ISO 27001:2013 (הגרסה הנוכחית של ISO 27001) הוא אחד מתקני אבטחת המידע הפופולריים בעולם. יותר ויותר חברות משיגות אישור ISO 27001 כדי להדגיש את החוסן של ניהול אבטחת המידע שלהן.
עמידה ב-ISO 27001 הייתה בעבר עניין של יתרון תחרותי, אך ככל שהסמכת ISO 27001 הופכת לנורמה לאבטחת מידע שיטות עבודה מומלצות, היא יותר ויותר כניסה מינימלית למכרז או לחידוש חוזה. התאמה לתקן יכולה לעשות את ההבדל בין זכייה להפסד בכל המכרזים החשובים.
מדוע ISO 27001 כל כך חשוב לארגונים?
ISO 27001 הוא התקן היחיד שמגדיר את המפרטים עבור א מערכת ניהול אבטחת מידע (ISMS).
ארגונים צריכים יותר ויותר להראות שניתן לסמוך עליהם עבור אבטחת מידע וניהול פרטיות תקן ISO 27001 מוכיח שארגון זיהה סיכונים ולהפעיל אמצעי מניעה להגנה על הארגון מפני פרצות אבטחת מידע.
גופי הסמכה
ISO מפתחת תקנים בינלאומיים, אך אינה מנפיקה תעודות. עבור ארגונים בבריטניה, הכרה בתקן ISO 27001 היא בעלת הערך הרב ביותר כאשר היא מאושרת על ידי UKAS גוף הסמכה מוסמך שיבקר באופן עצמאי את הארגון שלך ויספק לך אישור ISO 27001.
בצפון אמריקה, ANSI National Accreditation Board (ANAB) הוא גוף ההסמכה הגדול ביותר. כדי לראות רשימה של הגופים המוסמכים שלהם, בקר אצלם בספרייה. CDG מוכרים כגוף הסמכה פופולרי בהודו.
"פורום ההסמכה הבינלאומי" (IAF) מנהל רשימה של כל גופי ההסמכה הבינלאומיים החברים בחיל האוויר. רשימה זו ניתן למצוא כאן: רשימת חברי חיל האוויר.
מהם ארבעת היתרונות המובילים בהשגת ISO 4?
יתרון 1: שימור לקוחות וזכייה בעסקים חדשים
בעוד ההחזר על ההשקעה מא מערכת ניהול אבטחת מידע יכול להיות גבוה, טריגרים להשקעה הראשונית מגיעים בדרך כלל מכוחות חיצוניים כמו לקוחות רבי עוצמה.
יש מספרים הולכים וגדלים של בעלי עניין הרבה יותר מתעניינים באופן שבו המידע היקר שלהם מטופל ומוגן. הסיכונים הכרוכים ב אבטחת סייבר והפרות מידע מכל סוג שהוא גדולות מכדי פשוט ללכת על לחיצת יד והבטחה שספק חדש פועל באחריות עם מידע.
האמונה ההיסטורית לגבי ארגונים המגינים באופן טבעי על פרטיות ואבטחת נתונים, הוחלפה בחשד שהנתונים מטופלים בצורה לא נכונה. ארגונים צריכים להגן על העסק שלהם, וזה כולל את האבטחה שלהם שרשרת אספקה. זה נחקר ביתר פירוט בנייר הלבן שלנו "תכנון מקרה עסקי למערכת ניהול אבטחת מידע".
התאמת הארגון שלך לסדר העדיפויות והדרישות של הלקוחות שלך ייתן לך יתרון תחרותי ויהפוך אותך ללקוח פוטנציאלי הרבה יותר אטרקטיבי.
יתר על כן, ISO 27001 הסמכה מפגין נוהלי אבטחה חזקים, ובכך משפר את קשרי הלקוחות ושימור הלקוחות.
עבור רבים מהלקוחות שלנו, הרצון שלהם להשיג את תקן ISO 27001 מונע על ידי דרישות הלקוחות שלהם, בין אם לקוחות קיימים או בעת מכרזים לזכייה בעסקים חדשים של לקוחות.
בכל מצב, בין אם הנהג הוא לספק את דרישות הלקוח הקיים או הלקוח הפוטנציאלי, בדרך כלל תמיד יש מטרה רגישה לזמן עם לחץ להשיג הסמכה במהירות.
ניסיון ב-ISO 27001
המניע הראשוני שלנו להשגת תקן ISO 27001 בשנת 2012 היה שאחד הלקוחות הקיימים שלנו דרש מאיתנו להוכיח את אמינות מערכת ניהול אבטחת המידע שלנו על מנת להמשיך לעשות איתנו עסקים. מאז, זהו סיפור שאנו שומעים שוב ושוב מלקוחותינו. קרא עוד על הסיפור שלנו.
משתמש ISMS.online, Amigo, זיהה שהלקוחות ברמת הארגון שהם מושכים מחפשים יותר ויותר אבטחת אבטחת מידע. עם אף אחד אדם המוקדש במשרה מלאה למידע בתפקיד האבטחה, הם החליטו להפוך את התהליך לאוטומטי ולפשט ככל האפשר. הם השיגו יישום מוצלח חלק וביקורת ISO 27001 מוצלחת - עם מאמץ של 2-3 שבועות בלבד שהוקדשו לפרויקט ה-ISO 27001 שלהם - הודות לראשית הענק שהעניקה להם ISMS.online.
קרא את סיפור הלקוחות של אמיגו.
יתרון 2: מניעת קנסות ואובדן מוניטין
תחת האיחוד האירופי ומרגולצית הנתונים הכללית (GDPR), ה משרד נציבות המידע (ICO), בבריטניה, יכולה כעת להנפיק קנסות של עד 4% מהמחזור השנתי של חברה, או 20 מיליון יורו (הגדול מביניהם) על עבירות המידע הקשות ביותר.
השמיים מדינות ICO כי "כל עונש שאנו מוציאים נועד להיות יעיל, מידתי ומרתיע, ויוחלט על כל מקרה לגופו".
אבטחת מידע משופרת ו הגנה על נתונים נמצא הרבה יותר גבוה בסדר העדיפויות של הציבור הרחב ומנהיגים עסקיים כאחד.
וכותרות בעמוד הראשון של קנסות גדולים שנגרמו עקב פרצות מידע משמעותיות יסלימו את הצורך בניהול אבטחת מידע אפילו יותר, כאשר ארגונים לא רק יסתכלו על אבטחת הסייבר שלהם, אלא גם את אישורי ה-infosec לאורך שרשראות אספקה. זה משפיע אפילו על העסקים הקטנים ביותר כמו היכן שיש טיפול ועיבוד נתונים, יש סיכון.
ביולי 2019, נגזרו על בריטיש איירווייז קנס של 183 מיליון ליש"ט בגין הפרה של GDPR בעקבות נתונים הפרה שהשפיעה על 500,000 לקוחות בשנה שעברה, עלות שמסתכמת ב-1.5% מההכנסות השנתיות של חברות התעופה.
בעקבות כך, א קנס של 100 מיליון ליש"ט הוטל על קבוצת המלונות הבינלאומית Marriott, לאחר שהאקרים גנבו את השיאים של 339 מיליון אורחים.
לא רק החברות הגדולות יותר נופלות ב-ICO. גם חברות קטנות יותר חוטפות קנסות. ענייני פרטיות הוא אוסף נתונים על קנסות כללית של תקנות הגנת מידע ומצא שהקנס הקטן ביותר הוא 194 אירו, שנגרם על ידי חברת שירות בצ'כיה מוקדם יותר השנה.
גם כאשר ארגון ספגה קנס קטן כמו זה, עדיין תהיה לו השפעה מזיקה על העסק שלו כשהם יהיו פחות אטרקטיביים עבור לקוחות פוטנציאליים.
זה לא מפתיע אם כך ארגונים רוצים לחזק את אבטחת המידע שלהם יציבה כדי למנוע קנס. יש לשקול היטב את ההשפעה על המוניטין של חברות שקיבלו פרסום שלילי מקנסות, או אפילו רק מהודעות אזהרה. זה עשוי להשפיע לרעה על שולי הרווח שלהם בשנים הבאות.
יתרון 3: שיפור תהליכים ואסטרטגיות
בנוסף לשיפור האופן שבו הארגון שלך נתפס על ידי הלקוחות שלך, הספקים ובעלי עניין אחרים, יתרונות הסמכת ISO 27001 המערכות הפנימיות, המבנה והתהליכים והנהלים היומיומיים של הארגון שלך.
זה אכן אחד היתרונות של מערכת ניהול אבטחת מידע עצמה.
חשוב היבט של ניהול אבטחת מידע הוא נהלים ואחריות תפעוליים. תחת נספח א.12 מסגרת, קיימות דרישות הנוגעות לתהליכים הנדרשים ונהלי הפעלה מתועדים לניהול שינויים וקיבולת, פיתוח ובדיקות וסביבות תפעול, בקרות נגד תוכנות זדוניות וגיבוי מידע.
זה מספק מסגרת ברורה שיש לקחת בחשבון סיכוני אבטחת מידע, תהליכי ניהול ומרכיבים תפעוליים מרכזיים כגון האופן שבו יש לשמור על עדכניות מערכות IT, הגנת אנטי-וירוס, אחסון נתונים וגיבויים, ניהול שינויים ב-IT ורישום אירועים.
התהליכים נדרש לעמוד בתקן ISO 27001 מביא לתיעוד טוב יותר ומשמעות הדבר היא שלכל הצוות יהיו קווים מנחים ברורים לעקוב אחריהם, מה שעוזר לשמור על הארגון בטוח ונקי מהתקפות. זה עשוי לכלול מדיניות סביב השימוש בכוננים חיצוניים, גלישה בטוחה באינטרנט וסיסמאות חזקות.
התקפות סייבר והפרות נתונים תמיד עלולות להתרחש, אבל התכנון קדימה הקשור ב-ISO 27001 מוכיח שהערכת את הסיכונים, כמו גם את רציפות עסקית ולהפר את תוכנית הדיווח אם דברים ישתבשו - בתקווה להפחית את כל העלויות שנגרמו.
ניסיון ב-ISO 27001
משתמש ISMS.online, Oldfield Partners, מתאר כיצד לפני השימוש ב-ISMS.online הם הצליחו יישום ISO 27001 אך השתמשו במסמכים וגיליונות אלקטרוניים ביישומים שונים שהשפיעו על הפרודוקטיביות ועל יכולתם לבצע את 'עבודת היום' שלהם. שֶׁלָהֶם בדיקה התקרב במהירות והם רצו לשפר את המערכות הקיימות שלהם כדי להדגים שיפור עם אבטחת מידע מיטבית, ומכאן החלטתם להשתמש בפלטפורמת ISMS מבוססת ענן.
קרא את הסיפור של Oldfield Partners.
"רצינו להביא שיפורים ומהר. הפתרון של ISMS.online נתן לנו מבנה, סביבות עבודה שנבנו ייעודיים וכלים שאפשרו לנו לגרום ל-ISMS שלנו לפעול במהירות כמו שרצינו".
אנדי רוברטס, ראש הטכנולוגיה ב-Oldfield Partners LLP.
יתרון 4: ציות מסחרי, חוזי ומשפטי
נספח א.18 של ISO 27001 עוסק בעמידה בדרישות משפטיות וחוזיות. המטרה היא למנוע הפרות של התחייבויות משפטיות, סטטוטוריות, רגולטוריות או חוזיות הקשורות אבטחת מידע וכל דרישות אבטחה.
בקרה טובה מתארת כיצד יש לזהות במפורש את כל הדרישות החוקיות, הרגולטוריות, החוזיות הרלוונטיות וגישת הארגון לעמוד בדרישות אלו. מתועד ומתעדכן עבור כל מידע המערכת והארגון.
ISMS.online מקלה במידה ניכרת על צד התאימות של אבטחת מידע. תהליכי האישור המובנים והתזכורות האוטומטיות לסקירות הופכים את החיים להרבה יותר קלים ומציעים 'תוכנית חיים' כדי להראות למבקרים שאתה שולט ב-ISMS.
ארגון ששקל והציב את הדרישות הנדרשות כדי לעמוד ב נספח א.18 המסגרת תוכל להוכיח לכל מחזיקי העניין שהיא הבטיחה את עסקיה לעתיד.
השמיים היתרונות של יישום ISO 27001 בארגון שלך ברורים. זה מוביל למודל עסקי חזק יותר, לאריכות ימים ו- מערכת ניהול אבטחת מידע להיות גאה ב.
השלבים הבאים – תכנון מקרה עסקי למערכת ניהול אבטחת מידע
היתרונות של ISO 27001 הם משמעותיים ועולים בקלות על עלות של מערכת ניהול מידע מקצועית.
למעשה, ההחזר על ההשקעה (ROI) יכול להיות הרבה יותר אטרקטיבי מרוב יוזמות הצמיחה העסקיות, במיוחד אם הישרדות ארגון תלויה ב-ISMS שבעלי העניין יכולים לסמוך עליו או שהוא נדרש לעמוד ברגולציה.
