A Nemzetközi Szabványügyi Szervezet (ISO) egy globális testület, amely a különböző tudományterületekre vonatkozó különböző szabványokat gyűjt és kezeli. A mai világban, amikor olyan sok iparág támaszkodik az internetre és a digitális hálózatokra, egyre nagyobb hangsúlyt fektetnek az ISO szabványok technológiai részeire.
Különösen az ISO 27001 szabványt tervezték működni. mint a szervezet információbiztonsági irányítási rendszerének (ISMS) kerete. Ez magában foglal minden olyan irányelvet és folyamatot, amely az adatok ellenőrzésének és felhasználásának szempontjából releváns. Az ISO 27001 nem ír elő konkrét eszközöket, megoldásokat vagy módszereket, hanem megfelelési ellenőrzőlistaként működik. Ebben a cikkben megvizsgáljuk, hogyan működik az ISO 27001 tanúsítás, és miért hozna értéket a szervezete számára.
Szerezd meg az Free Essential programot Útmutató az Egyesült Államok adatvédelmi megfeleléséhez és szabályozásához
- Hogyan lehet ISO 27001 tanúsítvánnyá válni
- ISO 27001 megfelelőségi előírások
- ISO 27001 megfelelőségi ellenőrzési ellenőrzések
- az ISO 27001 megfelelőség fenntartásának módja
- az ISO 27001 megfelelőségi GYIK + források
Bevezetés az ISO 27001-be
Az ISO először 2005-ben adta ki szabványcsaládját, azóta pedig rendszeresen frissítette a különféle irányelveket. Az ISO 27001 esetében a legfrissebb jelentős változásokat 2013-ban vezették be. Az ISO 27001 tulajdonjogát tulajdonképpen megosztja az ISO és a Nemzetközi Elektrotechnikai Bizottság (IEC), amely egy svájci szervezet, amely elsősorban az elektronikus rendszerekre koncentrál.
Az ISO 27001 célja szabványok keretrendszerének biztosítása arra vonatkozóan, hogyan kell egy modern szervezetnek kezelnie információit és adatait. A kockázatkezelés az ISO 27001 kulcsfontosságú része, biztosítva, hogy egy vállalat vagy nonprofit szervezet megértse erősségeit és gyengeségeit. Az ISO érettség egy biztonságos, megbízható szervezet jele, amelyben megbízható adatokkal rendelkezik.
Minden méretű vállalatnak fel kell ismernie a kiberbiztonság fontosságát, de egyszerűen nem szükséges egy IT-biztonsági csoportot létrehozni a szervezeten belül. elégséges az adatok integritásának biztosításához. Az ISMS kritikus eszköz, különösen a több helyen vagy országban elterjedt csoportok számára, mivel minden, a biztonsággal kapcsolatos végponttól végpontig terjedő folyamatot lefed.
Léteznie kell egy ISMS-nek (információbiztonsági kezelő rendszernek). mint a szervezeten belüli élő dokumentáció a kockázatkezelés céljából. Évtizedekkel ezelőtt a vállalatok valóban kinyomtatták az ISMS-t, és tudatosságuk érdekében szétosztották az alkalmazottakkal. Ma az ISMS-t online kell tárolni biztonságos helyen, általában egy tudáskezelő rendszerben. Az alkalmazottaknak bármikor képesnek kell lenniük hivatkozni az ISMS-re, és riasztani őket, ha változás történik. Az ISO 27001 tanúsítás megszerzésénél az ISMS a legfontosabb referenciaanyag, amelyet a szervezet megfelelőségi szintjének meghatározásához használnak.
Az ISO 27001 iránymutatásként szolgálhat minden olyan csoporthoz vagy szervezethez, amely javítani kívánja információbiztonságát. módszerek vagy politikák. Azoknak a szervezeteknek, akik ezen a területen a legjobbak a kategóriájukban, az ISO 27001 tanúsítás a végső cél. A teljes megfelelés azt jelenti, hogy az ISMS-t a kiberbiztonság területén bevált gyakorlatok betartásának tekintik, hogy megvédjék szervezetét az olyan fenyegetésekkel szemben, mint a ransomware.
Bizonyos iparágakban, amelyek nagyon érzékeny adatosztályozással foglalkoznak, beleértve az orvosi és egyéb pénzügyi területeken az ISO 27001 tanúsítás követelmény a szállítók és más harmadik felek számára. Az olyan eszközök, mint a Varonis Data Classification Engine, segíthetnek ezen kritikus adathalmazok azonosításában. De függetlenül attól, hogy melyik iparágban tevékenykedik a vállalkozása, az ISO 27001-nek való megfelelés megmutatása hatalmas győzelmet jelenthet. Pontosabban, a tanúsítás bebizonyítja az ügyfelek, a kormányok és a szabályozó szervek számára, hogy szervezete biztonságos és megbízható. Ez javítja hírnevét a piacon, és segít elkerülni az adatvédelmi vagy biztonsági események okozta pénzügyi károkat vagy büntetéseket.
Mi történik, ha nem felel meg az ISO 27001 szabványnak? Ha szervezete korábban megkapta a tanúsítást, fennáll annak a kockázata, hogy elbukik egy jövőbeni auditon és elveszíti megfelelőségi jelölését. Ez azt is megakadályozhatja, hogy bizonyos földrajzi területeken működtesse vállalkozását.
Hogyan válhat ISO 27001 tanúsítvánnyá
Az ISO 27001 minősítés megszerzése általában többéves folyamat, amely mind a belső, mind a külső érdekelt felek részvételét megköveteli. Ez nem olyan egyszerű, mint egy ellenőrzőlista kitöltése és jóváhagyásra benyújtása. Mielőtt még fontolgatná a tanúsítás igénylését, meg kell győződnie arról, hogy ISMS-je teljesen kiforrott és lefedi a technológiai kockázat minden lehetséges területét.
Az ISO 27001 tanúsítási folyamatot általában három szakaszra bontják:
- A szervezet felvesz egy tanúsító testületet, aki ezután elvégzi az ISMS alapvizsgálatát, hogy megkeresse a fő dokumentációs formák.
- A tanúsító testület mélyrehatóbb ellenőrzést végez, ahol az ISO 27001 egyes elemeit a szervezet ISMS-ével összehasonlítják. Bizonyítani kell, hogy a politikákat és eljárásokat megfelelően követik. A vezető auditor felelős annak megállapításáért, hogy a tanúsítás megszerzett-e vagy sem.
- A tanúsító szerv és a szervezet nyomon követési ellenőrzéseket ütemez a megfelelőség ellenőrzésének biztosítása érdekében.
Mik az ISO 27001 szabványok?
Mielőtt belekezdenének az ISO 27001 tanúsítási kísérletbe, a szervezeten belül minden kulcsfontosságú érdekelt félnek nagyon meg kell ismernie a szabvány elrendezését és használatát. Az ISO 27001 12 külön szakaszra tagolódik:
- Bevezetés – leírja, hogy mi az információbiztonság, és miért kell egy szervezetnek kezelnie a kockázatokat.
- Hatókör – magas szintű követelményeket tartalmaz egy Az ISMS minden típusra vagy szervezetre alkalmazandó.
- Normatív hivatkozások – elmagyarázzák az ISO 27000 és 27001 szabványok kapcsolatát.
- Fogalmak és definíciók – a szabványon belül használt komplex terminológiát fedik le. .
- A szervezet kontextusa – elmagyarázza, milyen érdekelt feleket kell bevonni az ISMS létrehozásába és fenntartásába.
- Vezetés – leírja, hogy a szervezeten belüli vezetők hogyan kötelezzék el magukat az ISMS irányelvei és eljárásai iránt. .
- Tervezés – áttekintést nyújt a kockázatkezelés tervezéséről a szervezet egészében.
- Támogatás – leírja, hogyan lehet felhívni a figyelmet az információbiztonságra és kiosztani a felelősségeket.
- Működés – kitér arra, hogy miként kell kezelni a kockázatokat és hogyan kell a dokumentációt az audit szabványok betartása érdekében kell elvégezni.
- Teljesítményértékelés – útmutatásokat nyújt az ISMS teljesítményének nyomon követésére és mérésére.
- Javítás – elmagyarázza, hogyan kell az ISMS-t folyamatosan frissíteni és továbbfejlesztve, főleg az auditokat követően.
- Referencia-ellenőrzési célok és vezérlők – mellékletet tartalmaz, amely részletezi az ellenőrzés egyes elemeit.
Mik azok az ISO 27001 ellenőrzési ellenőrzések?
Az ISO 27001 dokumentációja a bevált módszereket 14 külön vezérlőre bontja. A tanúsítási auditok a megfelelőségi ellenőrzések során mindegyikre kiterjednek az ellenőrzésekre. Az alábbiakban röviden összefoglaljuk a szabvány egyes részeit, és azt, hogy hogyan alakulnak a valós auditok:
- Információbiztonsági házirendek – kitér arra, hogyan kell a házirendeket írni az ISMS-be és ellenőrizni a megfelelésüket . Az auditorok meg fogják tudni, hogyan dokumentálják és rendszeresen felülvizsgálják az eljárásait.
- Információbiztonsági szervezet – leírja, hogy a szervezet mely részeinek milyen feladatokért és tevékenységekért kell felelősséget vállalniuk. Az auditorok várhatóan világos szervezeti diagramot fognak látni, amely szerepkörök alapján magas szintű felelősséggel jár.
- Emberi erőforrások biztonsága – kitér arra, hogy az alkalmazottaknak miként kell tájékoztatniuk a kiberbiztonságról induláskor, távozáskor vagy pozícióváltáskor. Az auditorok világosan meghatározott eljárásokat szeretnének látni a be- és kiszállásról, amikor az információbiztonságról van szó.
- Vagyonkezelés – leírja az adateszközök kezelésével kapcsolatos folyamatokat, valamint azok védelmét és védelmét. Az auditorok ellenőrzik, hogy szervezete miként tartja nyilván a hardvert, szoftvert és adatbázisokat. A bizonyítéknak tartalmaznia kell minden olyan általános eszközt vagy módszert, amelyet az adatok integritásának biztosítására használ.
- Hozzáférés-vezérlés – útmutatást nyújt arra vonatkozóan, hogy a munkavállalók hozzáférését hogyan kell korlátozni a különböző típusú adatokra. Az auditoroknak részletes magyarázatot kell adniuk arról, hogy miként állítják be a hozzáférési jogosultságokat, és ki felelős azok fenntartásáért.
- Titkosítás – a titkosítás bevált módszereire terjed ki. Az auditorok megkeressék a rendszer olyan részeit, amelyek érzékeny adatokat és az alkalmazott titkosítás típusát kezelik, például a DES, az RSA vagy az AES.
- Fizikai és környezeti biztonság – leírja az épületek és a belső berendezések biztonságának folyamatát. Az auditorok ellenőrzik a fizikai webhely esetleges sérülékenységeit, beleértve az irodákhoz és adatközpontokhoz való hozzáférés engedélyezésének módját.
- Operations Security – útmutatást nyújt az adatok biztonságos gyűjtéséhez és tárolásához, amely folyamat új sürgősség az általános adatvédelmi rendelet (GDPR) 2018-as elfogadásának köszönhetően. Az auditorok felkérik az adatáramlás bizonyítékainak és az információk tárolásának magyarázataira.
- Kommunikációs biztonság – kiterjed az összes adattovábbítás biztonságára egy szervezet hálózata. Az auditorok áttekintést várnak arról, hogy milyen kommunikációs rendszereket használnak, például e-maileket vagy videokonferenciákat, és hogyan tartják biztonságban adataikat.
- Rendszerbeszerzés, fejlesztés és karbantartás – részletezi a rendszerek biztonságos környezetben történő kezelésének folyamatait. Az auditorok bizonyítékot akarnak kapni arról, hogy a szervezetbe bevezetett minden új rendszer megfelel a magas szintű biztonsági követelményeknek.
- Beszállítói kapcsolatok – kitér arra, hogyan kell egy szervezetnek kapcsolatba lépnie harmadik felekkel a biztonság biztosítása mellett. Az auditorok felülvizsgálják a külső szervezetekkel kötött szerződéseket, amelyek hozzáférhetnek a bizalmas adatokhoz.
- Információbiztonsági incidenskezelés – ismerteti a biztonsági kérdésekre való reagálás legjobb gyakorlatát. Az auditorok kérhetnek egy tűzgyakorlat lefolytatását, hogy lássák, hogyan kezelik az események kezelését a szervezeten belül. Ebben az esetben hasznos, ha olyan szoftver van, mint a SIEM a rendellenes rendellenességek felderítésére és kategorizálására.
- Az üzletmenet-folytonosság-menedzsment információbiztonsági vonatkozásai – kiterjednek az üzleti zavarok és a nagyobb változások kezelésére. Az auditorok elméleti megszakítások sorozatát vethetik fel, és elvárják, hogy az ISMS lefedje a szükséges lépéseket a felépülésükhöz.
- Megfelelés – meghatározza, hogy milyen kormányzati vagy ipari előírások vonatkoznak a szervezetre, például az ITAR. Az auditorok bizonyítékokat akarnak látni a teljes megfelelésről minden olyan területen, ahol az üzlet működik.
Az egyik hiba, amelyet sok szervezet elkövet, az ISO-tanúsítással kapcsolatos összes felelősséget a helyi IT-csapatra ruházza. Bár az információs technológia az ISO 27001 középpontjában áll, a folyamatokat és eljárásokat a szervezet minden részének meg kell osztania. Ez a koncepció áll a gondolat középpontjában annak érdekében, hogy a devopokat átállítsák a devsecopokra.
Az ISO 27001 tanúsítási auditra való felkészülés során javasoljuk, hogy segítséget kérjen a megfelelőségi tapasztalattal rendelkező külső csoporttól. Például a Varonis csoport teljes ISO 27001 tanúsítvánnyal rendelkezik, és segítséget nyújthat a jelölteknek az ellenőrzések során felhasználandó szükséges bizonyítékok elkészítésében. A Varonis olyan szoftveres megoldásokat is kínál, mint a Datalert, amelyek segítenek a szervezet ISMS-jének gyakorlatba ültetésében.
Tippek az ISO 27001 megfelelőség fenntartásához
Az eredeti ISO 27001 tanúsítás megszerzése csak a teljes megfelelés első lépése. A magas színvonal és a bevált gyakorlatok fenntartása gyakran kihívást jelent a szervezetek számára, mivel az alkalmazottak általában elveszítik szorgalmukat az audit befejezése után. A vezetés feladata, hogy megbizonyosodjon arról, hogy ez nem történik meg.
Tekintettel arra, hogy az új alkalmazottak milyen gyakran csatlakoznak egy vállalathoz, a szervezetnek negyedévente kell oktatást tartania, hogy minden tag megértse az ISMS-t és annak használatát. A meglévő alkalmazottaknak azt is meg kell követelniük, hogy évente tegyenek tesztet, amely megerősíti az ISO 27001 alapvető céljait.
A megfelelőség fenntartása érdekében a szervezeteknek háromévente egyszer el kell végezniük saját ISO 27001 belső auditjaikat. A kiberbiztonsági szakértők azt javasolják, hogy ezt évente tegyék meg a kockázatkezelési gyakorlatok megerősítése, valamint az esetleges hiányosságok és hiányosságok felkutatása érdekében. Az olyan termékek, mint a Varonis Datadvantage, segíthetnek az audit folyamatának egyszerűsítésében az adatok szempontjából.
ISO 27001 munkacsoportot kell létrehozni a szervezet egészének érdekeltjeivel. Ennek a csoportnak havonta össze kell gyűlnie, hogy megvizsgálja a nyitott kérdéseket, és fontolóra vegye az ISMS dokumentációjának frissítéseit. Ennek a munkacsoportnak az egyik eredménye az itt felvázolt megfelelőségi ellenőrzőlista legyen:
- Az ISO 27001 összes tevékenységéhez szerezzen vezetői támogatást.
- Az ISO 27001 megfelelőséget folyamatosként kezelje. projekt.
- Határozza meg, hogy az ISO 27001 hogyan alkalmazható a szervezet különböző részeire.
- Írja és frissítse az ISMS-házirendet, amely magas szinten felvázolja a kiberbiztonsági stratégiáját.
- Határozza meg a kockázatértékelési módszertant annak felismerésére, hogy miként lehet azonosítani és kezelni a kérdéseket.
- Rendszeresen végezzen kockázatértékelést és kezelést a problémák feltárása után.
- Írjon alkalmazhatósági nyilatkozatot annak meghatározásához, hogy mely ISO 27001 ellenőrzések alkalmazhatók.
- Írjon kockázatkezelési tervet, hogy minden érdekelt tudja, hogyan mérsékelik a fenyegetéseket. A fenyegetésmodellezés segíthet ennek a feladatnak a megvalósításában.
- Határozza meg a kontrollok mérését, hogy megértse, hogyan teljesítenek az ISO 27001 bevált gyakorlatok. 27001 szabvány.
- Képzési és figyelemfelkeltő programokat hajtson végre a szervezetében minden olyan személy számára, aki hozzáfér a fizikai vagy digitális eszközökhöz.
- Az ISMS-t a szervezete mindennapi rutinjának részeként működtetheti.
- Figyelje az ISMS-t, hogy megértse, hatékonyan használják-e.
- Futtasson belső ellenőrzéseket a folyamatos megfelelés felmérése érdekében.
- Ellenőrizze az audit eredményeit a vezetőséggel.
- Ha szükséges, állítson be korrekciós vagy megelőző intézkedéseket.
ISO 27001 gyors útmutató: GYIK
Az ISO 27001 tanúsítás folyamata és hatóköre meglehetősen ijesztő lehet, ezért foglalkozzunk néhány gyakran feltett kérdéssel.
K: Mik az ISO 27001 követelményei?
V: Az ISO 27001 tanúsítás megszerzéséhez a szervezetnek olyan ISMS-t kell fenntartania, amely lefedi a szabvány minden szempontját. Ezt követően teljes auditot kérhetnek egy tanúsító szervtől.
K: Mit jelent ISO 27001 tanúsítvánnyal rendelkezni?
V: ISO 27001 tanúsítvánnyal azt jelenti, hogy szervezet sikeresen megfelelt a külső ellenőrzésen, és teljesítette az összes megfelelési kritériumot Ez azt jelenti, hogy a kiberbiztonsági hírnevének növelése érdekében hirdetheti a megfelelőségét.
K: Mi a legújabb ISO 27001 szabvány?
V: A legújabb szabvány hivatalosan ISO / IEC néven ismert 27001: 2013. 2013-ban jelent meg az ISO 27001 második hivatalos kiadásaként. A szabványt utoljára 2019-ben ellenőrizték és erősítették meg, vagyis nem kellett változtatni.
K: Az ISO 27001 GDPR-kompatibilis?
A: Mivel az ISO 27001 elsősorban az ISMS fejlesztésének kerete, ezért nem fogja lefedni az Európai Unió által létrehozott Általános Adatvédelmi Rendelet (GDPR) összes különös szabályát. Azonban az ISO 27701-sel párosítva, amely kiterjed az adatvédelmi rendszer létrehozására, a szervezetek teljes mértékben képesek lesznek megfelelni a GDPR-ben meghatározott követelményeknek.
K: Melyek a SOX és a SOX főbb hasonlóságai vagy különbségei ISO 27001?
V: Míg az ISO 27001 kiterjed az információk és adatok általános kezelésére, a Sarbanes – Oxley törvény (SOX) kifejezetten a pénzügyi információk Egyesült Államokban történő közzétételére vonatkozik. Szerencsére azoknak a vállalatoknak, akik széles körű adatkezeléssel rendelkeznek, az ISO 27001 tanúsítás megszerzése szintén segít bizonyítani a SOX szabványoknak való megfelelést.
K: Mi a célja az egyéb ISO-nak?
V: Az ISO teljes körű szabványokat tart fenn, amelyek az ISO 27001 alatt találhatók. Ezek mind a keretből vesznek át koncepciókat, és konkrétabb irányelvekbe merülnek a legjobb gyakorlatok szervezeten belüli bevezetésének módjaiban.
Erőforrások
- Zöld könyv arról, hogyan csökkentheti az ISO 27001 a számítógépes kockázatokat
- Webes szeminárium az ISO 27001 sikeres auditjának biztosításáról
- Esettanulmányok az ISO 27001 megfelelésről
Nem számít a cég mérete vagy milyen iparágban dolgozik, az ISO 27001 tanúsítás megszerzése óriási győzelmet jelenthet. Ez azonban kihívást jelentő feladat, ezért fontos, hogy a megfelelőségi projekt során más érdekelt feleket és erőforrásokat kihasználjon. Az olyan eszközökkel, mint a Varonis Edge, le lehet állítani a kiber támadásokat, mielőtt azok elérnék a hálózatot, miközben bizonyítékot mutat az ISO 27001 megfelelőségére is.