როდესაც კომპანიაში არსებობს კლიენტთა ბაზები, ფინანსური მონაცემები, კომერციული შეთავაზებები ან საწყისი კოდი, უსაფრთხოების საკითხი „კარგი იქნებოდა“-დან „აუცილებელია“-დ გადაიქცევა. ISO 27001 ინფორმაციული უსაფრთხოების სტანდარტის სერტიფიკატი პარტნიორებსა და დამკვეთებს აჩვენებს, რომ რისკებს სისტემურად მართავთ და არა „ავოსზე“ — მანქანაში შეკრული უსაფრთხოების ღვედივით: უმეტესად ვერც ამჩნევ, მაგრამ საჭირო მომენტში გიხსნის.
საერთაშორისო სტანდარტი ISO 27001 (ISO/IEC 27001) ადგენს მოთხოვნებს ინფორმაციული უსაფრთხოების მართვის სისტემისთვის (СМИБ/ISMS): ადამიანების, პროცესებისა და ტექნოლოგიებისთვის, რომლებიც მონაცემებს იცავენ გაჟონვისგან, შეფერხებებისგან და არაუფლებრივი წვდომისგან. ყაზახეთში, უზბეკეთში, საქართველოში და ყირგიზეთში კომპანიებისთვის ეს განსაკუთრებით აქტუალურია, თუ მუშაობთ კორპორატიულ კლიენტებთან, ბანკებთან, IT აუთსორსინგთან, სერვისცენტრებთან, წარმოებასთან ან მონაწილეობთ ტენდერებში.
რას იძლევა ISO 27001-ის სერტიფიკაცია
სერტიფიკატი — ეს არ არის კედელზე დასაკიდი ქაღალდი, არამედ ბაზრისთვის გასაგები სიგნალი: რისკები გათვალისწინებულია, წვდომები სწორად არის გამართული, ინციდენტები მუშავდება და პასუხისმგებლობა განსაზღვრულია. ჩვეულებრივ, ბიზნესი იღებს:
- მეტ ნდობას კლიენტებისა და საერთაშორისო პარტნიორების მხრიდან;
- პოზიციების გაძლიერებას შესყიდვებში და კომპლაიანს-შემოწმებების გავლისას;
- ინციდენტების გამო შეფერხებებისა და დანაკარგების რისკის შემცირებას (პროცედურებისა და კონტროლის ხარჯზე);
- გამჭვირვალე წესებს: ვინ, რას და რატომ აქვს წვდომა;
- მართვადობას: უსაფრთხოება ერთჯერადი „აქცია“ კი არა, პროცესი ხდება.
ნაბიჯ-ნაბიჯ: როგორ მივიღოთ ISO 27001-ის სერტიფიკატი
პროცესი ლოგიკურიც არის და პროგნოზირებადიც, თუ ეტაპებად იმოქმედებთ. ქვემოთ — ტიპური „დროშა-რუკა“ (roadmap), რომლის მიხედვითაც შპს „System Management“ დსთ-ში კლიენტებს თან ახლავს.
დაწყებამდე მნიშვნელოვანია ISMS-ის (СМИБ) საზღვრების განსაზღვრა: რომელი დეპარტამენტები, სერვისები, ფილიალები და სისტემები შედის სერტიფიკაციაში, ასევე მიზნები და კრიტიკული აქტივები (მონაცემები, ინფრასტრუქტურა, პერსონალი).
დიაგნოსტიკა (Gap-analysis): მიმდინარე მდგომარეობას ვადარებთ ISO 27001-ის მოთხოვნებს და ვაფიქსირებთ სამუშაო გეგმას.
2) რისკების შეფასება: ვადგენთ საფრთხეებს, სისუსტეებს, ალბათობასა და ზიანს; ვარჩევთ მართვის ზომებს.
3) ზომებისა და დოკუმენტების დანერგვა: პოლიტიკები, პროცედურები, წვდომის კონტროლი, ინციდენტების მართვა, რეზერვული კოპირება, მომწოდებლებთან მუშაობა და ა.შ.
4) პერსონალის ტრენინგი: რათა წესები მუშაობდეს არა მხოლოდ რეგლამენტებში, არამედ „თავშიც“.
5) შიდა აუდიტი და ხელმძღვანელობის მხრიდან ანალიზი: გარე შემოწმებამდე სისტემას ვამოწმებთ.
6) სერტიფიკაციის აუდიტი (Stage 1 / Stage 2): გარე ორგანო აფასებს მზადყოფნას და სისტემის რეალურ მუშაობას.
7) სერტიფიკატის მიღება და შემდგომი ზედამხედველობა: ყოველწლიური საინსპექციო აუდიტები და ხელახალი სერტიფიკაცია ყოველ 3 წელიწადში ერთხელ.
ამ ნაბიჯების შემდეგ თქვენ მიიღებთ მოქმედ სისტემას და დადასტურებას, რომ ის რეალურად ასრულებს სტანდარტის მოთხოვნებს და არ არსებობს „გალოჩკისთვის“.
რომელი დოკუმენტები და პრაქტიკები არის ყველაზე ხშირად საჭირო
სიტყვა „დოკუმენტები“ არ უნდა შეგაშინოთ: ISO 27001 აფასებს არა საქაღალდის სისქეს, არამედ მართვადობას. როგორც წესი, მზადდება და/ან განახლდება:
- ინფორმაციული უსაფრთხოების პოლიტიკა და მიზნები;
- აქტივების რეესტრი და მონაცემთა კლასიფიკაციის წესები;
- რისკების შეფასების მეთოდიკა და რისკების დამუშავების გეგმა;
- წვდომების, პაროლებისა და პრივილეგიების მართვა;
- ინციდენტებზე რეაგირება და ჟურნალირება (ლოგირება);
- რეზერვული კოპირება და აღდგენა;
- მომწოდებლებისა და ღრუბლოვანი სერვისების მართვა;
- უწყვეტობის/აღდგენის გეგმა (ბიზნესის მასშტაბის მიხედვით).
ვადები და რა მოქმედებს ღირებულებაზე
ISO 27001-ის სერტიფიკაცია დროში, ჩვეულებრივ, რამდენიმე კვირიდან რამდენიმე თვემდე გრძელდება — ეს დამოკიდებულია კომპანიის მასშტაბზე, პროცესების სიმწიფეზე და სერტიფიკაციის არჩეულ არეალზე (ერთი ოფისი/კომპანიების მთელი ჯგუფი, ერთი პროდუქტი/ყველა სერვისი). ბიუჯეტზე გავლენას ახდენს ლოკაციების რაოდენობა, IT-ლანდშაფტის სირთულე და ტექნიკური ზომების დამატებითი გამართვის საჭიროება.
რატომ არის თანმხლება უფრო მომგებიანი, ვიდრე „თვითონ“
ISO 27001-ის დანერგვა საკუთარი ძალებითაც შესაძლებელია, მაგრამ ხშირად ბიზნესისთვის უფრო მნიშვნელოვანია სიჩქარე და მოთხოვნების ინტერპრეტაციაში შეცდომების არარსებობა. შპს „System Management“ ეხმარება გზის გავლაში ზედმეტი ბიუროკრატიის გარეშე: ISMS (СМИБ) ისე ააწყოს, რომ რეალურად მუშაობდეს, ხოლო აუდიტი თავდაჯერებულად გაიაროთ — გასაგები როლებით, ვადებით და შედეგით.
თუ გსურთ გაიგოთ საწყისი მდგომარეობა და მოქმედებების გეგმა კონკრეტულად თქვენი კომპანიისთვის ყაზახეთში, უზბეკეთში, საქართველოში ან ყირგიზეთში — დატოვეთ განაცხადი კონსულტაციაზე. გეტყვით, როგორ მიიღოთ ISO 27001-ის სერტიფიკატი უფრო სწრაფად და რომელი ნაბიჯები მოგცემთ მაქსიმალურ ეფექტს თქვენს ბიზნესზე.