Стандартът за сигурност, който целият свят признава.

ISO 27001 е международният стандарт за системи за управление на информационната сигурност (СУИС), публикуван от ISO и IEC. Той дава систематичен подход за управление на чувствителната фирмена информация чрез оценка на риска, контроли за сигурност и непрекъснато подобряване. Сертификацията по ISO 27001 показва на клиенти, партньори, регулатори и одитори, че вашата организация следва международно признати добри практики за информационна сигурност. Настоящата версия, ISO 27001:2022, включва 93 контроли, организирани в четири теми: организационни, свързани с хората, физически и технологични. Сертификацията се издава от акредитирани независими одиторски органи след двуетапен процес на оценка.

Annex A на ISO 27001:2022 съдържа 93 референтни контроли, организирани в четири категории. Организационните контроли (37 контроли) обхващат политики, роли, управление на активите, контрол на достъпа, отношения с доставчици, управление на инциденти, непрекъснатост на дейността и съответствие. Контролите, свързани с хората (8 контроли), обхващат проверка на кандидати, условия на трудовите правоотношения, обучение за осведоменост, дисциплинарни процеси и отговорности след прекратяване. Физическите контроли (14 контроли) обхващат периметри на физическата сигурност, контрол на входа, обезопасяване на офиси, наблюдение и защита на оборудването. Технологичните контроли (34 контроли) обхващат крайни устройства, права за достъп, сигурно удостоверяване, управление на капацитета, защита от зловреден софтуер, резервни копия, журналиране, мрежова сигурност, сигурна разработка и маскиране на данни. Venvera предоставя пълна библиотека с контролите от Annex A с насоки за внедряване и проследяване на пропуските за всеки контрол.

Оценката на пропуските по ISO 27001 (наричана още gap анализ) е структурирана оценка, която сравнява вашите текущи практики за информационна сигурност с изискванията на ISO 27001 и неговите контроли от Annex A. Оценката установява кои контроли са напълно внедрени, частично внедрени, планирани или неприложими, заедно с доказателствата, които подкрепят всяко определяне. Резултатът е приоритизиран план за действие, който показва точно какво е нужно, за да постигнете готовност за сертификация. Venvera автоматизира този процес чрез структурирани въпросници за всеки контрол от Annex A, автоматично оценяване и генерирана пътна карта за отстраняване с оценки на усилието и приоритети.

Срокът до сертификация по ISO 27001 зависи от размера на организацията и съществуващата зрялост на сигурността. За малка или средна организация, която започва от нулата, очаквайте 6 до 12 месеца. За организации със съществуващи рамки за сигурност 3 до 6 месеца са постижими. Процесът включва определяне на обхвата на СУИС, извършване на оценка на риска, внедряване на контроли, изграждане на документация, провеждане на вътрешни одити, извършване на преглед от ръководството и след това преминаване през двуетапния външен сертификационен одит. Етап 1 е преглед на документацията за потвърждаване на готовността. Етап 2 е оценката на място на ефективността на контролите. Venvera ускорява този срок, като предоставя готови библиотеки с контроли, шаблони за политики и дашбордове за готовност за сертификация, които проследяват напредъка ви към всяко изискване.

ISO 27001 е сертифицируемият стандарт за система за управление, който определя какво трябва да включва едно СУИС: анализ на контекста, ангажираност на ръководството, оценка на риска, избор на контроли, оценка на резултатността и непрекъснато подобряване. ISO 27002 е придружаващият стандарт с насоки, който дава подробни съвети за внедряването на всеки от 93-те контрола от Annex A, посочени в ISO 27001. Вие се сертифицирате по ISO 27001 и използвате ISO 27002 като справочник за начина на внедряване на контролите. ISO 27002:2022 въвежда и атрибути на контролите (видове заплахи, концепции за киберсигурност, оперативни способности и области на сигурността), които помагат на организациите да категоризират и приоритизират контролите. Venvera включва насоките от ISO 27002 директно във всяка оценка на контрол от Annex A.

ISO 27001 дава силна основа както за съответствие с DORA, така и с NIS2, но сам по себе си не покрива изцяло нито един от двата регулаторни акта. DORA изисква специфично за финансовия сектор управление на ИКТ риска, Register of Information, докладване на инциденти в рамките на 4 часа, тестване на устойчивостта и надзор върху риска от трети страни, които надхвърлят ISO 27001. NIS2 изисква секторно специфично уведомяване за инциденти в рамките на 24 часа, мерки за сигурност на веригата на доставки и отговорност на ръководния орган, които ISO 27001 сам по себе си не покрива. Организациите със сертификация по ISO 27001 обаче обикновено вече покриват между 60 и 70 процента от изискванията на DORA и NIS2. Venvera съпоставя контролите между трите рамки, за да виждате точно къде вашето внедряване на ISO 27001 покрива изискванията на DORA и NIS2 и къде са нужни допълнителни мерки.

След първоначалната сертификация ISO 27001 изисква годишни надзорни одити през първата и втората година от тригодишния сертификационен цикъл, последвани от ресертификационен одит през третата година. Надзорните одити проверяват дали СУИС продължава да работи ефективно и дали организацията поддържа съответствие със стандарта. Одиторите преглеждат подмножество от контроли и клаузи при всяко посещение, разглеждат коригиращите действия от предходни одити, оценяват резултатите от прегледа от ръководството, преглеждат резултатите от вътрешните одити и оценяват всички значителни промени в обхвата на СУИС или рисковата среда. Несъответствия, открити по време на надзорен одит, могат да доведат до спиране или отнемане на сертификата, ако не бъдат отстранени в определения срок. Venvera проследява всички констатации от одити, коригиращи действия и доказателства, така че винаги сте подготвени за следващото надзорно посещение.

Да. Venvera е софтуер за съответствие с ISO 27001, изграден около СУИС и набора от контроли от Annex A. Той ви дава обхваната библиотека с контроли, оценка на пропуските, която измерва готовността ви за сертификация контрол по контрол, и работно пространство с доказателства с отговорници, срокове на валидност и подновяване. Тъй като съпоставя контроли между рамките, доказателствата, които вече имате за SOC 2 или NIST CSF, попълват предварително голяма част от вашата позиция по Annex A. Можете да започнете с безплатен доклад за пропуските, преди да поемате какъвто и да е ангажимент.