ISO/IEC 27001 визначає вимоги до системи управління інформаційною безпекою. Підготовка стосується не лише технічних налаштувань: компанія має керувати ризиками, відповідальністю та вдосконаленням. Набір шаблонів політик без виконуваних процесів не доводить готовності до незалежного аудиту.
Визначте межі та причину впровадження
Уточнюємо, які послуги, підрозділи, дані й місця входять до системи управління. Враховуємо потреби клієнтів, договорів та інших зацікавлених сторін. Межі повинні бути зрозумілими: сертифікований окремий процес не означає автоматично охоплення всієї діяльності організації.
Керівництво визначає відповідальних і ресурси для роботи. Потрібна участь власників процесів, а не лише системного адміністратора. Закупівлі, персонал, робота з постачальниками та клієнтськими даними можуть впливати на ризик так само, як налаштування сервера.
Оцініть ризики та оберіть обґрунтовані заходи
Описуємо активи, загрози, наслідки й наявні заходи. Погоджуємо спосіб оцінювання та прийняття залишкового ризику. Мета — пояснити рішення компанії, а не скопіювати універсальну таблицю, яка не відповідає її середовищу.
Заходи пов’язуємо з ризиками та вимогами. Умовний приклад: для критичних клієнтських файлів потрібні погоджені права, відновлення й контроль передачі. Документ має пояснювати, чому обрано ці дії, хто їх виконує та чим підтверджується результат.
Зберіть докази реальної роботи
Політика доступу повинна відповідати тому, як права видають, змінюють і відкликають. План копіювання — тому, що зберігається й перевіряється. Зіставляємо документи з робочими записами, щоб не отримати дві незалежні версії життя компанії.
Доказами можуть бути погодження, результати навчання, журнали перевірок та виконані дії за інцидентами. Доступ до них обмежуємо відповідно до змісту. Не створюємо заднім числом вигадані записи: прогалини стають задачами для виконання й перевірки.
Відділіть підготовку від сертифікації
Проводимо внутрішні перевірки й розбираємо невідповідності з відповідальними. Керівництво переглядає стан системи та потрібні зміни. Перед незалежним аудитом звіряємо заявлені межі, докази й актуальні вимоги застосовної редакції стандарту та змін до неї.
ISO розробляє стандарти, але не видає компанії сертифікат самостійно. Сертифікацію проводить відповідний зовнішній орган. Підготовчий супровід не є гарантією позитивного рішення; після аудиту система потребує регулярної роботи, а не зберігання папки до наступної перевірки.
Джерела та подальше читання
