5 טיפים מובילים להשגת הסמכת ISO 27001
בצע את הנתיב שקבע סם פיטרס, ראש המוצרים והשירותים שלנו, למסע פשוט להצלחה בהסמכה.
התחל תמיד עם תוכנית
תהליך הסמכת ISO 27001 יכול להיות די מורכב ומאתגר. אתה צריך להסתובב הרבה צלחות. אז לפני שאתה מתחיל אתה צריך תוכנית יישום שתעביר אותך דרך הכל. שאל את עצמך שאלות כמו: כיצד אנו מיישמים את ISO 27001? על מה אנחנו צריכים לחשוב בכל שלב של תהליך ביקורת? איך יהיה עומס העבודה שלנו ומתי אנחנו רוצים להשיג זאת עד? אתה צריך לדעת מה אתה רוצה וצריך להשיג לפני, במהלך ואפילו אחרי ההסמכה.
התייחס לזה כאל תרגיל שיפור עסקי
יש הרבה מה לקחת ISO 27001. לראות את זה כתרגיל לשיפור עסקי, במקום רק לסמן הרבה תיבות, יעזור לך לקחת הכל ולהתעסק בזה. זה יכול לעזור לך ליצור תהליכים עסקיים וגישות בדרכים מובנות ומתחשבות יותר. ראינו שיפורים מסיביים בעסק שלנו מהעשייה הזו. אתה לא תפיק מזה הרבה אם הגישה שלך היא: 'אני עושה את זה רק כדי לפגוש את אלה דרישות של התקנים'.
קח איתך את הארגון שלך
כולם צריכים להבין ולעקוב אחר שלך מדיניות infosec ובקרות. אנשי הארגון שלך יהיו חוזק האבטחה הגדול ביותר שלו. אבל רק אם אתה מצייד אותם בכל מה שהם צריכים להיות מוסמך ומסוגל. ואתה צריך קניית מנהיגות, זה חלק מרכזי בסטנדרט. למעשה, זה חלק מבוקר מהתקן.
אז המדיניות והבקרות שלך לא יכולות להיות טכניות מדי. הם צריכים לספר לאנשים שאין להם מושג בדברים הטכניים מה הם צריכים לעשות ולמה זה כל כך חשוב. והמנהלים הבכירים שלך צריכים לעסוק בכל זה ולחתום על הכל. ככל שתקל על המעקב, כך גדל הסיכוי שתעמוד בדרישות, הן פנימית והן בתהליך ההסמכה.
שתף את המידע הנכון עם האנשים הנכונים
בהתחלה ביקשנו מכל הצוות לקרוא כל מדיניות ושליטה. זה הרבה קריאה! ואז אתה מבקש מהם להבין מה חשוב להם. אז עם הזמן חידדנו את זה. אנו מבקשים רק מאנשים לקרוא את המדיניות והבקרות הרלוונטיות לתפקידיהם. אז אתה רק מבקש מאנשים לקחת את מה שרלוונטי עבורם, מה שהם באמת צריכים לדעת ולפעול לפיו. אני חושב שזה די מפתח. אה, וכמובן שהם עדיין יכולים לקרוא את השאר אם הם רוצים.
זכור שהכל עניין של סיכון
ISO 27001 הוא תקן מבוסס סיכונים. קל לאבד את הראייה כשאתה עמוק בהסמכה. אז כל מה שאתה עושה אמור לצמצם את הסיכון שעומד בפני הארגון שלך. לפעמים אתה יכול לעשות את זה הפוך, אתה בסופו של דבר חושב: "אני חייב ליישם את הבקרה הזו כי זה מה שהתקן אומר". אבל התקן אומר את זה רק בגלל סיכון אמיתי. אתה לא מתקתק תיבות דמיוניות, אתה בעצם מגן על הארגון שלך. אז לפעמים להתחיל עם הסיכונים ולחזור מהם יעזור לך לחשוב על הכל בצורה בונה יותר.
סם פיטרס - ראש מחלקת מוצרים ושירותים
אחד מחברי ה- ISMS.online צוות, לסאם יש כמעט עשרים שנות ניסיון בהבאת פתרונות SaaS לשוק. לפני התמחות ב אבטחת מידע, סאם מילא תפקידים דיגיטליים הן במגזר הציבורי והן במגזר הפרטי, ועבד בפיננסים, חינוך ואכיפת חוק. במעט הזמן הפנוי שיש לו, סאם נהנה לרכוב על אופניים ולבלות עם משפחתו הצעירה.
