ISO 27001 Bezbednost informacija| Sertifikacija sa DQS-om

Bezbednost informacija - na sistemski način

Tema "Bezbednost informacija" postaje sve bitnija za kompanije u toku digitalne transformacije. Bez dovoljnih bezbednosnih preventivnih mera, suočavamo se sa rizikom od gubitka podataka i krađe podataka od strane hakera, poslovnih zastoja zbog napada putem veba ili zloupotrebe podataka. Strukturirani pristup i rešenje ovh problema može se obezbediti primenom Sistema menadžmenta bezbednošću informacija (ISMS) prema ISO 27001.

Definisanje osetljivih podataka i bezbednost informacija

Bezbednost kao deo korporativne kulture

Efikasna implementacija procesa upravljanja rizicima

Stalno poboljšanje nivoa bezbednosti

Šta je ISO 27001?

ISO/IEC 27001 je vodeći međunarodni standard za implementaciju sistema sveobuhvatnog upravljanja bezbednošću informacija. Usredsređen je na identifikaciju, validaciju i upravljanje rizicima u procesima rukovanja informacijama. Bezbednost poverljivih informacija je naglašena kao značajan strateški element svake kompanije.

Informacije nas okružuju svuda i deo su svakog procesa. Ponekad su to možda manje bitne informacije, ali prečesto je reč o kritičnim i poverljivim podacima. Da biste napravili ovu važnu razliku za vašu organizaciju, neophodno je da klasifikujete informacije. Stoga se zaštitne mere sistema menadžmenta bezbednošću informacija (ISMS) prema ISO/IEC 27001 zasnivaju upravo na ovoj klasifikaciji.

ISMS kreira okvir za zaštitu operativnih podataka i njihove poverljivosti. Istovremeno, globalno priznati standard obezbeđuje dostupnost IT sistema uključenih u korporativne procese. U tom kontekstu, ISO 27001 sertifikacija šalje snažan signal tržištu: uspešno sproveden nezavisni eksterni audit je potvrda efikasnosti vašeg ISMS-a.

Sa EN ISO/IEC 27001:2017-06 objavljena je verzija koju koordinira Evropski komitet za standardizaciju (CEN). Kombinuje dve ispravke (corrigenda) Cor 1:2014 i Cor 2:2015. Promene povezane sa ispravkom uključuju samo poboljšani opis pridruženih zahteva, ali ne i nove, dodatne zahteve. Sertifikati prema verziji ISO/IEC 27001:2013 tako zadržavaju svoju ispravnost.

Prikaži više

Prikaži manje

Za koga je pogodna sertifikacija prema ISO 27001?

ISMS standard ISO 27001 je globalno prepoznat, sertifikat važi širom sveta. Kompanijama svih veličina i industrija pruža okvir za planiranje, implementaciju i praćenje njihove bezbednosti infomracija. Zahtevi su primenljivi i primenjuju se na privatna i javna preduzeća, kao i na neprofitne organizacije.

U Nemačkoj, na primer, kompanije koje pripadaju Sektoru kritične infrastrukture (KRITIS) i prelaze cenzus moraju da pruže dokaze o tome kako obezbeđuju svoju bezbednost informacija. Za očekivati je da će se slična zakonska regulativa u budućnosti naći na snazi i kod nas i obuvhataće na primer energetiku, vodoprivredu, zdravstvo, finansije i osiguranje, hranu, transport i saobraćaj, informacione tehnologije i telekomunikacije. Odgovarajući dokazi o implementaciji mogu da obezbede bezbednosne kontrole, testovi ili sertifikati. U tu svrhu, ili priznati standardi kao što je ISO 27001 ili, alternativno, bezbednosni standardi specifični za industriju koje prepoznaje nemačka Federalna kancelarija za bezbednost informacija (BSI) mogu se koristiti kao osnova za proveru.

Prikaži više

Prikaži manje

Šta čini standard ISO 27001 korisnim za svaku kompaniju?

Uvođenje ISMS-a prema ISO/IEC 27001 je strateška odluka za vašu kompaniju. Ispunjenje zahteva standarda mora da odražava specifičnu situaciju u kompaniji. Implementacija u kompaniji zavisi od potreba i ciljeva, bezbednosnih zahteva i organizacionih procesa, kao i od veličine i strukture kompanije.

Posebnu važnost u praksi ima primena mera u Aneksu A standarda. Pored odeljka o sistemski orijentisanim zahtevima menadžmenta (poglavlja od 4 do 10), ISO standard sadrži opsežnu listu od 35 ciljeva mera (kontrola) sa 114 konkretnih mera za najrazličitije bezbednosne aspekte u 14 poglavlja u Aneksu A. Mere moraju da se sprovedu u okviru sistema menadžmenta, kao njegov deo, jer su relevantne za vašu kompaniju.

Dokazana je dosledna usaglašenost procesa kompanije sa zahtevima ISO 27001 što dovodi do brojnih prednosti:

Stalno poboljšanje nivoa bezbednosti
Smanjenje postojećih rizika
Ispunjavanje zahteva za usaglašenost
Veća svest kod zaposlenih
Povećano zadovoljstvo klijenata

Interni auditi i provere menadžmenta uz učešće najvišeg rukovodstva su unutrašnje poluge za postizanje ovih ciljeva.

Zainteresovane strane kao što su nadzorni organi, osiguravajuće kuće, banke, partnerske kompanije grade viši nivo poverenja u vašu kompaniju. Do ovoga dolazi zato što sertifikovani sistem menadžmenta signalizira da se vaša organizacija bavi rizicima na strukturiran način i da je orijentisana na stalno usavršavanje (CIP), što je čini otpornijom na neželjene uticaje.

Međunarodni standard ISO/IEC 27001 takođe može da se primeni, upravlja i sertifikuje nezavisno od drugih sistema menadžmenta kao što su ISO 9001 (upravljanje kvalitetom) ili ISO 14001 (upravljanje životnom sredinom).

Prikaži više

Prikaži manje

Kome je dozvoljeno da sprovodi sertifikaciju prema ISO 27001?

Da bi se sertifikovao sistem menadžmenta bezbednošću informacija, odgovarajuće sertifikaciono telo mora biti akreditovano prema ISO/IEC 17021 i ISO/IEC 27006. ISO/IEC 17021 reguliše teme vezane za ocenu usaglašenosti, posebno zahteve za tela koja proveravaju i sertifikuju sisteme upravljanja.

Pored toga, ISO/IEC 27006 definiše stroge zahteve za sertifikaciona tela, koja moraju da ispoštuju da bi sertifikovali ISMS prema ISO 27001.

Oni uključuju:

Dokaze o izvršenim proverama tokom audita, sistemsku dokumentaciju sertifikacionog tela.
Zahteve za kvalifikacije auditora i osoblja odgovornog za pregled i odobrenje audit dokumentacije.

DQS je akreditovan od strane nemačkog nacionalnog akreditacionog tela DAkkS (Deutsche Akkreditierungsstelle GmbH), čime je ovlašćen da vrši audite i sertifikaciju prema ISO 27001.

Bez obzira na industriju u kojoj vaša kompanija posluje, možete se osloniti na karakterističnu stručnost DQS auditora koji imaju višegodišnje bogato iskustvo u ocenjivanjima sistema menadžmenta bezbednošću informacija u raznim industrijama.

Prikaži više

Prikaži manje

Kako funkcioniše ISO 27001 sertifikacija?

Kada se svi zahtevi ISO 27001 primene, može se početi sertifikacija sistema upravljanja. Proći ćete kroz višestepeni proces sertifikacije u DQS-u. Ako je u preduzeću već uspostavljen sertifikovani sistem menadžmenta, proces pripreme se može skratiti i olakšati integracijom više sistema upravljanja.

U prvom koraku, razgovaraćemo o vašoj kompaniji i ciljevima ISO 27001 sertifikacije, o rezultatima koje želite da postignete. Na osnovu toga, dobićete detaljnu ponudu prilagođenu individualnim potrebama vašeg preduzeća.

Sastanak planiranja projekta sa timom DQS Srbija može biti koristan za realizaciju većih projekata. Predocenjivanje vam nudi mogućnost da unapred identifikujete snagu i potencijal za unapređenje sistema upravljanja, kao i slabe tačke i potencijalne opasnosti koje treba da otklonite pre početka sertifikacionog audita.

Obe usluge su opcione.

Sertifikacioni audit počinje sistemskom analizom i ocenom ISMS-a (faza 1). Ovde DQS auditor utvrđuje da li je sistem menadžmenta dovoljno razvijen i spreman za sertifikaciju. U sledećem koraku (faza 2), auditor procenjuje efikasnost svih procesa upravljanja na licu mesta, primenjujući zahteve standarda ISO 27001. Rezultati audita se prezentuju na završnom sastanku. Ukoliko je potrebno, dogovaraju se akcioni planovi i rokovi za otklanjanje nađenih neusaglašenosti.

Nakon sertifikacionog audita, vodeći ocenjivač kompletira sve rezultate provere i šalje na pregled i odobrenje nezavisnom sertifikacionom odboru DQS-a. Ako su ispunjeni svi zahtevi standarda, izdaje se ISO 27001 sertifikat sa trogodišnjim važenjem.

Nakon uspešne sertifikacije, ključne komponente ISMS-a se ponovo nadgledaju na licu mesta najmanje jednom godišnje kako bi se obezbedilo stalno poboljšanje.

Sertifikat ISO 27001 važi najviše tri godine. Resertifikacija se vrši u pravo vreme pre isteka roka važenja kako bi se obezbedila kontinualna usaglašenost sa važećim zahtevima standarda. Po verifikaciji usaglašenosti, izdaje se novi trogodišnji sertifikat.

Koliko košta sertifikacija prema ISO 27001?

Četiri kriterijuma za definisanje cene provere

Iako audit ISO 27001 treba da se izvrši u skladu sa strukturiranim specifikacijama, troškovi zavise od različitih faktora, kao što je složenost vaše organizacije. Stoga, ne može postojati ponuda sa paušalnom cenom za bilo koju kompaniju.

Troškovi sertifikacije prema ISO 27001 utvrđeni su prema sledeća četiri kriterijuma, između ostalih:

1. Složenost vašeg sistema menadžmenta bezbednošću informacija.

Uzimaju se u obzir kritične vrednosti (na primer patenti, lični podaci, objekti, procesi) vašeg preduzeća. Troškovi sertifikacije se zasnivaju pre svega na zahtevima bezbednosti informacija i meri u kojoj to utiče na poverljivost, integritet i dostupnost (VIV) informacija.

2. Osnovno poslovanje vašeg preduzeća u okviru ISMS-a

U ovom trenutku, rizici povezani sa vašim poslovnim procesima igraju posebno važnu ulogu u definisanju neophodnog trajanja audita. Uzimaju se u obzir pravni zahtevi, kao i složeni, individualni zahtevi kupaca.

3. Glavne tehnologije i komponente korišćene u vašem ISMS-u

Tokom audita ispituje se tehnologija, kao i pojedinačne komponente vašeg ISMS-a. Među njima su IT platforme, serveri, baze podataka, aplikacije, kao i mrežni segmenti. Osnovno pravilo ovde je: Što je veća proporcija standardnih sistema i što je manja složenost vašeg IT-ja, to je manji napor. Troškovi sertifikacije ISO 27001 takođe zavise od toga.

4. Udeo "in-house" razvoja u vašem ISMS-u

Ukoliko ne postoji proces razvoja, i uglavnom koristite standardizovane softverske platforme, potrebni napor prilikom audita je manji. Ako vaš ISMS karakteriše intenzivna upotreba sopstveno razvijenog softvera i ovaj softver se koristi za centralne poslovne oblasti, napor za sertifikaciju će biti veći.

Da bismo mogli da definišemo pregled troškova za ISMS sertifikaciju, potrebne su nam precizne informacije o vašem poslovnom modelu i oblasti primene unapred. Na ovaj način vam možemo pružiti individualnu realnu ponudu.

Prikaži više

Prikaži manje