ISO/IEC 27001 (ISMS)

ISO 27001 to międzynarodowy standard wyznaczony dla systemów zarządzania, który reguluje wymagania stawiane Systemom zarządzania bezpieczeństwem informacji (ISMS). Wyznacza on ramy dla najlepszych praktyk poprzez identyfikowanie, analizy i wprowadzanie środków kontroli w celu zarządzania ryzykiem i łagodzenia zagrożeń. W ten sposób można skutecznie zmniejszyć prawdopodobieństwo naruszenia bezpieczeństwa informacji.
Każda firma dowolnej wielkości i działająca w dowolnym sektorze może wykorzystać wymagania i kontrole wyznaczane przez ISO 27001, aby skutecznie wdrożyć środki ochrony ISMS oraz uzyskać dla nich niezależny certyfikat.

Akredytowany certyfikat ISO 27001 przyznawany przez renomowaną, niezależną jednostkę certyfikującą świadczy o zaangażowaniu w zapewnianie bezpieczeństwa informacji, obiektywnych przeglądów oraz skuteczności ISMS. Certyfikat pozwala wypełnić zobowiązania umowne a w wielu przypadkach działa też jako licencja handlowa.

Chroń swoje dane i reputację.

Certyfikat ISO 27001 to znak, że w firmie wdrożono oparte na analizie ryzyka oraz najlepszych praktykach biznesowych systematyczne podejście do zapewniania bezpieczeństwa informacji. 

• Identyfikowanie zagrożeń bezpieczeństwa informacji oraz bezpieczeństwa w sieci
• Analiza ryzyka w oparciu o wpływ i prawdopodobieństwo
• Ocena ryzyka oraz ustalenie priorytetów w oparciu o czynniki związane z działalnością firmy
• Wybór opcji łagodzenia ryzyka

Wykazywanie zgodności z przepisami prawnymi, regulacjami i wymogami umownymi

Uzyskanie kompatybilności z ISO 27001 wymaga zapoznania się z obowiązującym prawem, jak chociażby z RODO czy HIPAA. Pozytywnie wpływa to na zarządzanie ryzykiem oraz ład korporacyjny, dzięki czemu wykażesz zgodność z przepisami i spełnisz wymogi umowne.

Konkurencyjność

Certyfikat wystawiany przez LRQA daje klientom i interesariuszom pewność, że w celu ochrony informacji uwzględniono odpowiednie zagrożenia bezpieczeństwa, na przykład w zakresie IT, środowiska fizycznego oraz ciągłości biznesowej.

Certyfikat ISO 27001 to wyraźny dowód na to, że firma działa zgodnie z najlepszymi międzynarodowymi praktykami — a to z kolei pozwala zdobyć nowych klientów.

Audyty ISO 27001 opierają się na tych samych zasadach, co inne systemy zarządzania bazujące na Annex SL. Możesz zacząć od szkoleń i analizy luk, ale formalny proces będzie obejmować audyt opracowanych ISMS (etap 1) oraz ich działania (etap 2). Następnie wykwalifikowana i niezależna osoba z LRQA sprawdza wyniki tych audytów pod kątem technicznym w celu zapewnienia spójności i zgodności z najlepszymi praktykami ustanowionymi przez akredytujące nas organy.

Jeśli proces ten przebiegnie pomyślnie, wydawany jest certyfikat ISO 27001 i rozpoczyna się trzyletni cykl wizyt kontrolnych. Po upływie tego czasu przeprowadzany jest audyt w celu odnowienia certyfikacji, aby ponownie przyznać ją na kolejne trzy lata. Wizyty kontrolne umożliwiają zarządzanie zmianami zarówno przez LRQA, jak i Twoją firmę. Dzięki nim masz pewność, że przeprowadzane audyty są dostosowane do bieżących potrzeb branży.

Po zatwierdzeniu certyfikat ważny jest przez trzy lata, jeśli zapewnione jest skuteczne utrzymywanie systemu potwierdzone podczas wizyt kontrolnych.

Typowy zakres certyfikatu ISMS obejmuje czynności związane z dostawą produktów i usług. Niekoniecznie musi obejmować działania wewnętrzne czy też procesy ISMS. Celem jest zapewnienie użytkownika, że informacje przekazywane w momencie odbioru produktu czy świadczenia usługi są odpowiednio chronione.

Deklaracja stosowalności odnosi się do wybranej listy kontrolnej. Nie zapewnia szczegółów dotyczących tych kontroli, ale raczej identyfikowalne odniesienie do deklaracji kontrolnej zastosowanej jako podstawa ostatniego audytu ISO 27001. Czasami firmy udostępniają wersję do publicznego wglądu. Wersja ta zawiera po prostu listę wybranych kontroli z ISO 27001 Annex A. Nie jest to jednak wymagane.

Koszt usługi zależy od liczby dni audytu. Liczba dni audytu zależy z kolei od liczby pracowników objętych ISMS. Liczba dni audytu podana jest w standardzie akredytacyjnym ISO 27006, do którego wgląd mają wszyscy. Zaangażowanie akredytowanego organu certyfikującego, takiego jak LRQA, pozwala zapewnić, że proponowany czas audytu oparty jest na najlepszych praktykach biznesowych oraz jest porównywalny z wszelkimi innymi akredytowanymi organami certyfikującymi.

Przykładowo, w przypadku firmy, w której na pełen etat pracuje 100 pracowników (FTE), należy spodziewać się, że wstępny audyt (etap 1 i 2) potrwa od 8 do 12 dni, zależnie od sektora działalności biznesowej, złożoności środowiska pracy oraz tego, czy firma jest zaangażowana w opracowywanie oprogramowania czy też wymaga utworzenia zabezpieczeń. Następujący po tym etapie program wizyt kontrolnych będzie obejmować 3-4 dni/rok oraz wizytę w celu przedłużenia certyfikatu obejmującą 6-8 dni.

Zarówno ISO 9001, jak ISO 27001 oparte są na ogólnym modelu najlepszych praktyk wyznaczonych dla systemów zarządzania Annex SL. Oznacza to, że można zoptymalizować podstawowe procesy zarządzania, aby spełnić wymagania obu norm. Zaprojektowanie systemu uwzględniającego obie te normy poprawia skuteczność zarządzania firmą. Przykładowo cele biznesowe, takie jak wzrost, często wymagają opracowania nowych produktów. Zapewnienie bezpieczeństwa tych produktów uważane jest za standard jakości zgodny z oczekiwaniami rynku. Integracja minimalizuje również duplikowanie co skraca czas audytu. Dzięki temu usługa ta jest bardziej opłacalna.

Droga Twojej firmy do uzyskania certyfikatu ISO 27001 zależy między innymi od poziomu jej dojrzałości w zakresie bezpieczeństwa informacji i szerokiego zarządzania ryzykiem. Większość firm starających się uzyskać certyfikat ISO 27001 przechodzi proces opisany poniżej. 

1. Przyspiesz wdrożenie ISO 27001: Nasza oferta szkoleń ISO 27001 pozwoli Ci poszerzyć wiedzę na temat tej normy oraz jej wymagań. Uzyskasz wgląd w przydatne informacje oraz zdobędziesz umiejętności w zakresie optymalizacji systemu zarządzania.

2. Oceń swoją gotowość: Opcjonalna usługa oceny wstępnej może mieć formę analizy luk lub wstępnego audytu. Jeden z naszych biegłych audytorów oceni gotowość systemu i wskaże, które obszary wymagają uwagi przed formalnym audytem ISO 27001.

3. Etap 1 audytu – przegląd dokumentów i planowanie: Audytor przejrzy projekt i dokumentację systemu, aby ustalić, czy spełnia on wymagania normy oraz zakresu proponowanego audytu. Następnie przeprowadzony zostanie wywiad z kluczowymi członkami zespołu. W większości przypadków Etap 1 audytu przeprowadzany jest zdalnie.
4. Etap 2 audytu – ocena wdrożenia: Na etapie 2 audytor oceni wdrożenie i skuteczność ISMS zgodnie z wymaganiami ISO 27001. Jeśli nie zostaną stwierdzone żadne poważniejsze niezgodności, zatwierdzimy i przyznamy certyfikat. Etap 2 audytu można przeprowadzić zdalnie lub na miejscu.
5. Pochwal się certyfikatem ISO 27001: Certyfikat poświadcza Twoje zaangażowanie w stosowanie najlepszych międzynarodowych praktyk oraz ciągłe doskonalenie. Pomoże Ci zdobyć nowych oraz spełnić oczekiwania klientów już istniejących.
6. Coroczny audyt w ramach wizyt kontrolnych – pozostań na dobrej drodze: Twój certyfikat ISO 27001 będzie ważny przez trzy lata. Będziemy przeprowadzać coroczne audyty w ramach wizyt kontrolnych, aby upewnić się, że Twój system zarządzania jest nadal skuteczny, dobrze utrzymywany oraz zapewnia ciągłe doskonalenie.
7. Odnawianie certyfikatu: Trzy miesiące przed wygaśnięciem certyfikatu przeprowadzimy ponowny audyt działalności firmy, aby zapewnić, że pozostaje ona zgodna z wymaganiami ISO 27001.

Publikacja ISO 27002:2022 zapewni aktualizację listy kontrolnej zawartej w ISO 27001, ustanowionej w 2013 roku. Zmienione mechanizmy kontrolne to odzwierciedlenie zmian zarówno w kontekście zagrożeń, jak i obowiązujących najlepszych praktyk. Poszerzenie zakresu ISO 27002 zapewnia, że środki zarządzania ryzykiem działają na szeroką skalę i są skuteczne. Firmy mogą wykorzystać obszerną listę kontrolną w celu eliminowania zidentyfikowanych zagrożeń oraz potencjalnie wykrytych luk. W ten sposób są zawsze o krok do przodu przed coraz bardziej złożonymi i stale ewoluującymi zagrożeniami, z którymi mierzą się współczesne firmy.

Nowa wersja ISO 27001 została opublikowana w z października 2022 r. i będzie obejmować nowe kontrole określone przez ISO 27002:2022, które będą wymagać od firm dokonania ponownej oceny ryzyka i określenia, czy konieczne jest wdrożenie nowych sposobów eliminowania zagrożeń.