מדריך לשמירה על הסמכת ISO 27001 שלך
שמירה על ISO 27001: אפילו עם העזרה והתמיכה הטובות ביותר הקיימות, השגת הסמכת ISO 27001 היא מאתגרת. מציאת גוף ההסמכה המתאים ומעבר תהליך ההסמכה דורשים זמן, מאמץ ומחויבות ארגונית אמיתית.
אז ברגע שהצלחת, זה יכול להיות מפתה לחגוג ואז פשוט להפסיק לחשוב על הכל.
אבל ISO 27001 אינו תקן אש ושכח. על מנת לשמור על הסמכת ISO 27001 שלך, עליך לעבור מחזור ביקורת של שלוש שנים.
גוף ההסמכה ISO 27001 שלכם יעקוב מקרוב אחר מערכת ניהול אבטחת המידע שלכם, או ISMS . היא תעבור ביקורות תחזוקה חיצוניות שוטפות במהלך מחזור החיים של שלוש השנים של ההסמכה שלכם. תצטרכו גם לבצע ביקורות פנימיות יעילות . הן חלק גדול מתהליך הביקורת בדיוק כמו ביקורות ההסמכה הראשוניות שלכם.
ובתום שלוש השנים הללו, תצטרך להיות מוכן להסמכה מחדש של ISO 27001.
להלן חמשת העצות המובילות שלנו לשמירה על ISO 27001
- שמור ופתח את שלך מערכת ניהול אבטחת מידע
- העבירו את ביקורת התחזוקה שלכם בצורה מעולה
- כולם מוכנים לביקורת ההסמכה מחדש שלך
אנחנו תמיד אומרים שאבטחת מידע טובה היא קצת כמו לטפל במכונית שלך.
כדי להמשיך לנהוג בשמחה ובבטחה, אתה צריך להתעדכן בכל דבר, החל ממיסוי וביטוח ועד שירותים רגילים ותעודות שירות. ואתה תבדוק בקביעות את כל הפרטים הקטנים, מאיך שהצמיגים שלך נשחקים ועד אם נגמר לך מנקה השמשות.
אבטחת מידע היא לא רק תיבה שאתה מסמן. זה תהליך שלם שתמיד מתמשך.
זכור שה-ISMS שלך הוא לכל החיים, לא רק ליום ההסמכה של ISO 27001
הדרך הטובה ביותר לשמור על הסמכת ISO 27001 שלכם היא להפוך את הטיפול ב-ISMS לחלק מפעילות העסק היומיומית שלכם. ככל שתוכלו להחליק את הכל, כך תצטרכו לטפס על פחות שיאי תחזוקה ושפלים שתיתקעו בהם. וכך נכסי הנתונים שלכם יהיו בטוחים יותר!
התחילו בכך שתמשיכו לבצע את הביקורות הפנימיות של מערכת הניהול הפנימית שלכם . נסו לבצע אחת לחודש במשך אחד עשר חודשים. זה הרבה יותר טוב מאשר להשאיר את כולן לרגע האחרון, ואז לגלות פתאום שכל ביקורות מערכת הניהול הפנימית שלכם אמורות להתבצע כמה ימים לפני הגעת המבקרים החיצוניים.
ודא שאתה מבצע ביקורות תקופתיות ברחבי הארגון שלך
אתה לא היחיד שצריך לפקוח עין על ה-ISMS שלך.
שיתוף המנהיגים הבכירים שלך באמצעות תהליך סקירת ניהול קבוע הוא דרישת מפתח ISO 27001. אין תדר מוגדר עבורם. אחת לשנה נחשבת למקובלת, אך עבור ISMS מנוהל כהלכה אנו ממליצים לערוך ביקורות הנהלה לפחות כל שישה חודשים.
זה יעזור לך:
שמרו על מנהלים בכירים מעודכנים בעולם הנע במהירות של אבטחת מידע, תוך שיתוף פרטים של:
- כל איומי אבטחת סייבר או פרצות נתונים שה-ISMS שלך התמודד איתם
- הערכת סיכונים וניהול סיכונים אסטרטגיות
- אירועים ופיתוחים אחרים הרלוונטיים ל-ISMS או ISO 27001
לשמור על הרכישה שלהם ותמיכה כללית או ספציפית, כך שהם:
- תמיכה והנעת שיטות עבודה מומלצות בכל העסק שלך
- הישאר תואם ל-ISMS שלך עצמם
- להישאר מודע של כל תהליכים פנימיים הזקוקים למעורבותם
קח בחשבון את המטרות האסטרטגיות שלהם בזמן שאתה מנהל ומפתח את ה-ISMS שלך, כדי:
- להדריך אותך תוך כדי שיפור מתמיד
- ודא שכל הפעילויות שלך נמצאות במסלול הנכון
- בדוק עם כל צד שלישי שהם מתמודדים איתם ברמה בכירה
ואם מחלקות אחרות מטפלות בחלקים ממערכת ה-ISMS שלכם, ודאו שאתם נשארים איתן בקשר קבוע. זה מאוד מתסכל להיות בשליטה מלאה על האחריות שלכם, ואז לגלות ברגע האחרון שאנשי משאבי האנוש , המשפט או אפילו הקניין הרוחני שלכם (למשל) נטשו את העניינים.
פרצת נתונים שניתן היה למנוע בחלק אחר של הארגון שלכם היא הפתעה לא רצויה, אך בעזרת מעט שיטות עבודה מומלצות קל להימנע ממנה. וזהו סוג ההתנהגות העסקית המצוינת שתקני ISO נועדו להגדיר ולעודד.
אל תיתן לתאימות ISMS לרדת מהרדאר של עמיתיך
אנו ממליצים על תוכנית מתמשכת למודעות ותקשורת בנושא אבטחת מידע.
סביר להניח שכבר שיתפת פרטים על תהליך הסמכת ISO 27001. תוכנית תקשורת מתמשכת שממשיכה לפעול לאחר ההסמכה תעזור לעמיתיך:
- הישאר מודע ל בקרות אבטחה החלים עליהם
- הישאר מציית להם
- שמור על שמירה רחבה יותר על תקריות או בעיות פוטנציאליות
ליידע אותם כאשר ה-ISMS שלך הדוף מתקפות סייבר או התמודד עם אתגרי אבטחת מידע אחרים, יעזור להם גם להבין את הערך שלו לעסק שלך.
פעילויות תקשורת אפשריות כוללות:
- פוסטרים חודשיים המשתפים פרטים על כל התקפות או אירועי אבטחת מידע
- זיוף רגיל הודעות דיוג כדי לראות כמה אנשים מגיבים כראוי
- הדרכות ומפגשי רענון שוטפים באבטחת מידע
- לוודא שהאנשים הנכונים יכולים לגשת לחלקים רלוונטיים בתיעוד ה-ISMS שלך
וזה רק בתור התחלה. ישנן דרכים רבות נוספות שבהן תוכל להבטיח תאימות בכל הארגון שלך. אם יש לך צוות תקשורת פנימי, אנו ממליצים להגדיר איתו פגישת בדיקה קבועה. ואם לא תעשה זאת, תצטרך ליישם תוכנית תקשורת משלך ISO 27001.
תקן בעיות ISMS ברגע שהן מופיעות
ISMS שלא נבדק אינו שווה בדיקה. לכן, תעקבו אחריו כל הזמן. וכאשר תזהו בעיות כלשהן, תתעדו פעולות מתקנות ותטפלו בהן בתגובה. כאן ארגונים רבים מועדים. הם אוספים ורושמים פעולות, אך לאחר מכן מאבדים ריכוז ופשוט מתעלמים מהן. אל תעשו את הטעות הזו!
- הישאר תמיד במעקב אחר פעולות התיקון שלך.
אי תגובה לפעולות מתקנות היא כנראה הדרך הקלה ביותר לקבל אי התאמה בביקורת הבאה שלך. מה שהופך אותה גם לאחת הבעיות שקל להימנע מהן. פשוט הכנס פעילויות תיקון קבועות ללוח הזמנים השבועי והחודשי שלך. למה להסתכן בבעיות ביקורת כשכל כך קל להימנע מזה
שים לב להזדמנויות התפתחות ISMS
הסמכת ISO יכולה לכסות הרבה יותר מאשר רק אבטחת מידע. והשגת תאימות או הסמכה עם תקנים ותקנות אחרים תגביר:
- המותג והיעילות של הארגון שלך
- ההחזר שלך על השקעת הממשל, הסיכון והתאימות שלך
אנו מאפשרים לכם לפתח בקלות את מערכת ניהול ה-ISMS שלכם, המאושרת על ידי ISO 27001, למערכת ניהול משולבת המכסה מספר רב של תקנים של ISO ותקני ISO אחרים. אלה כוללים:
תהליך הסמכת ISO דומה מאוד מתקן לתקן, כך שברגע שתשיגו הסמכה אחת, קבלת הסמכה הבאה תהיה משימה פשוטה יותר. אם בניתם מערכת ניהול משולבת באמצעות הפלטפורמה שלנו, יהיה קל לעשות שימוש חוזר בעבודה שבוצעה עבור תקן אחד כדי להשיג תקן אחר.
וזה לא רק עניין של הסמכת ISO. מערכת ה-ISMS שלכם יכולה גם לעזור לכם להראות עמידה בתקנות כמו GDPR ו-POPIA.
