ISO/IEC 27001 (ISMS) tanúsítás az információbiztonság menedzselésére vonatkozóan

Az ISO 27001 nemzetközi irányítási rendszerszabvány, amely meghatározza az információbiztonsági irányítási rendszerre (ISMS) vonatkozó követelményeket. A szabvány a legjobb gyakorlatok keretrendszerét nyújtja a kockázatok kezelését és mérséklését célzó ellenőrzések meghatározásához, elemzéséhez és végrehajtásához - csökkentve ezáltal az információbiztonsági kockázatok valószínűségét.
Bármely szervezet - mérettől és szektortól függetlenül - felhasználhatja az ISO 27001 szabványban foglalt követelményeket és ellenőrzéseket egy hatékony, függetlenül tanúsítható ISMS implementálásához.

A neves és független tanúsító szervezet által kiállított akkreditált ISO 27001 tanúsítvány bizonyítja az információbiztonság iránti elkötelezettséget, továbbá elfogulatlan véleményt ad vállalata ISMS rendszerének erősségéről és hatékonyságáról. Ez segít a szerződéses kötelezettségek teljesítésében és sok esetben kereskedelmi licencként is szolgál.

Védje adatait és hírnevét

Az ISO 27001 tanúsítás bizonyítja, hogy Ön szisztematikus, kockázatalapú szemléletet honosított meg ki az információbiztonság területén, amely az alábbi legjobb gyakorlati módszerek elve alapján működik: 

• Információs és kiberbiztonsági kockázatok azonosítása
• A kockázatok elemzése hatás és valószínűség alapján
• A kockázatok értékelése és rangsorolásuk az Ön vállalkozására vonatkozó tényezők alapján
• A kockázatkezelési lehetőségek kiválasztása

Bizonyítsa a megfelelést a törvényeknek, a rendeleteknek és a szerződéses követelményeknek

Az ISO 27001 tanúsítás elnyeréséhez azonosítania kell az alkalmazandó jogszabályokat, például az EU GDPR-t vagy az olyan szabályozásokat, mint a HIPAA. Ez pozitív hatással van a kockázatkezelésre és a vállalatirányításra, segít a megfelelés bizonyításában és a szerződéses követelmények teljesítésében.

Versenyelőny

Az LRQA által kiadott tanúsítás bizalmat kelt az ügyfelekben és az érdekelt felekben a tekintetben, hogy a biztonsági kockázatokat - amelyek vonatkozhatnak az informatikára, személyekre, a fizikai környezetre és az üzletmenet folytonosságára - megfelelően kezelték adatait védelme érdekében.

Az ISO 27001 tanúsítás egyértelműen kifejezi az vállalata képességeit és bizonyítja, hogy az a nemzetközileg elismert legjobb gyakorlatok szerint működik, ami segít Önnek új üzleteket szerezni.

Az ISO 27001 auditok ugyanazt a szemléletet követik, mint az SL melléklet szerinti egyéb irányítási rendszerek. Ön kezdheti a képzéssel és a hiányosságok elemzésével, ugyanakkor viszont a hivatalos folyamat magában foglalja az ISMS kialakításának (1. szakasz) és a működésének auditját (2. szakasz). Ezen auditok eredményeit az LRQA egy képzett, független szakértője műszakilag felülvizsgálja, biztosítva a következetességet és a megfelelő összhangot az - akkreditálók által meghatározott - legjobb gyakorlatok iránti elkötelezettségünkkel.

A jóváhagyást követően kiadásra kerül az Ön ISO 27001 tanúsítványa és kezdetét veszi a felügyeleti auditok hároméves ciklusa, amely a következő három évre szóló megújító auditig tart. A felügyelet lehetővé teszi mind az LRQA, mind pedig az Ön szervezete számára a változások kezelését és annak biztosítását, hogy az auditok megfeleljenek az aktuális iparági igényeknek.

A jóváhagyást követően a tanúsítás három évig tart, feltéve, hogy a felügyeleti program segítségével igazolják a rendszer hatékony karbantartását.

Egy tipikus ISMS tanúsítás hatálya kiterjed a termékek és szolgáltatások nyújtásával kapcsolatos tevékenységekre. Nem kell tartalmaznia a belső tevékenységeket vagy az ISMS folyamatokat. A cél biztosítani az olvasót arról, hogy a termék vagy szolgáltatás átvételekor megadott információk védettek.

Az alkalmazhatósági nyilatkozat a kiválasztott ellenőrzések listájára vonatkozik. Az ellenőrzéseket nem részletezi, viszont a legutóbbi ISO 27001 auditálás alapjául szolgáló ellenőrzési nyilatkozatra való visszakövethető hivatkozást igen. Egyes szervezeteknek van egy nyilvános, megosztható változata, amely egyszerűen felsorolja az ISO 27001 „A” mellékletéből kiválasztott ellenőrzéseket, de ez nem kötelező követelmény.

A költségek az auditálási napok számán alapulnak, amely az ISMS ( információbiztonsági irányítási rendszer) hatókörébe tartozó alkalmazottak számához kapcsolódik. Az auditok napjainak számát az ISO 27006 akkreditációs szabványban publikálják és mindenki számára hozzáférhetővé teszik. Ha kapcsolatba lép egy olyan akkreditált tanúsító szervezettel, mint az LRQA, akkor biztos lehet abban, hogy az auditok javasolt időtartama az iparági legjobb gyakorlatok alapján az összes többi akkreditált tanúsító szervezetével összehasonlítható lesz.

Például egy 100 teljes munkaidő egyenértékű (FTE) foglalkoztató szervezetnél az audit kezdeti időtartama 8-12 napra tehető (1. szakasz + 2. szakasz), attól függően, hogy az mely ágazatban tevékenykedik, mennyire összetett a munkakörnyezete, részt vesz-e szoftverfejlesztésben vagy hogy a termékbe integrálni kell-e a biztonságot. A későbbi felügyeleti program 3-4 nap/év, a megújítás pedig 6-8 nap időtartamot tenne neki.

Igen - mivel mind az ISO 9001, mind pedig az ISO 27001 az irányítási rendszerek általános legjobb gyakorlati modelljén - SL melléklet - alapul, ezért az alapvető irányítási folyamatok optimalizálhatók úgy, hogy mindkét szabvány követelményeinek megfeleljenek. Tulajdonképpen javítja a szervezeti irányítás hatékonyságát egy olyan rendszer kialakítása, amely mindkét szabvány követelményeit figyelembe veszi. Például az olyan üzleti célok, mint a növekedés, gyakran szükségessé teszik új termékek kifejlesztését, amikor is a biztonság jellemzően a piaci elvárásoknak megfelelő minőségi szabványnak minősül. Az integrálás a duplikációkat is minimalizálhatja, ami az ellenőrzési idő csökkenéséhez vezethet, ezáltal költséghatékony megoldást kínálva.

Az ISO 27001 tanúsítás eléréséhez vezető út gyakran függ többek között attól, hogy az Ön vállalkozása mennyire érett az információbiztonság és a tágabb értelemben vett kockázatkezelés tekintetében. A legtöbb vállalkozás, amely újonnan alkalmazza az ISO 27001 szabványt, általában az alábbiakban vázolt folyamatot követi. 

1. Gyorsítsa fel az ISO 27001 bevezetését: Az ISO 27001 képzések széles választéka segít Önnek a szabványra és követelményeire vonatkozó ismereteinek bővítésében, így betekintést és készségeket szerezhet irányítási rendszerének optimalizálásához.

2. Értékelje felkészültségét: Szabadon választható előzetes értékelési szolgáltatásaink hiányelemzés vagy előzetes értékelés formájában is elvégezhetők. Szakértő auditoraink egyike felméri az Ön rendszerének felkészültségét és jelzi, hogy mely területekre kellene további figyelmet fordítani, mielőtt a hivatalos ISO 27001-es auditálás megkezdődne.

3. Az audit 1. szakasza - a dokumentumok felülvizsgálata és tervezése: Az auditor felülvizsgálja az Ön rendszerének kialakítását és dokumentációját annak megállapításához, hogy az megfelel-e a szabvány követelményeinek és a javasolt auditálási körnek. Ezt követi egy interjú a csapat kulcsembereivel. A legtöbb esetben az audit 1. szakaszát távolról végzik.
4. Az audit 2. szakasza - az implementálás értékelése: A 2. szakasz során az auditor az ISO 27001 követelményeinek megfelelően értékeli az ISMS végrehajtását és hatékonyságát. Ha nincs jelentős eltérés, akkor felajánlják a jóváhagyást és Ön megkapja a tanúsítványt. Az audit 2. szakasza távolról vagy a helyszínen is elvégezhető.
5. Reklámozza ISO 27001 tanúsítását: Az Ön tanúsítása bizonyítja a nemzetközileg elismert legjobb gyakorlatok és a folyamatos fejlődés iránti elkötelezettségét, miáltal Ön új üzleteket nyerhet és megfelelhet az ügyfelek igényeinek.
6. Éves felügyeleti audit - a pályán maradás: Az ISO 27001 tanúsítás hároméves ciklusokban történik. Évente felügyeleti auditokat végzünk, hogy megbizonyosodjunk arról, irányítási rendszere továbbra is hatékony, jól karbantartott és folyamatos fejlesztéseket eredményez.
7. A tanúsítás megújítása: Három hónappal a tanúsítás lejárta előtt újra auditáljuk a szervezet tevékenységeit, hogy azok továbbra is megfeleljenek az ISO 27001 követelményeinek.

Az ISO 27002:2022 kiadása frissíti az ISO 27001-ben szereplő - 2013 évre visszamenő - ellenőrzési listát. A felülvizsgált ellenőrzések tükrözik mind a fenyegetésekkel, mind pedig a jelenlegi legjobb gyakorlatokkal kapcsolatos fejleményeket, az ISO 27002 kibővített alkalmazási területe pedig elősegíti a széles körű és hatékony kockázatkezelési intézkedéseket. A szervezetek az ellenőrzések átfogó listáját felhasználhatják az általuk azonosított kockázatok kezelésére vagy a potenciális hiányosságok feltárására - így egy lépéssel mindig a napjainkban a vállalkozásokatt érintő bonyolult és változó fenyegetések előtt járhatnak.

Az ISO 27001 új verzióját várhatóan 2022. október végéig teszik közzé. Az az ISO 27002:2022 szabványban felvázolt új ellenőrzéseket fog tartalmazni, amelyek megkövetelik a szervezetektől, hogy felülvizsgálják kockázatértékelésüket és meghatározzák, hogy szükség van-e új kockázatkezelések implementálására.