Какво включва подготовката за ISO 27001?

Какво включва подготовката за ISO 27001 на практика

ISO/IEC 27001:2022 поставя изисквания към Системата за управление на информационната сигурност, известна като ISMS. Стандартът не предписва еднаква техническа среда за всички организации. Той изисква компанията да разбира рисковете си, да избере адекватни мерки за контрол и да управлява тези мерки последователно.

Това разграничение е съществено. Фирма с 25 служители, която обработва клиентски договори в облачна платформа, няма нужда от същия обхват и контролни механизми като финансова организация с множество вътрешни системи. И в двата случая обаче трябва да е ясно кой има достъп до информацията, как се защитават данните, как се реагира при проблем и как ръководството следи резултатите.

Определяне на обхвата и бизнес контекста

Първата реална задача е да се определи обхватът на системата. Той описва кои дейности, локации, служители, информационни активи, приложения и доставчици попадат в ISMS. Неясният обхват е честа причина проектът да се разшири безконтролно или да остави критични процеси извън управлението.

Обхватът не бива да се избира само с цел по-лесен одит. Ако например системата за продажби е извън него, но чрез нея се обработват клиентски данни и договори, това ограничение трудно ще бъде защитимо. По-разумният подход е да се започне с ясно дефинирана бизнес функция и нейната технологична среда, след което контролът да се разширява планирано.

На този етап се идентифицират и заинтересованите страни: клиенти, служители, партньори, регулатори и ключови доставчици. Разглеждат се договорни изисквания, GDPR задължения, изисквания по NIS2, ако са приложими, и вътрешни цели за непрекъсваемост на работата.

Роли, ангажимент и измерима отговорност

ISO 27001 изисква ръководството да носи отговорност за системата. Това не означава управителят да одобрява всеки потребителски достъп или да поддържа регистъра на активите. Означава да бъдат определени приоритети, ресурс, собственици на процеси и ясни правила за вземане на решения.

Подготовката включва назначаване на отговорник по информационната сигурност, собственици на активи и отговорни лица за риска. В малка компания един човек може да изпълнява няколко роли, стига да има компетентност и правомощия. Важно е отговорностите да не остават само в документите - при инцидент, промяна по система или напускане на служител трябва да е ясно кой действа и в какъв срок.

Оценка на риска - основата на решенията

Оценката на риска е ядрото на ISO 27001 подготовката. Тя свързва реалните бизнес заплахи с конкретните защитни мерки. Вместо общо твърдение, че „кибератаките са риск“, организацията анализира какво може да се случи с определен актив, каква е вероятността и какъв би бил ефектът върху работата, финансите, договорите и репутацията.

Активите не са само сървъри и лаптопи. Те включват клиентски данни, договори, електронна поща, облачни акаунти, мрежово оборудване, резервни копия, знанията на ключови служители и критични бизнес процеси. След това се разглеждат заплахи като фишинг, грешна конфигурация, неоторизиран достъп, прекъсване на доставчик, загубено устройство или човешка грешка.

За всеки съществен риск се определя подход за третиране: намаляване чрез контролни мерки, прехвърляне чрез договор или застраховка, избягване на дейността или приемане на остатъчния риск. Приемането е допустимо само ако е информирано и одобрено от правилното ниво в организацията. Не е достатъчно даден риск просто да остане в таблица без собственик и срок.

Приложимост на контролите и План за третиране на риска

Стандартът съдържа набор от контроли в Приложение А. Те покриват организационни, технически, физически и свързани с хората мерки. Подготовката изисква да се изготви Декларация за приложимост, в която се посочва кои контроли са приложими, как се прилагат и защо определени контроли не са релевантни.

Тук се вижда разликата между формално и зряло внедряване. Не е необходимо всяка организация да има собствен център за наблюдение на сигурността. Но ако достъпът до облачната поща не е защитен с многофакторна автентикация, няма управление на администраторските акаунти и липсва преглед на журналите, рискът е реален независимо от размера на фирмата.

Планът за третиране превръща анализа в действия. Той може да включва внедряване на MFA, централизирано управление на устройства, сегментиране на мрежата, криптиране, правила за резервни копия, тестове за възстановяване, преглед на права и обучение на служители. За всяка задача трябва да има срок, собственик, необходим ресурс и критерий за завършване.

Политики, процедури и доказателства за изпълнение

Документацията е необходима, но не трябва да бъде самоцел. Политиката за информационна сигурност дава посока. Процедурите описват как се правят конкретни неща: назначаване и освобождаване на служител, предоставяне и отнемане на достъп, управление на промени, реакция при инцидент, работа с доставчици и възстановяване след прекъсване.

Одиторът няма да оцени високо подробна процедура за управление на достъпа, ако компанията не може да покаже реални записи за одобрения, периодични прегледи и своевременно закриване на акаунти. Затова подготовката включва създаване на работни доказателства: регистри на активи и рискове, протоколи от обучения, отчети от резервни копия, записи за инциденти, резултати от тестове и прегледи на доставчици.

Особено внимание заслужават външните доставчици. Облачният доставчик, фирмата за заплати, телекомуникационният оператор или външният IT партньор често обработват или поддържат критична информация. Компанията трябва да знае какви услуги получава, какви са договорните нива на поддръжка, как се уведомява при инцидент и какво се случва с данните при прекратяване на услугата.

Технически и оперативни мерки, които често липсват

В много организации добрите намерения не достигат до ежедневната IT работа. Политиката казва, че данните се пазят, но резервните копия не се тестват. Изисква се силна парола, но няма MFA. Служителите преминават обучение, но фишинг симулации и правила за докладване липсват.

Практическата подготовка проверява дали базовите контроли работят: актуализации на системи, антивирусна или EDR защита, защитени администраторски достъпи, инвентар на устройства, мониторинг, архивиране и план за реакция при инцидент. При хибридна работа трябва да се оценят и личните устройства, домашните мрежи, достъпът до SaaS приложения и споделянето на файлове извън одобрени канали.

Не всеки контрол трябва да се внедрява едновременно. Ако организацията има ограничен ресурс, първо се адресират рисковете с най-голям потенциален ефект: компрометирана електронна поща, липса на възстановими резервни копия, прекомерни администраторски права и неуправлявани устройства.

Вътрешен одит, преглед от ръководството и сертификационен одит

Преди външния одит системата трябва да бъде проверена отвътре. Вътрешният одит оценява дали изискванията на ISO 27001, вътрешните правила и планираните контроли се спазват. Той трябва да бъде достатъчно независим - човек не следва да одитира собствената си работа без допълнителна проверка.

Констатациите се записват, анализират и коригират. Следва преглед от ръководството, при който се разглеждат рисковете, инцидентите, резултатите от одита, изпълнението на целите, промените в средата и нужните подобрения. Това е моментът, в който системата се свързва с бизнес управлението, а не остава задача само на IT отдела.

Сертификационният одит обичайно е на два етапа. Първият преглежда готовността, обхвата и основната документация. Вторият проверява практическото прилагане и доказателствата. Сертификатът не означава, че инциденти няма да има. Той показва, че организацията има установен механизъм да управлява рисковете, да реагира и да подобрява системата си.

Подготовката за ISO 27001 е най-полезна, когато се превърне в нормален начин на работа: достъпите се преглеждат навреме, резервните копия се тестват, доставчиците се управляват, а проблемите се отчитат без забавяне. Тогава сертификатът е резултат от контролируема IT среда, а не краткосрочен проект преди одит.