ei ole riittävästi tietojen eheyden varmistamiseksi. ISMS on kriittinen työkalu etenkin ryhmille, jotka ovat hajautuneet useisiin paikkoihin tai maihin, koska se kattaa kaikki turvallisuuteen liittyvät päästä päähän -prosessit.
ISMS: n (tietoturvan hallintajärjestelmän) pitäisi olla olemassa elävänä asiakirjakokonaisuutena organisaatiossa riskienhallintaa varten. Vuosikymmeniä sitten yritykset todella tulostaivat ISMS: n ja jakavat sen työntekijöille tietoisuuden lisäämiseksi. Nykyään ISMS tulisi tallentaa verkossa turvalliseen paikkaan, tyypillisesti tiedonhallintajärjestelmään. Työntekijöiden on voitava viitata ISMS: ään milloin tahansa ja saada varoitus, kun muutos toteutetaan. Kun haetaan ISO 27001 -sertifikaattia, ISMS on tärkein viitemateriaali, jota käytetään organisaatiosi vaatimustenmukaisuuden määrittämiseen.
ISO 27001 voi toimia ohjeena kaikille ryhmille tai yhteisöille, jotka haluavat parantaa tietoturvaansa. menetelmiä tai käytäntöjä. Niille organisaatioille, jotka haluavat olla luokkansa parhaita tällä alalla, ISO 27001 -sertifikaatti on perimmäinen tavoite. Täydellinen noudattaminen tarkoittaa, että ISMS: nne on katsottu noudattavan kaikkia kyberturvallisuuden alan parhaita käytäntöjä organisaation suojaamiseksi uhkailta, kuten lunnasohjelmilta.
Tietyillä toimialoilla, jotka käsittelevät erittäin arkaluonteisia tietoluokituksia, mukaan lukien lääketieteen ja Talousalalla ISO 27001 -sertifikaatti on edellytys toimittajille ja muille kolmansille osapuolille. Työkalut, kuten Varonis Data Classification Engine, voivat auttaa tunnistamaan nämä kriittiset tietojoukot. Mutta riippumatta siitä, missä teollisuudessa yrityksesi toimii, ISO 27001 -standardien noudattaminen voi olla valtava voitto. Sertifikaatti todistaa erityisesti asiakkaille, hallituksille ja sääntelyelimille, että organisaatiosi on turvallinen ja luotettava. Tämä parantaa mainettasi markkinoilla ja auttaa sinua välttämään taloudellisia vahinkoja tai seuraamuksia tietoturvaloukkauksista tai tietoturvaloukkauksista.
Mitä tapahtuu, jos et noudata ISO 27001 -standardia? Jos organisaatiosi on aiemmin saanut sertifikaatin, saatat olla vaarassa epäonnistua tulevassa tarkastuksessa ja menettää vaatimustenmukaisuustunnuksesi. Se voi myös estää sinua harjoittamasta yritystäsi tietyillä maantieteellisillä alueilla.
Kuinka tulla ISO 27001 -sertifioiduksi
ISO 27001 -sertifikaatin saaminen on tyypillisesti monivuotinen prosessi, joka vaatii sekä sisäisten että ulkoisten sidosryhmien merkittävää osallistumista. Se ei ole niin yksinkertaista kuin täyttää tarkistuslista ja lähettää se hyväksyttäväksi. Ennen kuin edes harkitset sertifikaatin hakemista, sinun on varmistettava, että ISMS on täysin kypsä ja kattaa kaikki mahdolliset teknologiariskin alueet.
ISO 27001 -sertifiointiprosessi on tyypillisesti jaettu kolmeen vaiheeseen:
- Organisaatio palkkaa sertifiointielimen, joka suorittaa ISMS: n perustarkastuksen etsimään tärkeimpiä asiakirjojen muodot.
- Sertifiointielin suorittaa perusteellisemman tarkastuksen, jossa ISO 27001: n yksittäiset komponentit verrataan organisaation ISMS: ään. On osoitettava, että politiikkoja ja menettelyjä noudatetaan asianmukaisesti. Päätarkastaja on vastuussa siitä, onko sertifikaatti ansaittu vai ei.
- Sertifiointielimen ja organisaation välillä on ajoitettu seurantatarkastuksia sen varmistamiseksi, että vaatimustenmukaisuus pidetään kurissa.
Mitkä ovat ISO 27001 -standardit?
Ennen kuin ryhdyt ISO 27001 -sertifikaattiyritykseen, kaikkien organisaation tärkeimpien sidosryhmien tulisi tutustua hyvin standardin järjestämiseen ja käyttöön. ISO 27001 on jaettu 12 erilliseen osioon:
- Johdanto – kuvaa mitä tietoturva on ja miksi organisaation tulisi hallita riskejä.
- Soveltamisala – kattaa korkean tason vaatimukset ISMS, jota sovelletaan kaiken tyyppisiin organisaatioihin.
- Normatiiviset viitteet – selittää ISO 27000- ja 27001 -standardien välisen suhteen.
- Termit ja määritelmät – kattaa monimutkaisen terminologian, jota käytetään standardissa. .
- Organisaation konteksti – kertoo, mitkä sidosryhmät tulisi ottaa mukaan ISMS: n luomiseen ja ylläpitoon.
- Johtajuus – kuvaa, kuinka organisaation johtajien tulisi sitoutua ISMS: n käytäntöihin ja menettelyihin .
- Suunnittelu – kattaa riskinhallinnan suunnittelun koko organisaatiossa.
- Tuki – kuvaa kuinka lisätä tietoturvaa ja jakaa vastuita.
- Käyttö – kattaa miten riskejä tulisi hallita ja miten dokumentaatio sh tulisi suorittaa auditointistandardien mukaisesti.
- Suorituskyvyn arviointi – antaa ohjeita ISMS: n suorituskyvyn seuraamiseen ja mittaamiseen.
- Parannus – selittää, kuinka ISMS: ää tulisi päivittää jatkuvasti ja parannettu, erityisesti auditointien jälkeen.
- Viiteohjauksen tavoitteet ja ohjausobjektit – toimittaa liitteen, joka sisältää yksityiskohtaiset tiedot tarkastuksen yksittäisistä osista. / h2>
ISO 27001 -standardin dokumentaatio jakaa parhaat käytännöt 14 erilliseen ohjaimeen. Sertifiointitarkastukset kattavat kunkin valvonnan vaatimustenmukaisuuden tarkastusten aikana. Tässä on lyhyt yhteenveto standardin kustakin osasta ja siitä, miten se muuttuu tosielämän auditoinniksi:
- tietoturvakäytännöt – kattaa miten käytännöt tulisi kirjoittaa ISMS: ään ja tarkistaa niiden noudattamisen suhteen . Tilintarkastajat haluavat nähdä, miten menettelytasi dokumentoidaan ja tarkistetaan säännöllisesti.
- Tietoturvaorganisaatio – kuvaa, mitkä organisaation osat ovat vastuussa mistä tehtävistä ja toiminnoista. Tilintarkastajat odottavat näkevänsä selkeän organisaatiokaavion, jossa rooliin perustuvat korkean tason vastuut.
- Henkilöresurssien turvallisuus – kattaa miten työntekijöille tulisi tiedottaa kyberturvallisuudesta aloittaessaan, poistuessaan tai vaihtaessaan tehtäviä. Tilintarkastajat haluavat nähdä selkeästi määritellyt menettelyt sisällyttämisen ja poistumisen suhteen tietoturvan suhteen.
- Omaisuudenhallinta – kuvailee prosesseja, jotka liittyvät tietovarojen hallintaan ja miten niitä tulisi suojata ja suojata. Tarkastajat tarkistavat, miten organisaatiosi seuraa laitteistoja, ohjelmistoja ja tietokantoja. Todisteiden tulisi sisältää kaikki yleiset työkalut tai menetelmät, joita käytät tietojen eheyden varmistamiseen.
- Kulunvalvonta – antaa ohjeita siitä, kuinka työntekijöiden pääsy tulisi rajoittaa erityyppisiin tietoihin. Tilintarkastajille on annettava yksityiskohtainen selvitys siitä, miten käyttöoikeudet asetetaan ja kuka on vastuussa niiden ylläpidosta.
- Salaus – kattaa salauksen parhaat käytännöt. Tarkastajat etsivät järjestelmän osia, jotka käsittelevät arkaluontoisia tietoja ja käytetyn salauksen tyyppiä, kuten DES, RSA tai AES.
- Fyysinen ja ympäristöturvallisuus – kuvaa rakennusten ja sisäisten laitteiden suojausprosessit. Tarkastajat tarkistavat fyysisen sivuston mahdolliset haavoittuvuudet, mukaan lukien toimistojen ja palvelinkeskusten pääsyn sallimisen.
- Operations Security – antaa ohjeita tietojen turvalliseen keräämiseen ja tallentamiseen, prosessi, joka on ottanut käyttöön uuden kiireellisyys yleisen tietosuoja-asetuksen (GDPR) hyväksymisen ansiosta vuonna 2018. Tilintarkastajat pyytävät nähdä todisteita tietovirroista ja selityksiä tietojen säilytyspaikoille.
- Tietoturva – kattaa kaikkien sisäisten lähetysten turvallisuuden organisaation verkosto. Tarkastajat odottavat näkevänsä yleiskuvan käytetyistä viestintäjärjestelmistä, kuten sähköposti tai videoneuvottelut, ja siitä, miten heidän tietonsa pidetään turvassa.
- Järjestelmän hankinta, kehitys ja ylläpito – yksityiskohtaiset tiedot järjestelmien hallinnointiprosesseista turvallisessa ympäristössä. Tarkastajat haluavat todisteita siitä, että kaikki organisaatioon esitetyt uudet järjestelmät pidetään korkeiden turvallisuusstandardien mukaisina.
- Toimittajasuhteet – kattaa miten organisaation tulisi olla vuorovaikutuksessa kolmansien osapuolten kanssa samalla kun varmistetaan turvallisuus. Tarkastajat tarkastavat kaikki sopimukset ulkopuolisten tahojen kanssa, joilla voi olla pääsy arkaluonteisiin tietoihin.
- Tietoturvahäiriöiden hallinta – kuvailee parhaita käytäntöjä tietoturvakysymyksiin vastaamiseksi. Tarkastajat voivat pyytää suorittamaan paloharjoituksen saadakseen selville, miten tapahtumien hallinta hoidetaan organisaatiossa. Siellä on hyödyllistä, jos sinulla on ohjelmisto, kuten SIEM epänormaalin järjestelmän käyttäytymisen havaitsemiseksi ja luokittelemiseksi.
- Liiketoiminnan jatkuvuuden hallinnan tietoturvanäkökohdat – kattaa, miten liiketoiminnan häiriöt ja suuret muutokset tulisi käsitellä. Tilintarkastajat saattavat aiheuttaa useita teoreettisia häiriöitä ja odottavat ISMS: n kattavan tarvittavat vaiheet niistä toipumiseksi.
- Vaatimustenmukaisuus – määrittää, mitkä hallituksen tai toimialan määräykset ovat organisaation kannalta merkityksellisiä, kuten ITAR. Tilintarkastajat haluavat nähdä todisteita kaikilta aloilta, joilla yritys toimii.
Yksi virhe, jonka monet organisaatiot tekevät, asettaa kaikki vastuut ISO-sertifioinnista paikalliselle IT-tiimille. Vaikka tietotekniikka on ISO 27001: n ytimessä, kaikkien organisaation osien on jaettava prosessit ja menettelyt. Tämä käsite on keskeinen idea ajatuksesta siirtää devops devsecopsiin.
Kun valmistaudut ISO 27001 -sertifiointitarkastukseen, on suositeltavaa, että haet apua ulkopuoliselta ryhmältä, jolla on vaatimustenmukaisuuskokemusta. Esimerkiksi Varonis-ryhmä on saanut täyden ISO 27001 -sertifikaatin ja voi auttaa ehdokkaita valmistelemaan vaadittavat todisteet käytettäväksi auditointien aikana. Varonis tarjoaa myös ohjelmistoratkaisuja, kuten Datalert, organisaation ISMS: n toteuttamiseksi käytännössä.
Vinkkejä ISO 27001 -yhteensopivuuden ylläpitoon
Alkuperäisen ISO 27001 -sertifikaatin ansaitseminen on vasta ensimmäinen askel täysin vaatimusten mukaiseksi. Korkean tason ja parhaiden käytäntöjen ylläpitäminen on usein haaste organisaatioille, koska työntekijät menettävät ahkeruutensa tarkastuksen jälkeen. Johdon vastuulla on varmistaa, ettei näin tapahdu.
Ottaen huomioon, kuinka usein uudet työntekijät liittyvät yritykseen, organisaation tulisi pitää neljännesvuosittaisia koulutustilaisuuksia, jotta kaikki jäsenet ymmärtäisivät ISMS: n ja sen käytön. Olemassa olevilta työntekijöiltä vaaditaan myös läpäisemään vuosittainen testi, joka vahvistaa ISO 27001: n perustavoitteita.
Jotta organisaatio pysyisi vaatimusten mukaisena, sen on suoritettava omat ISO 27001 -standardin sisäiset tarkastuksensa kolmen vuoden välein. Kyberturvallisuusasiantuntijat suosittelevat sen tekemistä vuosittain riskinhallintakäytäntöjen vahvistamiseksi ja aukkojen tai puutteiden löytämiseksi. Varonisin Datfastage-kaltaiset tuotteet voivat auttaa virtaviivaistamaan tarkastusprosessia tietojen näkökulmasta.
ISO 27001 -työryhmä tulisi perustaa sidosryhmien kanssa koko organisaatiosta. Tämän ryhmän tulisi kokoontua kuukausittain tarkastelemaan avoimia kysymyksiä ja harkitsemaan ISMS-dokumentaation päivityksiä. Tämän työryhmän yhden tuloksen tulisi olla tässä kuvatun kaltainen vaatimustenmukaisuuden tarkistuslista:
- Hanki hallintatuki kaikille ISO 27001 -toiminnoille.
- Käsittele ISO 27001 -vaatimuksia jatkuvasti projekti.
- Määritä, kuinka ISO 27001 -standardia sovelletaan organisaation eri osiin.
- Kirjoita ja päivitä ISMS-käytäntö, jossa hahmotellaan kyberturvallisuusstrategiasi korkealla tasolla.
- Määritä riskinarviointimenetelmä, jotta voit selvittää, miten ongelmat tunnistetaan ja käsitellään.
- Suorita riskinarviointi ja hoito säännöllisesti, kun ongelmat on paljastettu.
- Kirjoita selvitys sovellettavuudesta määritelläksesi mitkä ISO 27001 -standardit ovat sovellettavissa.
- Kirjoita riskinhallintasuunnitelma, jotta kaikki sidosryhmät tietävät, kuinka uhkia lievennetään. Uhkamallinnuksen käyttö voi auttaa tämän tehtävän saavuttamisessa.
- Määritä kontrollien mittaus, jotta ymmärrät ISO 27001 -käytännön parhaiden käytäntöjen toimivuuden.
- Ota käyttöön kaikki valvontatoimet ja pakolliset menettelyt ISO: n mukaisesti 27001 -standardi.
- Toteuta koulutus- ja tietoisuusohjelmia kaikille organisaatiosi henkilöille, joilla on pääsy fyysisiin tai digitaalisiin resursseihin.
- Käytä ISMS: ää osana organisaatiosi jokapäiväistä rutiinia.
- Seuraa ISMS: ää sen ymmärtämiseksi, käytetäänkö sitä tehokkaasti.
- Suorita sisäinen tarkastus jatkuvan vaatimustenmukaisuuden arvioimiseksi.
- Tarkastakaa tarkastuksen tuloksia hallinnon kanssa.
- Aseta tarvittaessa korjaavat tai ehkäisevät toimet.
ISO 27001 -pikaopas: usein kysytyt kysymykset
ISO 27001 -sertifikaatin prosessi ja laajuus voivat olla melko pelottavia, joten käsittelemme joitain usein kysyttyjä kysymyksiä. p> K: Mitkä ovat ISO 27001 -vaatimukset?
V: ISO 27001 -sertifikaatin saamiseksi organisaation on ylläpidettävä ISMS: ää, joka kattaa kaikki standardin näkökohdat. Tämän jälkeen he voivat pyytää täydellistä tarkastusta sertifiointielimeltä.
K: Mitä tarkoittaa olla ISO 27001 -sertifioitu?
V: ISO 27001 -sertifioitu tarkoittaa, että organisaatio on läpäissyt ulkoisen tarkastuksen ja täyttänyt kaikki vaatimustenmukaisuuskriteerit. Tämä tarkoittaa, että voit nyt mainostaa vaatimusten täyttämistä kyberturvallisuuden maineen parantamiseksi.
K: Mikä on uusin ISO 27001 -standardi?
V: Uusin standardi tunnetaan virallisesti nimellä ISO / IEC 27001: 2013. Se julkaistiin vuonna 2013 toisena virallisena ISO 27001 -versiona. Standardi tarkistettiin ja vahvistettiin viimeksi vuonna 2019, joten muutoksia ei tarvittu.
K: Onko ISO 27001 GDPR -yhteensopiva?
A: Koska ISO 27001 on pääasiassa kehys ISMS: n kehittämiselle, se ei kata kaikkia Euroopan unionin perustaman yleisen tietosuoja-asetuksen (GDPR) erityissääntöjä. Yhdistettynä ISO 27701 -standardiin, joka kattaa tietosuojajärjestelmän perustamisen, organisaatiot pystyvät kuitenkin täyttämään GDPR: ssä asetetut vaatimukset.
K: Mitkä ovat SOX: n ja ISO 27001?
V: Vaikka ISO 27001 kattaa yleisen tietohallinnon, Sarbanes – Oxley Act (SOX) on nimenomaan taloudellisten tietojen julkistamistapa Yhdysvalloissa. Onneksi yrityksille, joilla on laaja tiedonhallinta, ISO 27001 -sertifikaatin ansaitseminen auttaa myös osoittamaan SOX-standardien noudattamisen.
K: Mikä on muiden ISO-standardien tarkoitus?
V: ISO ylläpitää kaikkia standardeja, jotka ovat ISO 27001: n alapuolella. Nämä kaikki ottavat käsitteitä kehyksestä ja sukeltavat tarkempiin ohjeisiin siitä, miten parhaita käytäntöjä otetaan käyttöön organisaatiossa.
Resurssit
- Vihreä kirja siitä, kuinka ISO 27001 voi vähentää kyberriskiä
- Verkkoseminaari siitä, miten varmistaa onnistunut ISO 27001 -tarkastus
- Tapaustutkimukset ISO 27001 -vaatimusten noudattamisesta
Riippumatta yrityksesi koosta tai toimialasta, ISO 27001 -sertifikaatin saaminen voi olla valtava voitto. Se on kuitenkin haastava tehtävä, joten on tärkeää hyödyntää muita sidosryhmiä ja resursseja vaatimustenmukaisuushankkeen aikana. Varonis Edgen kaltaisilla työkaluilla voit pysäyttää kyberhyökkäykset ennen kuin ne saapuvat verkkoosi, samalla kun näytät todisteita ISO 27001 -yhteensopivuudestasi.