سازگاری ISO 27001 چیست؟ نکات اساسی و بینش
سازمان بین المللی استاندارد (ISO) یک نهاد جهانی است که استانداردهای مختلفی را برای رشته های مختلف جمع آوری و مدیریت می کند. در دنیای امروز ، با توجه به این که بسیاری از صنایع اکنون به اینترنت و شبکه های دیجیتال متکی هستند ، بیشتر و بیشتر مورد توجه بخش های فناوری استانداردهای ISO قرار می گیرد.
به طور خاص ، استاندارد ISO 27001 به گونه ای طراحی شده است که می تواند به عنوان چارچوبی عمل کند. سیستم مدیریت امنیت اطلاعات سازمان (ISMS). این شامل کلیه خط مشی ها و فرایندهای مربوط به نحوه کنترل و استفاده از داده ها می شود. ایزو 27001 ابزارها ، راه حلها یا روشهای خاص را الزامی نمی کند ، بلکه درعوض به عنوان یک لیست بررسی سازگاری عمل می کند. در این مقاله ، ما به چگونگی عملکرد صدور گواهینامه ISO 27001 می پردازیم و چرا می تواند ارزشی برای سازمان شما به ارمغان آورد.
معرفی به ISO 27001
ISO برای اولین بار منتشر شد. خانواده استاندارد آن در سال 2005 و از آن زمان به بعد ، مرتباً به روزرسانی های دوره ای در مورد سیاست های مختلف شده است. برای ISO 27001 ، آخرین تغییرات اساسی در سال 2013 وارد شده است. مالکیت ISO 27001 در واقع بین ISO و کمیسیون بین المللی الکتروتکنیک (IEC) ، که یک نهاد سازمانی سوئیسی است که در درجه اول روی سیستم های الکترونیکی متمرکز است ، مشترک است.
هدف ایزو 27001 ارائه چارچوبی از استانداردها برای چگونگی مدیریت یک سازمان مدرن اطلاعات و داده های خود است. مدیریت ریسک بخش مهمی از ایزو 27001 است ، و اطمینان می دهد که یک شرکت یا غیر انتفاعی می فهمد نقاط قوت و ضعف آنها کجاست. بلوغ ISO نشانه ای از سازمانی مطمئن و قابل اطمینان است که به داده ها می توان اعتماد کرد.
شرکت ها از هر اندازه باید اهمیت امنیت سایبری را تشخیص دهند ، اما ایجاد یک گروه امنیتی فناوری اطلاعات در داخل سازمان برای اطمینان از داده ها کافی نیست. تمامیت. ISMS یک ابزار مهم است ، به خصوص برای گروههایی که در چندین مکان یا کشورها پخش می شوند ، زیرا تمام فرایندهای پایان به پایان مربوط به امنیت را در بر می گیرد.
یک ISMS (سیستم مدیریت امنیت اطلاعات) باید به عنوان یک مجموعه زندگی وجود داشته باشد. اسناد موجود در یک سازمان به منظور مدیریت ریسک. دهه ها قبل ، شرکت ها در واقع ISMS را چاپ می کردند و آن را برای آگاهی خود به کارکنان توزیع می کردند. امروزه ، ISMS باید بصورت آنلاین در یک مکان امن ذخیره شود ، به طور معمول یک سیستم مدیریت دانش. کارمندان باید بتوانند هر زمان که بخواهند به ISMS مراجعه کنند و در هنگام اجرای تغییر هشدار دهند. در هنگام جستجوی گواهینامه ISO 27001 ، ISMS اصلی ترین ماده مرجع است که برای تعیین میزان انطباق سازمان شما استفاده می شود.
ISO 27001 می تواند به عنوان یک راهنما برای هر گروه یا نهاد که به دنبال بهبود روش ها یا خط مشی های امنیتی اطلاعات است ، عمل کند. برای آن دسته از سازمان هایی که به دنبال بهترین کلاس در این زمینه هستند ، صدور گواهینامه ISO 27001 هدف نهایی است. رعایت کامل به این معنی است که ISMS شما برای محافظت از سازمان خود در برابر تهدیداتی از قبیل باج افزار ، به عنوان پیروی از بهترین اقدامات در حوزه امنیت سایبر شناخته می شود.
در برخی از صنایع که دارای طبقه بندی بسیار حساس از داده ها از جمله زمینه های پزشکی و مالی هستند ، ISO صدور گواهینامه 27001 الزامی برای فروشندگان و اشخاص ثالث است. ابزاری مانند موتور طبقه بندی داده Varonis می تواند در شناسایی این مجموعه داده های مهم کمک کند. اما صرف نظر از این که شغل شما در کدام صنعت قرار دارد ، نشان دادن رعایت ISO 27001 می تواند یک پیروزی بزرگ باشد. به طور خاص ، صدور گواهینامه به مشتریان ، دولتها و نهادهای نظارتی ثابت خواهد کرد که سازمان شما ایمن و قابل اعتماد است. این باعث افزایش اعتبار شما در بازار می شود و به شما کمک می کند تا از خسارتهای مالی یا مجازاتهای نقض داده یا حوادث امنیتی جلوگیری کنید.
اگر شما مطابق با ISO 27001 مطابقت نداشته باشید ، چه اتفاقی می افتد؟ اگر سازمان شما قبلاً مجوز دریافت كرده است ، می توانید در معرض خطا در عدم انجام حسابرسی بعدی و از بین بردن نام تعهد خود باشید. این همچنین می تواند مانع از فعالیت شما در زمینه های جغرافیایی خاص شود.
نحوه تبدیل شدن به ISO 27001 دارای مجوز
دریافت گواهینامه ISO 27001 به طور معمول چند ساله است. فرآیندی که مستلزم مشارکت قابل توجهی از طرف ذینفعان داخلی و خارجی باشد. به سادگی پر کردن لیست چک و ارسال آن برای تأیید ساده نیست. قبل از تصمیم گیری در مورد صدور گواهینامه ، باید اطمینان حاصل کنید که ISMS شما کاملاً بالغ است و کلیه زمینه های بالقوه ریسک فناوری را در بر می گیرد.
فرآیند صدور گواهینامه ISO 27001 به طور معمول در سه مرحله تقسیم می شود:
- سازمان یک سازمان صدور گواهینامه را استخدام می کند که سپس یک بررسی اساسی از ISMS را انجام می دهد تا به دنبال اشکال اصلی اسناد باشد.
- بدن صدور گواهینامه ممیزی عمیق تر را انجام می دهد که در آن اجزای فردی ISO 27001 در برابر ISMS سازمان بررسی می شوند. باید شواهد نشان داد كه سیاستها و رویه ها به طور مناسب دنبال می شوند.
- ممیزی های پیگیری بین بدنه صدور گواهینامه و سازمان برنامه ریزی شده است تا اطمینان حاصل شود که تطابق در حال بررسی است.
استانداردهای ISO 27001 چیست؟ 19659020] قبل از اقدام به صدور گواهینامه ISO 27001 ، کلیه ذینفعان اصلی یک سازمان باید با نحوه تنظیم و استفاده از استاندارد آشنا شوند. ISO 27001 به 12 بخش جداگانه تقسیم شده است:
- مقدمه – توضیح می دهد امنیت اطلاعات چیست و چرا یک سازمان باید خطرات را مدیریت کند.
- Scope – شرایط سطح بالا را پوشش می دهد ISMS برای اعمال در همه نوع یا سازمانها.
- References (Normal References) – رابطه بین استاندارد های ISO 27000 و 27001 را توضیح می دهد. در استاندارد استفاده می شود.
- زمینه سازمان – توضیح می دهد که چه عواملی باید در ایجاد و نگهداری ISMS شرکت داشته باشند.
- رهبری – توضیح می دهد که رهبران چگونه در سازمان باید به سیاست ها و رویه های ISMS متعهد شود.
- برنامه ریزی – رئوس مطالبی از چگونگی برنامه ریزی مدیریت ریسک را باید در سازمان سازمان دهی کند.
- پشتیبانی – descri در مورد چگونگی افزایش آگاهی در مورد امنیت اطلاعات و تعیین مسئولیت ها.
- عملیات – نحوه مدیریت خطرات و نحوه تهیه اسناد را برای رعایت استانداردهای حسابرسی پوشش می دهد.
- ارزیابی عملکرد – راهنمایی هایی در مورد چگونگی نظارت و اندازه گیری عملکرد ISMS ارائه می دهد.
- بهبود – توضیح می دهد که چگونه ISMS باید به طور مداوم به روز و بهبود یابد ، به خصوص پس از ممیزی.
- Control Reference اهداف و کنترل – ضمیمه ای را ارائه می دهد که جزئیات تک تک اجزای حسابرسی را شرح می دهد.
کنترل های حسابرسی ایزو 27001 چیست؟
اسناد برای ISO 27001 بهترین روشها را به 14 کنترل جداگانه تقسیم می کند. ممیزی های صدور گواهینامه کنترل های مربوط به هرکدام را در هنگام بررسی تطابق پوشش می دهد. در اینجا مختصرا از هر بخش از استاندارد و چگونگی ترجمه آن به ممیزی در زندگی واقعی آورده شده است:
- سیاستهای امنیت اطلاعات – چگونگی نوشتن سیاست ها در ISMS را بررسی می کند و برای انطباق بررسی می کند. حسابرسان به دنبال این هستند که ببینند چگونه رویه های شما به طور مرتب ثبت و بررسی می شوند.
- سازمان امنیت اطلاعات – توصیف می کند که قسمت های یک سازمان باید چه وظایفی و اقدامات را بر عهده داشته باشد. حسابرسان انتظار دارند که یک نمودار سازمانی واضح با مسئولیتهای سطح بالا بر اساس نقش داشته باشند.
- Security Resource Security – چگونگی آگاهی کارمندان از امنیت سایبری را هنگام شروع ، خروج یا تغییر موقعیت ها را در بر می گیرد. حسابرسان می خواهند هنگام امنیت امنیت اطلاعات ، روشهای واضح و مشخصی را برای ورود به سیستم و خارج از کشور ببینند.
- مدیریت دارایی – فرآیندهای درگیر در مدیریت دارایی های داده و نحوه محافظت و امنیت آنها را توصیف می کند. حسابرسان بررسی خواهند کرد كه سازمان شما چگونه سخت افزار ، نرم افزار و پایگاه داده را پیگیری می كند. شواهد باید شامل ابزار یا متدهای متداول شما برای اطمینان از یکپارچگی داده ها باشد.
- Control Access – راهنمایی هایی در مورد چگونگی دسترسی کارمندان به انواع مختلف داده ها ارائه می دهد. حسابرسان باید توضیحی کامل درباره چگونگی تنظیم امتیازات دسترسی و چه کسی مسئول حفظ آنها ارائه دهند.
- رمزنگاری – بهترین شیوه های رمزگذاری را پوشش می دهد. حسابرسان بخش هایی از سیستم شما را جستجو می کنند که داده های حساس را کنترل می کنند و نوع رمزگذاری مورد استفاده مانند DES ، RSA یا AES را بررسی می کنند.
- امنیت فیزیکی و محیطی – فرایندهای ایمن سازی ساختمان ها و داخلی را توصیف می کند. تجهیزات. حسابرسان هرگونه آسیب پذیری در سایت فیزیکی را بررسی می کنند ، از جمله نحوه دسترسی دسترسی به دفاتر و مراکز داده.
- Security Operations – راهنمایی در مورد نحوه جمع آوری و ذخیره ایمن داده ها ، فرایندی که انجام داده است. با توجه به فوریت های جدید به لطف تصویب آیین نامه حفاظت از داده های عمومی (GDPR) در سال 2018. حسابرسان می خواهند شواهدی از جریان داده ها و توضیحات مربوط به مکان ذخیره اطلاعات را مشاهده کنند.
- Security Security ارتباطات – امنیت را تحت پوشش قرار می دهد. از کلیه انتقالات در شبکه سازمان. حسابرسان انتظار دارند دیدگاهی راجع به سیستمهای ارتباطی ، از جمله ایمیل یا ویدئو کنفرانس ، و چگونگی حفظ امنیت داده های آنها ، مشاهده کنند.
- اکتساب سیستم ، توسعه و نگهداری سیستم – جزئیات مربوط به فرآیند های مدیریت سیستم ها در یک محیط امن حسابرسان شواهدی را می خواهند مبنی بر اینكه هر سیستم جدیدی كه به سازمان معرفی شود ، مطابق با استانداردهای امنیتی بالا نگه داشته شود.
- روابط تأمین كننده – چگونگی تعامل سازمان با اشخاص ثالث را ضمن تضمین امنیت ، پوشش می دهد. حسابرسان قراردادهای خود را با نهادهای خارجی که ممکن است به داده های حساس دسترسی داشته باشند ، بررسی می کنند.
- مدیریت حوادث امنیت اطلاعات – بهترین شیوه های پاسخگویی به مسائل امنیتی را توصیف می کند. حسابرسان ممکن است بخواهند مته آتش سوزی را اجرا کنند تا ببینند چگونه مدیریت حوادث در سازمان انجام می شود. این جایی است که داشتن نرم افزاری مانند SIEM برای تشخیص و طبقه بندی رفتار غیر طبیعی سیستم به کار می آید.
- جنبه های امنیت اطلاعات مدیریت تداوم تجارت – نحوه برخورد با اختلالات شغلی و تغییرات اساسی را پوشش می دهد. حسابرسان ممكن است مجموعه ای از اختلالات نظری را ایجاد كنند و انتظار دارند كه ISMS اقدامات لازم برای بهبودی از آنها را انجام دهد.
- انطباق – مشخص می كند مقررات دولت یا صنعت برای سازمان مانند ITAR چه ربطی به سازمان دارد. حسابرسان می خواهند شواهدی از انطباق کامل برای هر زمینه ای که مشاغل در آن فعالیت می کنند مشاهده کنند.
یکی از اشتباهی که بسیاری از سازمان ها مرتکب می شوند ، قرار دادن کلیه مسئولیت های مربوط به صدور گواهینامه ISO در تیم فناوری اطلاعات محلی است. اگرچه فن آوری اطلاعات در هسته ISO 27001 قرار دارد ، اما فرآیندها و رویه ها باید توسط همه بخش های سازمان به اشتراک گذاشته شود. این مفهوم در قلب ایده انتقال وسایل نقلیه به devsecops قرار گرفته است.
هنگام آماده شدن برای ممیزی صدور گواهینامه ISO 27001 ، توصیه می شود از گروه خارجی با تجربه انطباق استفاده کنید. به عنوان مثال ، گروه Varonis مجوز کامل ISO 27001 را بدست آورده است و می تواند به نامزدها کمک کند تا شواهد مورد نیاز برای استفاده در حین ممیزی را آماده کنند. وارونیس همچنین راه حلهای نرم افزاری مانند Datalert را برای کمک به استفاده از ISMS سازمان ارائه می دهد.
نکاتی برای حفظ انطباق ISO 27001
کسب ISO 27001 اولیه صدور گواهینامه تنها اولین قدم برای سازگاری کامل است. حفظ استانداردهای بالا و بهترین شیوه ها اغلب برای سازمان ها یک چالش است ، زیرا کارکنان تمایل دارند که بعد از اتمام حسابرسی ، تلاش خود را از دست بدهند. مسئولیت رهبری است که اطمینان حاصل کند که این اتفاق نمی افتد.
با توجه به تعداد کارمندان جدید به یک شرکت می پیوندند ، سازمان باید جلسات آموزشی سه ماهه برگزار کند تا همه اعضا از ISMS و چگونگی استفاده از آن مطلع شوند. کارمندان موجود همچنین باید ملزم به گذراندن آزمون سالانه باشند که اهداف بنیادی ISO 27001 را تقویت می کند.
به منظور سازگار ماندن ، سازمان ها باید هر سه سال یکبار حسابرسی های داخلی ISO 27001 خود را انجام دهند. کارشناسان امنیت سایبری توصیه می کنند که این کار را سالانه انجام دهید تا شیوه های مدیریت ریسک را تقویت کرده و به دنبال هرگونه شکاف و کاستی باشید. محصولاتی از قبیل محاسن وارنیس می توانند به روند ساده حسابرسی از دیدگاه داده کمک کنند.
یک کارگروه ISO 27001 باید با ذینفعان از سراسر سازمان تشکیل شود. این گروه باید ماهانه برای بررسی هرگونه مسائل باز و بررسی در مورد اسناد ISMS به صورت ماهانه گرد هم می آیند. یک نتیجه از این کارگروه باید یک لیست چک باشد مانند آنچه در اینجا ذکر شده است:
- برای کلیه فعالیت های ISO 27001 از پشتیبانی مدیریتی بدست آورید.
- مطابقت با ISO 27001 را به عنوان یک پروژه در حال انجام بدست آورید.
- .
- محدوده نحوه استفاده ISO 27001 را برای بخش های مختلف سازمان خود تعریف کنید.
- خط مشی ISMS را بنویسید و به روز کنید ، که استراتژی امنیت سایبری شما را تشریح می کند.
- برای تعیین چگونگی شناسایی و رسیدگی به مسائل ، روش ارزیابی خطر را تعریف کنید.
- ارزیابی و ریسک ریسک را بطور منظم انجام دهید.
- بیانیه ای از کاربرد بنویسید تا تعیین کنید کدام کنترل های ISO 27001 قابل استفاده هستند.
- یک برنامه درمانی برای خطرات بنویسید تا همه ذینفعان بدانند که چگونه تهدیدات کاهش می یابد. استفاده از مدل سازی تهدید می تواند برای دستیابی به این کار کمک کند.
- اندازه گیری کنترل ها را تعیین کنید تا درک کنید که بهترین شیوه های ISO 27001 چگونه انجام می شود.
- تمام کنترل ها و مراحل اجباری را اجرا کنید. [دراستانداردISO27001شرحدادهشدهاست
- برنامه های آموزشی و آگاهی بخشی را برای کلیه افراد در سازمان خود که به دارایی های فیزیکی یا دیجیتال دسترسی دارند ، اجرا کنید.
- ISMS را به عنوان بخشی اجرا کنید. از کارهای روزمره سازمان شما.
- ISMS را کنترل کنید تا بفهمید که از آن به چه میزان استفاده می شود. ] بررسی نتایج حسابرسی با مدیریت.
- اقدامات اصلاحی یا پیشگیرانه را در صورت لزوم تنظیم کنید.
ISO 27001 راهنمای سریع: سؤالات متداول
روند و دامنه صدور گواهینامه ISO 27001 می تواند کاملاً باشد. دلهره آور ، بنابراین بگذارید چند سؤال متداول را بپوشانیم.
س: الزامات ایزو 27001 چیست؟
A: به منظور کسب گواهینامه ISO 27001 ، سازمانی نیاز به حفظ ISMS که تمام جنبه های استاندارد را در بر می گیرد. پس از آن ، آنها می توانند یک ممیزی کامل را از یک نهاد صدور گواهینامه درخواست کنند.
س: منظور از صدور گواهینامه ISO 27001 چیست؟
A: می شود ISO 27001 تأیید شده بدان معنی است که سازمان شما با موفقیت از حسابرسی خارجی عبور داده و تمام معیارهای انطباق را رعایت کرده است. این بدان معنی است که هم اکنون می توانید رعایت خود را برای تقویت اعتبار فضای مجازی خود تبلیغ کنید.
س: آخرین استاندارد ISO 27001 چیست؟
A: آخرین استاندارد رسماً شناخته شده است به عنوان ISO / IEC 27001: 2013. در سال 2013 به عنوان دومین نسخه رسمی ISO 27001 منتشر شد. این استاندارد آخرین بار در سال 2019 مورد بازبینی و تأیید قرار گرفت ، به این معنی که هیچ تغییری لازم نبود.
Q: آیا ISO 27001 GDPR سازگار است؟
A: از آنجا که ISO 27001 عمدتا چارچوبی برای توسعه ISMS است ، کلیه قواعد خاص مقررات مربوط به حفاظت از داده های عمومی (GDPR) که توسط اتحادیه اروپا ایجاد شده است را شامل نمی شود. با این حال ، هنگامی که با ISO 27701 زوج ، که شامل ایجاد یک سیستم حفظ حریم خصوصی داده هاست ، جفت می شود ، سازمان ها قادر خواهند بود تا الزامات مندرج در GDPR را کاملاً برآورده سازند.
س: شباهت ها یا تفاوت های اصلی بین چیست؟ SOX و ISO 27001؟
A: در حالی که ISO 27001 مدیریت کلی اطلاعات و داده ها را در بر می گیرد ، قانون Sarbanes-Oxley (SOX) مخصوص نحوه افشای اطلاعات مالی در ایالات متحده است. خوشبختانه برای شرکت هایی که دامنه گسترده ای از مدیریت داده ها را دارند ، اخذ گواهینامه ISO 27001 نیز در اثبات انطباق با استانداردهای SOX کمک خواهد کرد.
Q: منظور از ایزو دیگر چیست؟
A: ISO یک مجموعه کامل از استانداردها را که در زیر ISO 27001 قرار دارد ، نگه می دارد. همه اینها مفاهیم را از چارچوب دریافت می کنند و به رهنمودهای خاص تری برای چگونگی ایجاد بهترین روشها در یک سازمان فرو می روند.
منابع
مهم نیست که اندازه شرکت شما یا چه صنعتی در آن کار کنید ، کسب گواهینامه ISO 27001 می تواند یک برد بزرگ باشد. با این حال ، این یک کار چالش برانگیز است ، بنابراین مهم است که بتوانید سایر ذینفعان و منابع را در طول یک پروژه سازگاری به کار گیرید. با ابزارهایی مانند Varonis Edge ، می توانید حملات سایبری را قبل از رسیدن به شبکه خود متوقف کنید و در عین حال شواهدی مبنی بر رعایت ISO 27001 خود نیز نشان دهید.