ISO/IEC 27001 Tietoturvallisuuden hallintajärjestelmän (ISMS) sertifiointi

Kansainvälisessä ISO 27001 -standardissa määritellään vaatimukset tietoturvallisuuden hallintajärjestelmille. Standardissa on parhaat käytännöt riskien tunnistamiseen, analysointiin ja valvontaan niiden hallitsemiseksi ja lieventämiseksi, mikä pienentää tietoturvarikkomusten todennäköisyyttä.
Mikä tahansa organisaatio voi koosta tai toimialasta riippumatta hyödyntää ISO 27001 -standardin vaatimuksia ja hallintakeinoja ottaakseen käyttöön tehokkaan tietoturvallisuuden hallintajärjestelmän, joka voidaan sertifioida riippumattomasti.

Riippumattoman ja hyvämaineisen sertifiointiorganisaation myöntämä akkreditoitu ISO 27001 -sertifiointi osoittaa sitoutumisenne tietoturvallisuuteen ja antaa puolueettoman kuvan ISMS-järjestelmänne vakaudesta ja tehokkuudesta. Tämä auttaa täyttämään sopimusvelvoitteita ja toimii monessa tapauksessa lupana kaupankäyntiin.

Suojaa yrityksen tietoja ja mainetta

ISO 27001 -sertifiointi osoittaa, että suhtaudutte tietoturvallisuuteen systemaattisesti ja riskiperusteisesti parhaat käytännöt huomioiden: 

• Tieto- ja kyberturvallisuuden riskien tunnistaminen
• Riskien analysointi vaikutuksen ja todennäköisyyden perusteella
• Riskien arviointi ja priorisointi yrityksen toimialaan liittyvien tekijöiden perusteella
• Riskien käsittelyvaihtoehtojen valinta

Osoitus lakien, säännösten ja sopimusvelvoitteiden noudattamisesta

ISO 27001 -sertifiointi edellyttää tarvittavien lakien, kuten EU:n GDPR-vaatimusten ja Yhdysvaltojen HIPAA-lain huomiointia. Tällä on myönteinen vaikutus riskienhallintaan ja yrityksen hallintotapaan. Se auttaa osoittamaan vaatimustenmukaisuuden ja täyttämään sopimusvelvoitteita.

Kilpailuetu

LRQA:n sertifiointi on asiakkaille ja sidosryhmille merkki siitä, että yritys huolehtii tietoturvastaan ja on varautunut turvallisuusriskeihin, jotka voivat liittyä IT-ympäristöön, ihmisiin, fyysiseen ympäristöön tai liiketoiminnan jatkuvuuteen.

ISO 27001 -sertifiointi on todiste yrityksen kyvykkyydestä ja osoittaa, että toimintanne on kansainvälisesti tunnustettujen parhaiden käytäntöjen mukaista, mikä auttaa saamaan uusia asiakkaita.

ISO 27001 -auditoinnit noudattavat samaa periaatetta kuin muut Annex SL -perustaiset johtamisjärjestelmät. Prosessin voi aloittaa koulutuksella ja kuiluanalyysilla, mutta varsinainen prosessi sisältää ISMS-järjestelmän suunnittelun auditoinnin (vaihe 1) ja sen toiminnan auditoinnin (vaihe 2). Näiden auditointien tulosten teknisen tarkistuksen suorittaa LRQA:n pätevä riippumaton ammattilainen, mikä takaa yhdenmukaisuuden parhaiden käytäntöjen kanssa, joihin olemme akkreditoijina sitoutuneet.

Hyväksynnän jälkeen ISO 27001 -sertifiointi myönnetään, mistä käynnistyy kolmevuotinen valvontatarkastusten kausi. Tämän jälkeen auditointi on uusittava seuraavaksi kolmivuotiskaudeksi. Valvonnan avulla sekä LRQA että organisaationne pystyy hallitsemaan muutoksia ja varmistamaan, että auditoinnit palvelevat alan nykyisiä tarpeita.

Hyväksytty sertifionti on voimassa kolme vuotta, minkä aikana järjestelmän ylläpidon tehokkuutta tarkkaillaan valvontaohjelmalla.

Tyypilliseen tietoturvallisuuden hallintajärjestelmän (ISMS) sertifikaatin laajuuteen ja lausuntoon sisältyvät tuotteiden ja palveluiden toimittamiseen liittyvvät palvelut. Sen ei tarvitse sisältää sisäisiä toimintoja tai ISMS-prosesseja. Tarkoitus on vakuuttaa lukijalle, että tuotetta tai palvelua vastaanotettaessa annetut tiedot ovat turvassa.

Soveltuvuuslausunnolla tarkoitetaan valittujen hallintakeinojen luetteloa. Siinä ei eritellä hallintakeinojen sisältöä vaan annetaan jäljitettävä viite käytettyyn ohjaavaan lausuntoon, jota on käytetty viimeisimmän ISO 27001 -auditoinnin perusteena. Joskus organisaatioilla on jaettava jullkinen versio, jossa luetellaan ISO 27001 -standardin liitteestä A valitut hallintakeinot, mutta tämä ei ole pakollista.

Kustannus perustuu auditointipäivien määrään, joka puolestaan riippuu tietoturvallisuuden hallintajärjestelmän piirissä olevien työntekijöiden määrästä. Auditointipäivien määrä on julkaistu ISO 27006 -akkreditointistandardissa, ja se on julkisesti nähtävillä. Valitsemalla LRQA:n kaltaisen akkreditoidun arviointilaitoksen saatte auditoinnin kestosta arvion, joka perustuu alan parhaisiin käytäntöihin ja on verrattavissa muiden akkreditoitujen sertifiointiorganisaatioiden vastaaviin.

Esimerkiksi organisaatio, jossa on 100 työntekijää kokoaikaisiksi muutettuina, voi odottaa perusauditoinnin (vaiheet 1 ja 2) kestävän 8–12 päivää toimialasta ja työympäristön kompleksisuudesta riippuen sekä sen mukaan, sisältääkö toiminta ohjelmistokehitystä ja onko tietoturva sisällytettävä itse tuotteeseen. Auditointia seuraava valvontaohjelma kestää 3–4 päivää vuodessa ja uusinta 6–8 päivää.

Kyllä, sillä sekä ISO 9001 että ISO 27001 perustuvat johtamisjärjestelmien parhaiden käytäntöjen geneeriseen Annex SL -malliin, joten hallinnan ydinprosessit voidaan optimoida vastaamaan kummankin standardin vaatimuksiin. Itse asiassa kummankin standardin huomioiva järjestelmä parantaa organisaation hallinnon tehokkuutta. Esimerkiksi kasvun kaltaiset liiketoiminnan tavoitteet edellyttävät usein uusien tuotteiden kehittämistä, kun taas turvallisuus katsotaan yleensä laatustandardiksi, joka noudattelee markkinoiden odotuksia. Yhdistämällä arvioinnit voidaan myös välttää päällekkäisyydet, mikä säästää auditointiaikaa ja on näin kustannustehokkaampaa.

Organisaation polku ISO 27001 -sertifiointiin on yleensä riippuvainen yrityksen kypsyytasosta suhteessa tietoturvallisuuden hallintaan ja laajempaan riskienhallintaan muiden tekijöiden ohella. Useimmissa yrityksissä, joilla ei vielä ole ISO 27001 -sertifiointia, noudatetaan yleensä alla kuvattua prosessia. 

1. ISO 27001 -sertifioinnin nopeuttaminen: ISO 27001 -koulutuksissamme voitte kartuttaa tietoa standardista ja sen vaatimuksista, ja saatte tarvittavia tietoja johtamisjärjestelmänne optimointiin.

2. Valmiuksien arviointi: Valinnaisiin ennakkoarviointeihimme kuuluvat kuiluanalyysi ja kartoituskäynti. Auditoinnin asiantuntijamme arvioi järjestelmänne sertifiointivalmiuden ja kertoo parannettavat osa-alueet ennen virallista ISO 27001 -auditointia.

3. Auditointivaihe 1 Audit – Asiakirjojen tarkastus ja suunnittelu: Auditoija tarkastaa johtamisjärjestelmän suunnittelun ja dokumentaation sekä arvioi, täyttävätkö ne standardin ja halutunlaajuisen auditoinnin vaatimukset. Tämän jälkeen haastatellaan tiimin avainjäseniä. Vaihe 1 toteutetaan useimmiten etäyhteyksillä.
4. Auditointivaihe 2 – Käytössä olevan järjestelmän arviointi: Vaiheessa 2 auditoija arvioi tietoturvallisuuden hallintajärjestelmän toteutuksen ja tehokkuuden ISO 27001 -standardin vaatimusten valossa. Jos merkittäviä poikkeamia ei löydy, auditoija suosittelee hyväksymistä ja sertifiointi myönnetään. Auditointivaihe 2 voidaan toteuttaa etäyhteyksillä tai paikan päällä.
5. ISO 27001 -sertifiointi kannattaa mainita: Sertifiointinne on osoitus kansainvälisesti tunnustettujen parhaiden käytäntöjen noudattamisesta ja jatkuvasta parantamisesta, mikä auttaa saamaan uusia asiakkaita ja vastaamaan asiakkaiden vaatimuksiin.
6. Vuosittainen valvontatarkastus – pysyminen oikealla polulla: ISO 27001 -sertifiointisykli on kolmevuotinen. Teemme vuosittain valvontatarkastuksen, jossa varmistetaan, että järjestelmänne on edelleen tehokas, hyvin ylläpidetty ja tuottaa jatkuvaa parannusta.
7. Sertifioinnin uusiminen: Kolme kuukautta ennen sertifioinnin raukeamista auditoimme organisaationne toiminnan uudelleen varmistaaksemme, että se on edelleen ISO 27001 -vaatimusten mukainen.

ISO 27002:2022 päivittää vuodelta 2013 peräisin olevan ISO 27001 standardin hallintakeinot. Uudistetut hallintakeinot ottavat huomioon sekä uhkiin että parhaisiin käytäntöihin tulleet muutokset, ja laaja-alaisempi ISO 27002 auttaa varmistamaan riskienhallintatoimenpiteiden tarvittavan laajuuden ja tehokkuuden. Kattavan keinovalikoiman avulla organisaatiot voivat hallita tunnistettuja riskejä ja löytää mahdollisia kuiluja, mikä auttaa pysymään askelen edellä jatkuvasti monimutkaistuvassa ja kehittyvässä uhkamaisemassa.

ISO 27001 -standardin uusi versio julkaistaneen lokakuun 2022 loppuun mennessä. ISO 27002:2022 -standardin sisältämät uudet hallintakeinot edellyttävät, että organisaatiot arvioivat riskienhallintansa uudelleen ja ottavat arvioinnin perusteella uusia riskienhallintakeinoja käyttöön tarvittaessa.