Вашата оценка 5.00 от 1 гласа
Как да се подготвим за сертификация по ISO 27001:2013?
Ако мислите, че за да получите сертификат за сигурност на информацията, съгласно ISO/IEC 27001:2013 "Системи за управление на сигурността на информацията" е достатъчно да попълните купчина с документи, грешите. Трябва стриктно да изпълнявате всички дейности, описани в документацията, но това не е всичко - трябва да осъществите някои стъпки в последната фаза на Вашия проект за сертификация по стандарта.
Задължителни стъпки за внедряването на ISO/IEC 27001:2013
След като подготвите цялата документация и внедрите системата за управление на сигурността на информацията, трябва да изпълните следните стъпки:
Прегледът от ръководството всъщност е формален начин, по който висшето ръководство да анализира всички релевантни факти за информационната сигурност и да вземе подходящи решения. Този преглед включва анализ на резултатите от вътрешния одит, оценка на изпълнението на политиките и процедурите и разглеждане на потенциални коригиращи действия. Основната цел на прегледа е да се гарантира, че ISMS продължава да бъде ефективна, съответства на бизнес целите и отговаря на изискванията на стандарта.
Ако по време на вътрешния одит или прегледа от ръководството се установят несъответствия или проблеми, трябва да се предприемат коригиращи действия. Тези действия трябва да са насочени към отстраняване на установените слабости и подобряване на системата. Коригиращите действия следва да бъдат документирани и изпълнени своевременно, а изпълнението и ефективността им да бъдат наблюдавани.
В крайна сметка компанията трябва да коригира всички проблеми, открити от вътрешните одитори, мениджъри или друг, и да документира как тези проблеми са били решени - този процес се нарича коригиращи действия.
Как да тестваме прилагането на ISO/IEC 27001:2013?
Преди да предприемете тези задължителни стъпки, е полезно да проверите дали всичко е налице. Тази стъпка не се изисква от ISO/IEC 27001 (поне не по такъв изричен начин), но значително увеличава шансовете за успешно сертифициране.
Извършването на ISO/IEC 27001 тест (или проверка) означава, че всеки, който има роля в ISMS, трябва да провери дали дейностите, за които носи отговорност, действително се изпълняват така, както се изисква от стандарта и от документацията на компанията.
Тази проверка се различава от вътрешния одит, защото по време на вътрешния одит одиторът минава през фирмата, като проверява дейностите, а по време на ISO/IEC 27001 теста всеки служител трябва да помисли дали той/тя е направил наистина всичко, което е необходимо. По този начин не само ще намалите шансовете нещо да се обърка, но и ще повишите информираността на служителите си.
Всички тези стъпки може да изглеждат сложни или като скъпоструващи разходи. Но ако се прилагат правилно, ще видите, че те действително ще повишат нивото на информационна сигурност в компанията.
И така вече прилагате ISO/IEC 27001, инвестирали сте много в образованието, консултирането и внедряването на различни механизми за контрол. Сега идва моментът за сертификационен одит - ще преминете ли сертификацията?
Нормално е да сте притеснени - никога не е ясно дали Вашата система за управление на информационната сигурност разполага с всичко, което изисква сертифициращият орган. Но какво точно ще търси одиторът?
Процес на сертифициране по ISO/IEC 27001:2013
Да започнем първо със самия процес на сертифициране - той е разделен на две стъпки: одит на етап 1 и етап 2.
Първо, одиторът ще извърши етап 1 от одита, преглед на документацията, – на този етап той ще търси документирания Обхват, Политиката и целите на организацията, описание на методологията за Оценка на риска, Доклада за оценка на риска, Декларацията за приложимост, План за управление на риска, Процедури за контрол на документите, Коригиращи действия, Доклад от вътрешен одит, както и Политиките за сигурност на информацията. Също така ще трябва да документирате някои от механизмите за контрол от приложение А (само ако сте ги открили като приложими в декларацията за приложимост) – Политика по сигурност на информацията (5.2), Политика за мобилните устройства (A.6.2.1), Политика за контрол на достъпа (A.9.1.1), Политика за използване на криптографски механизми за контрол (A.10.1.1), Политика за чисто бюро и чист екран (A.10.2.9), Политика за сигурно разработване (A.14.2.1), Политика за сигурността на информацията при взаимоотношения с доставчици (A.15.1.1), Политика за резервиране на информацията (A.12.3.1).
Ако някой от тези елементи липсва, това означава, че не сте готови за етап 2 от одита. Разбира се, може да създадете много повече документи, ако сметнете, че това е необходимо - горният списък представя минималните изисквания. Трябва да обърнете внимание на писането документация, която е подходяща и съответстваща на Вашите нужди, както и на действителното ангажиране на ръководството и служителите с информационната сигурност във Вашата компания.
Етап 2 от одита е основният етап и обикновено се провежда няколко седмици след етап 1. В този одит фокусът няма да бъде върху документацията, но само ако Вашата организация спазва изискванията на ISO/IEC 27001 и описаните в документацията процедури и политики. С други думи, одиторът ще провери дали ISMS наистина се осъществява във Вашата организация, или е само на хартия. Одиторът ще провери това чрез наблюдение, интервюирайки Вашите служители, но най-вече чрез проверка на Вашите записи. Задължителните записи включват Компетентност, образование, обучение, опит (7.2), Вътрешен одит (9.2), Преглед от ръководството (9.3), Несъответствия и коригиращи действия (10.1). Въпреки това, одиторът по-скоро ще очаква да види записи в резултат на изпълнението на Вашите процедури.
Моля бъдете внимателни - всеки опитен одитор ще забележи веднага, ако която и да е част от Вашата ISMS е изкуствена и се прави само за целите на одита.
Наясно сте с всичко това, но все пак се случва - одиторът установява сериозно несъответствие и заявява, че сертификат ISO/IEC 27001 няма да бъде издаден. Дошъл ли е краят на света?
Със сигурност не. Процесът протича по следния начин - одиторът ще посочи констатациите (включително основното несъответствие) в одиторския доклад и ще Ви даде краен срок за отстраняване на несъответствието (обикновено 90 дни). Вашата задача е да предприемете подходящи коригиращи действия; но трябва да внимавате - това действие трябва да отстрани причината за несъответствието, в противен случай одиторът може да не приеме това, което сте направили. След като сте сигурни, че са предприети правилните действия, трябва да уведомите одитора и да му изпратите доказателства за това, което сте направили. В повечето случаи, ако сте свършили работата си изцяло, одиторът ще приеме Вашето коригиращо действие и ще активира процеса на издаване на сертификата.
Честито! Отнема известно време, но в крайна сметка наградата е сертификат по ISO/IEC 27001. (Бъдете внимателни - сертификатът е валиден само за три години и може да бъде спрян през този период, ако сертифициращият орган идентифицира друго сериозно несъответствие по време на посещенията за наблюдение.)
Задължителни стъпки за внедряването на ISO/IEC 27001:2013
След като подготвите цялата документация и внедрите системата за управление на сигурността на информацията, трябва да изпълните следните стъпки:
- Вътрешен одит;
- Преглед от ръководството;
- Коригиращи действия.
Прегледът от ръководството всъщност е формален начин, по който висшето ръководство да анализира всички релевантни факти за информационната сигурност и да вземе подходящи решения. Този преглед включва анализ на резултатите от вътрешния одит, оценка на изпълнението на политиките и процедурите и разглеждане на потенциални коригиращи действия. Основната цел на прегледа е да се гарантира, че ISMS продължава да бъде ефективна, съответства на бизнес целите и отговаря на изискванията на стандарта.
Ако по време на вътрешния одит или прегледа от ръководството се установят несъответствия или проблеми, трябва да се предприемат коригиращи действия. Тези действия трябва да са насочени към отстраняване на установените слабости и подобряване на системата. Коригиращите действия следва да бъдат документирани и изпълнени своевременно, а изпълнението и ефективността им да бъдат наблюдавани.
В крайна сметка компанията трябва да коригира всички проблеми, открити от вътрешните одитори, мениджъри или друг, и да документира как тези проблеми са били решени - този процес се нарича коригиращи действия.
Как да тестваме прилагането на ISO/IEC 27001:2013?
Преди да предприемете тези задължителни стъпки, е полезно да проверите дали всичко е налице. Тази стъпка не се изисква от ISO/IEC 27001 (поне не по такъв изричен начин), но значително увеличава шансовете за успешно сертифициране.
Извършването на ISO/IEC 27001 тест (или проверка) означава, че всеки, който има роля в ISMS, трябва да провери дали дейностите, за които носи отговорност, действително се изпълняват така, както се изисква от стандарта и от документацията на компанията.
Тази проверка се различава от вътрешния одит, защото по време на вътрешния одит одиторът минава през фирмата, като проверява дейностите, а по време на ISO/IEC 27001 теста всеки служител трябва да помисли дали той/тя е направил наистина всичко, което е необходимо. По този начин не само ще намалите шансовете нещо да се обърка, но и ще повишите информираността на служителите си.
Всички тези стъпки може да изглеждат сложни или като скъпоструващи разходи. Но ако се прилагат правилно, ще видите, че те действително ще повишат нивото на информационна сигурност в компанията.
И така вече прилагате ISO/IEC 27001, инвестирали сте много в образованието, консултирането и внедряването на различни механизми за контрол. Сега идва моментът за сертификационен одит - ще преминете ли сертификацията?
Нормално е да сте притеснени - никога не е ясно дали Вашата система за управление на информационната сигурност разполага с всичко, което изисква сертифициращият орган. Но какво точно ще търси одиторът?
Процес на сертифициране по ISO/IEC 27001:2013
Да започнем първо със самия процес на сертифициране - той е разделен на две стъпки: одит на етап 1 и етап 2.
Първо, одиторът ще извърши етап 1 от одита, преглед на документацията, – на този етап той ще търси документирания Обхват, Политиката и целите на организацията, описание на методологията за Оценка на риска, Доклада за оценка на риска, Декларацията за приложимост, План за управление на риска, Процедури за контрол на документите, Коригиращи действия, Доклад от вътрешен одит, както и Политиките за сигурност на информацията. Също така ще трябва да документирате някои от механизмите за контрол от приложение А (само ако сте ги открили като приложими в декларацията за приложимост) – Политика по сигурност на информацията (5.2), Политика за мобилните устройства (A.6.2.1), Политика за контрол на достъпа (A.9.1.1), Политика за използване на криптографски механизми за контрол (A.10.1.1), Политика за чисто бюро и чист екран (A.10.2.9), Политика за сигурно разработване (A.14.2.1), Политика за сигурността на информацията при взаимоотношения с доставчици (A.15.1.1), Политика за резервиране на информацията (A.12.3.1).
Ако някой от тези елементи липсва, това означава, че не сте готови за етап 2 от одита. Разбира се, може да създадете много повече документи, ако сметнете, че това е необходимо - горният списък представя минималните изисквания. Трябва да обърнете внимание на писането документация, която е подходяща и съответстваща на Вашите нужди, както и на действителното ангажиране на ръководството и служителите с информационната сигурност във Вашата компания.
Етап 2 от одита е основният етап и обикновено се провежда няколко седмици след етап 1. В този одит фокусът няма да бъде върху документацията, но само ако Вашата организация спазва изискванията на ISO/IEC 27001 и описаните в документацията процедури и политики. С други думи, одиторът ще провери дали ISMS наистина се осъществява във Вашата организация, или е само на хартия. Одиторът ще провери това чрез наблюдение, интервюирайки Вашите служители, но най-вече чрез проверка на Вашите записи. Задължителните записи включват Компетентност, образование, обучение, опит (7.2), Вътрешен одит (9.2), Преглед от ръководството (9.3), Несъответствия и коригиращи действия (10.1). Въпреки това, одиторът по-скоро ще очаква да види записи в резултат на изпълнението на Вашите процедури.
Моля бъдете внимателни - всеки опитен одитор ще забележи веднага, ако която и да е част от Вашата ISMS е изкуствена и се прави само за целите на одита.
Наясно сте с всичко това, но все пак се случва - одиторът установява сериозно несъответствие и заявява, че сертификат ISO/IEC 27001 няма да бъде издаден. Дошъл ли е краят на света?
Със сигурност не. Процесът протича по следния начин - одиторът ще посочи констатациите (включително основното несъответствие) в одиторския доклад и ще Ви даде краен срок за отстраняване на несъответствието (обикновено 90 дни). Вашата задача е да предприемете подходящи коригиращи действия; но трябва да внимавате - това действие трябва да отстрани причината за несъответствието, в противен случай одиторът може да не приеме това, което сте направили. След като сте сигурни, че са предприети правилните действия, трябва да уведомите одитора и да му изпратите доказателства за това, което сте направили. В повечето случаи, ако сте свършили работата си изцяло, одиторът ще приеме Вашето коригиращо действие и ще активира процеса на издаване на сертификата.
Честито! Отнема известно време, но в крайна сметка наградата е сертификат по ISO/IEC 27001. (Бъдете внимателни - сертификатът е валиден само за три години и може да бъде спрян през този период, ако сертифициращият орган идентифицира друго сериозно несъответствие по време на посещенията за наблюдение.)
ЕТИКЕТИ
Новини
12
10.26
Стандартите на НАТО за качество във фокуса на инвестициите в отбранителната индустрия
Изискванията на НАТО за осигуряване на качеството имат практическо значение за б...
25
09.26
Европейски месец на киберсигурността 2026: човешкият фактор във фокуса на киберсигурността
Днес в Съда на Европейския съюз в Люксембург се провежда официалното откриващо с...
Полезно
06
11.26
AQAP-2110: отвъд изискванията на ISO 9001
Какво допълнително се изисква от доставчиците в отбранителната индустрия?
...
20
10.26
Управление на промените в хранителния сектор: кога е необходима нова оценка на риска?
Смяната на доставчик може да изглежда като обичайно търговско решение, а удължав...
Внедряване на управленски стандарти
КОНСЕХО ЕООД (CONSEJO) е консултантска компания с над 20 години практически опит в разработването, внедряването и поддържането на системи за управление в съответствие с международни стандарти и регулаторни изисквания. Компанията предоставя консултантски услуги в областта на качеството, околната среда, здравето и безопасността при работа, безопасността на храните, информационната сигурност, киберсигурността, управлението на риска и устойчивото развитие. Експертизата ни обхваща стандарти и схеми като ISO 9001, ISO 14001, ISO 45001, ISO 22000, ISO/IEC 27001, IFS Food, BRCGS и HACCP, както и консултации във връзка с NIS2, DORA, GDPR и EcoVadis.
Екипът на КОНСЕХО е участвал в реализирането на над 1500 проекта за организации от различни сектори на икономиката, включително производство, строителство, енергетика, информационни технологии, транспорт, търговия, хранително-вкусова промишленост и услуги. В основата на нашия подход е изграждането на реално работещи системи за управление, съобразени със спецификата и потребностите на всяка организация. Работим в тясно сътрудничество с клиентите си, като осигуряваме консултантска подкрепа, обучение на персонала и съдействие при внедряването. Стремим се да предоставяме качествени услуги в договорените срокове и решения, които подпомагат успешното сертифициране и създават дългосрочна стойност за бизнеса.
Партньори
