שאלות מובילות בנושא ISO 27001 MSP: הסבר על ראיות, היקף ובקרות נספח A

מדוע שאלות לתקן ISO 27001 למנהלי שירותים (MSPs) חשובות כעת יותר מתמיד?

שאלות בנוגע לתקן ISO 27001 ל-MSPs חשובות כיום יותר מתמיד, משום שהבקרות שלהם מעצבות ישירות את החשיפה הרגולטורית והסיכונים של הארגון שלכם. צוותי אבטחה ארגוניים כמו מנהלי מערכות מידע (CISO), מנהלי אבטחה, בעלי סיכוני ספקים ומובילי סיכונים של צד שלישי תלויים כיום בספקי שירותים מנוהלים עבור פעולות קריטיות, כך שתאימות חלשה של ISO 27001 אצל ספק מסוים הופכת במהרה לבעיה שלכם. שאילת שאלות חדות יותר של ISO 27001 מאפשרת לכם לראות כיצד הבקרות באמת פועלות מדי יום ועוזרת לכם להוכיח לדירקטוריונים, ועדות ביקורת ורגולטורים שמיקור חוץ מחזק, ולא מדלל, את רמת האבטחה שלכם.

כאשר אימצתם לראשונה את תקן ISO 27001 באופן פנימי, סביר להניח שהתמקדתם במרכזי הנתונים, היישומים והצוותים שלכם. כיום, חלק משמעותי מהנכס עשוי להיות בסביבה של ספק שירותי ניהול נתונים (MSP) או בפלטפורמות ענן שהוא מנהל. זה עשוי לכלול מרכז פעולות אבטחה מנוהל המנתח את כל יומני הרישומים שלכם, או פלטפורמת זהות מנוהלת התומכת בכניסה יחידה (SEO) עבור כל עובד. התקן עדיין מטיל עליכם אחריות לסיכוני אבטחת מידע, גם כאשר ארגונים אחרים מפעילים בקרות מרכזיות בשמכם. ISO 27001 מבהיר זאת בכך שהוא דורש מכם להגדיר את ההקשר הארגוני שלכם, להעריך סיכוני אבטחת מידע ולשלוט בתהליכים במיקור חוץ במקום להעביר את האחריות באופן מלא לספקים, כפי שמודגש בסקירות מרכזיות של משפחת ISO 27000, כגון מבוא לסדרת ISO 27000. זו הסיבה ש"האם אתם בעלי הסמכה ל-ISO 27001?" הפך לנקודת ההתחלה החלשה ביותר האפשרית ולא לתשובה מספקת.

דו"ח מצב אבטחת המידע לשנת 2025 מציין כי לקוחות מצפים יותר ויותר מספקים להתאים את עצמם למסגרות פורמליות כגון ISO 27001, ISO 27701, GDPR, Cyber Essentials ו-SOC 2 במקום להסתמך על נהלים כלליים מומלצים.

אמון גדל כשרואים כיצד בקרות פועלות מדי יום, לא רק בזמן האישור.

עליכם להבין האם מערכת ניהול אבטחת המידע (ISMS) של ספק שירותי ניהול אבטחת מידע (MSP) באמת מכסה את השירותים שאתם מתכננים להשתמש בהם, כיצד הם מפרשים אחריות משותפת, וכיצד הם מעידים על תפעול בקרה מתמשך. כל אחד מהנושאים הללו צריך להופיע בשאלות שאתם שואלים כל ספק ובסיפור שאתם מספרים מאוחר יותר באופן פנימי מדוע ספק שירותי ניהול אבטחת מידע מסוים מקובל. מאמר זה מציע מידע כללי לתמיכה בשיחות אלו; הוא אינו ייעוץ משפטי או רגולטורי, ועליכם תמיד לעבוד עם גופי הממשל הפנימיים שלכם ויועצים מוסמכים בעת קבלת החלטות סופיות.

כיצד מיקור חוץ שינה את עולם הסיכונים שלכם בתקן ISO 27001

נוף הסיכונים שלכם השתנה ברגע שאפשרתם לספק חיצוני לנהל חלקים ממערך הטכנולוגיה שלכם. לא העברתם אחריות למיקור חוץ; העברתם פעילויות למיקור חוץ, כך ש-ISO 27001 עדיין מצפה מכם להישאר בשליטה על אופן ניהול האבטחה.

רוב הארגונים אמרו כי הושפעו מלפחות אירוע אבטחה אחד הקשור לצד שלישי או לספק בשנה האחרונה.

תקן ISO 27001 מצפה ממך:

להבין בעיות פנימיות וחיצוניות המשפיעות על מערכות ה-ISMS שלכם.
הגדירו את הצדדים המעוניינים, כולל מנהלי שירותים ניידים (MSPs), ואת דרישותיהם.
שליטה בתהליכים חיצוניים המשפיעים על אבטחת המידע.

כאשר שירותי ליבה כגון זהות, תשתית, ניטור או תגובה לאירועים נמצאים בידי ספקי שירותי סייבר (MSP), תהליכים אלה המועברים למיקור חוץ הופכים למרכזיים בתוכנית הטיפול בסיכונים שלכם. אם אינכם יכולים לתאר כיצד הבקרות של ספק שירותי סייבר (MSP) תומכות בבקרות שלכם בנספח A, אתם עלולים ליצור נקודה עיוורת מהותית שסביר שתעסיק את הדירקטוריון, רואי החשבון, הלקוחות העיקריים והרגולטורים. הנחיות שרשרת האספקה מסוכנויות אבטחת סייבר לאומיות, כולל משאבים מ-CISA, מדגישות באופן דומה בקרות לא מנוהלות של צד שלישי כסיכון ממשלתי משמעותי. צעד מעשי הבא הוא להבטיח שכל ספק שירותי סייבר אסטרטגי (MSP) מופיע במפורש במרשם הסיכונים שלכם, עם קישורים לבקרות שאתם מסתמכים עליהן כדי להפעיל אותן.

מנקודת מבטו של הדירקטוריון, השאלות כיום פחות עוסקות בשאלה האם אתם מוסמכים ויותר בשאלה האם המערכת האקולוגית המורחבת שלכם מתנהגת כמערכת ISMS קוהרנטית ומנוהלת היטב. זו הסיבה שבדיקת הנאותות של MSP שלכם צריכה להיראות ולהרגיש כהרחבה של עבודת ISO 27001 הפנימית שלכם, ולא רשימת בדיקה נפרדת לרכש או שאלון אבטחה חד פעמי. אם תוכלו להראות שבקרות המופעלות על ידי MSP מוטמעות במרשם הסיכונים שלכם, בהצהרת הישימות (SoA) ובסקירות ההנהלה, יהיה קל הרבה יותר להגן על החלטות מיקור חוץ תחת ביקורת.

למה יש לך הסמכה? זה לא מספיק

תעודה מציינת שבנקודות זמן מוגדרות, גוף הסמכה מצא ש-ISMS תואם לתחום מוגדר. היא אינה מציינת אילו מהשירותים שלך נמצאים במסגרת תחום זה, כיצד מיושמות בקרות נספח A, או האם בקרות אלו ממשיכות לפעול ביעילות.

זה גם לא אומר כלום על איך חלוקת האחריות בין הספק ללקוח, וזה המקום שבו צצים אירועים רבים וממצאי ביקורת. אם עוצרים בשאלה האם אתם מוסמכים?, כמעט ולא לומדים כלום על האם בקרות ה-MSP הן הנכונות לפרופיל הסיכון שלכם. צוותי אבטחה ארגוניים חזקים מתייחסים כעת לתעודה ככרטיס כניסה, לא כתשובה.

העבודה האמיתית מתחילה בשאלות כמו:

כיצד היקף ה-ISMS שלכם ממופה לשירותים ולאזורים שבהם נשתמש בפועל?
הראו לנו כיצד הבקרות שלכם עבור שירות זה מתאימות לנספח A בתקן ISO 27001:2022.
אילו ראיות מתמשכות אתה יכול לשתף לכך שהבקרות הללו ממשיכות לפעול?

פלטפורמת ISMS משותפת כמו ISMS.online יכולה לעזור לכם לאחסן את השאלות והתשובות הללו במקום אחד, ולהפוך שרשורי דוא"ל וקובצי PDF מפוזרים לאבטחה מובנית וחוזרת שקל לעשות בה שימוש חוזר עם הדירקטוריון, ועדת הביקורת, פורום סיכוני הספקים והרגולטורים. לא משנה איזה כלי תבחרו, ריכוז התשובות באופן מרכזי מקל בהרבה על שמירה על רצף אבטחה עקבי של צד שלישי לאורך זמן.

הזמן הדגמה

מה באמת דורש תקן ISO 27001:2022 מספקים מנוהלים?

תקן ISO 27001:2022 דורש מספקים מנוהלים להפעיל מערכת ניהול מידע מבוססת סיכונים (ISMS) המכסה בבירור את השירותים, המיקומים והתהליכים המשפיעים על המידע שלכם, ומצדיקים את בחירות הבקרה שלהם בנספח A. עבורכם כלקוח, זה מתורגם לשאלות שבוחנות את ההיקף, הערכת הסיכונים, בחירת הבקרות וכיצד בקרות אלו קשורות לשירותים הספציפיים שה-MSP מפעיל עבורכם.

ספקים רבים עדיין מדברים על תקן ISO 27001 כאילו היה פשוט ספרייה של בקרות. במציאות, התקן מגדיר מערכת ניהול מלאה שחייבת להבין את ההקשר הארגוני, להעריך סיכונים, לתכנן טיפול, להפעיל בקרות, לנטר ביצועים ולהשתפר לאורך זמן. העדכון של 2022 חידד את התמונה הזו, עדכן את נספח A והדגיש נושאים כגון מודיעין איומים, מניעת דליפת נתונים וסיכונים ספציפיים לענן המופיעים כיום לעתים קרובות בדיונים על בדיקת נאותות ארגונית. תיאורים רשמיים של ISO/IEC 27001:2022, כולל סקירת התקן באתר האינטרנט של ISO, מדגישים עדכונים מבניים אלה ואת המיקוד הנוסף בתרחישי איומים וענן מודרניים.

ויזואלי: מפה פשוטה המקשרת בין סעיפי ISO 27001 לשירותי MSP המשפיעים על הנתונים שלך.

רכיבי ISO 27001:2022 הנוגעים ביותר ל-MSPs

כשאתם עובדים עם ספקי שירותי ניהול שירותים (MSPs), מספר חלקים בתקן ISO 27001:2022 רלוונטיים במיוחד וצריכים לבוא לידי ביטוי באופן שבו הם עונים על שאלותיכם.

סעיפים 4-6 (הקשר, מנהיגות, תכנון): – על ה-MSP להגדיר היקף של ISMS הכולל בבירור את השירותים, מרכזי הנתונים ומערכות התמיכה המשמשות לאספקת שירותים מנוהלים. עליהם גם להדגים שההנהלה, ולא רק צוות התפעול, אחראית על אבטחת המידע.

סעיפים 6-8 (הערכת סיכונים וטיפול בהם): – ספק שירותי ניהול שירותים מוסמך צריך להסביר כיצד מזהים, מעריכים ומטופלים סיכונים לנתוני לקוחות, זמינות שירות וחובות רגולטוריות. רישומי הסיכונים ותוכניות הטיפול שלהם צריכים להוביל באופן ברור לבחירת בקרות עבור סוג השירות שלכם.

בקרות נספח א' (93 בקרות בארבעה נושאים): – במהדורת 2022, נספח א' מכיל 93 בקרות המקובצות לפי ארגוניים, אנשים, פיזיים וטכנולוגיים נושאים, כפי שמתוארים בסיכומים פומביים של ISO/IEC 27001:2022 מגופי תקינה וסקירות כגון דף אבטחת המידע של BSI ISO 27001 והמאמר ISO/IEC 27001. עבור ספקי שירותי ניהול שירותים (MSPs), אתם שמים דגש רב על בקרת גישה, רישום וניטור, אבטחת תפעול, יחסי ספקים והמשכיות עסקית, ואתם רוצים לדעת אילו מהם מיושמים עבור השירותים שאתם רוכשים.

הצהרת תחולה (SoA): – רשומות תנאי השימוש (SoA) מתעדות אילו בקרות נספח A רלוונטיות, כיצד הן מיושמות ומדוע כל אחת מהן אינה מוחרגת. עבורך, זוהי המפה העיקרית להבנת סביבת הבקרה של ספק שירותי ניהול מערכות (MSP) ולאיתור החרגות חריגות עבור סוג השירות שלך.

ספקים חזקים יותר יכולים לדון בכל אחד מהתחומים הללו במונחים קונקרטיים, תוך שימוש בתהליכים ובממצאים אמיתיים. ספקים חלשים יותר נוטים להישאר ברמת סיסמאות כמו "בהתאם לשיטות עבודה מומלצות" מבלי לחבר את הטענות הללו לסעיפים, בקרות או שירותים ספציפיים. בזמן שאתם מקשיבים, שאלו את עצמכם האם תוכלו לספר מחדש את ההסבר שלהם לצוות הניהול שלכם בשפה ברורה ולא טכנית.

מה המשמעות של זה לגבי שאלות בדיקת הנאותות שלך

כשאתם מתרגמים את התקן לשאלות עבור ספקי ניהול שירותים (MSPs), אתם בעצם מבקשים מהם להדריך אתכם דרך מערכת הניהול שלהם (ISMS) תוך התחשבות בשירותים שלכם. בפועל, משמעות הדבר היא ללכת מעבר לתשובות גנריות של "כן/לא" ולהזמין אותם לתאר כיצד פועלת מערכת הניהול שלהם.

שאלות שימושיות כוללות:

היקף: "תאר את היקף ה-ISMS ואשר כיצד הוא מכסה את השירותים, הסביבות והאזורים הספציפיים שבהם תשתמש עבורנו."
סיכון: "כיצד משפיעים סיכונים ספציפיים ללקוח על רישום הסיכונים ועל תוכניות הטיפול שלך?"
בקרות: "אילו בקרות נספח א' מיושמות עבור השירות שלנו, והיכן אתם עדיין מתקדמים?"
תפעול: "כיצד אתם מנטרים את יעילות הבקרה ומגיבים כאשר משהו לא עובד כמתוכנן?"

לוח הזמנים של המעבר בין 2013 ל-2022 הוא עדשה שימושית נוספת. אם ספק שירותי ניהול שירותים (MSP) עדיין מוסמך על פי הגרסה הישנה יותר, בקשו את תוכנית המעבר שלו, אבני דרך ואת השינויים שהוא צופה בכיסוי הבקרה. מדריכי מעבר לתעשייה עבור ISO/IEC 27001:2022, כולל בלוגים של אנשי מקצוע מספקים כמו OneTrust, ממליצים בדרך כלל לבקש תוכניות מעבר מתועדות והסברים כיצד הבקרות המתוקנות משפיעות על השירותים, במקום להניח שהדרישות החדשות כבר מכוסות.

מנהלי מדיניות חזקים בדרך כלל מציגים תוכנית ברורה ומוגבלת בזמן, הכוללת נקודות אחריות ותקשורת. מנהלי מדיניות חלשים לעיתים קרובות מגיבים בצורה מעורפלת, או אומרים שהם "עובדים על זה" ללא צעדים קונקרטיים.

צעד מעשי נוסף הוא לתעד את התשובות בתבנית סטנדרטית ולקשר אותן לרישום הסיכונים שלכם ולרשומות ה-SoA. כך תוכלו לחזור עליהן במהלך סקירות הנהלה ופורומים בנושא סיכוני ספקים במקום להתייחס אליהן כאל מסמכים חד-פעמיים המוגשים לאחר הרכש.

ISMS.online מעניק לך יתרון של 81% מרגע הכניסה

ISO 27001 בקלות

עשינו את העבודה הקשה בשבילך, ונתנו לך התחלה של 81% מרגע הכניסה. כל שעליכם לעשות הוא להשלים את החסר.

התחל כאן

כיצד עוברים מבקרות גנריות למיפויים ספציפיים לשירות בנספח A?

אתם עוברים מהבטחות גנריות להבטחה ספציפית לשירות על ידי התעקשות על מיפוי ברור המציג, עבור כל בקרה רלוונטית בנספח A, מי אחראי, כיצד היא מיושמת, ואילו ראיות מגבות אותה עבור השירות הספציפי שאתם רוכשים. מיפוי זה הופך את ISO 27001 מנוחות מופשטת לתמונה קונקרטית וניתנת לביקורת של אופן הטיפול בסיכונים שלכם בסביבת ניהול ניהול סיכונים (MSP).

רוב הספקים יכולים לדבר באופן כללי על "בקרת גישה חזקה" או "פעולות מאובטחות". פחות מהם יכולים להראות לכם, עבור שירות מנוהל נתון, בדיוק כיצד הצהרות אלו קשורות לבקרות הנקובות בנספח A, נהלים מתועדים וניטור אמיתי. זה המקום שבו השאלות שלכם צריכות להתמקד אם אתם רוצים חומר שתוכלו לעשות בו שימוש חוזר עם מבקרים, רכש ובעלי עניין פנימיים.

איך נראה מיפוי בקרה טוב ספציפי לשירות

מסמך מיפוי חזק עבור שירות מנוהל יחיד יכלול בדרך כלל תיאור ברור של השירות, הבקרות בנספח א' החשובות עבור שירות זה, וכיצד כל בקרה נשלטת ומוכחת. הדגש הוא על ספציפיות ולא על סיסמאות.

מסמך מיפוי חזק כולל בדרך כלל:

תיאור שירות ברור וכיצד הוא משתלב במסגרת תחום ה-ISMS של ה-MSP.
רשימה של בקרות רלוונטיות בנספח א', מסוננות לאלו החשובות באמת עבור שירות זה.
עבור כל בקרה:
בין אם זה בבעלות הספק, בבעלות הלקוח, או משותף.
תיאור קצר של אופן יישום הבקרה.
הצבעות לראיות כגון מדיניות, נהלים, יומנים, כרטיסים ודוחות.

דוגמה פשוטה עשויה להיראות כך:

ערכת נושא בקרה	תשובה חזקה מ-MSP	תשובה לדגל אדום
בקרת גישה	"אנו מפעילים גישה מבוססת תפקידים עבור שירות זה, עם אישורים, ביקורות תקופתיות ורישום מרכזי. אתם מנהלים את תפקידי המשתמש שלכם; אנחנו מנהלים את הגישה לפלטפורמה."	"הגישה מוגבלת לפי הצורך; הפרטים פנימיים."
רישום וניטור	"כל פעולות המנהל בסביבה שלך נרשמות, נשמרות לתקופה מוגדרת ונבדקות על ידי צוות התפעול שלנו עם כללי הסלמה ברורים."	"יש לנו יומני רישום, אבל אנחנו בודקים אותם רק אם משהו משתבש."
רציפות עסקית	"שירות זה מכוסה על ידי נהלי התאוששות, הנבדקים במרווחי זמן מוסכמים, עם זמן התאוששות ויעדי נקודת התאוששות מוגדרים."	"ספק מרכז הנתונים שלנו מבטיח זמן פעולה תקינה; אנחנו סומכים עליו."
זיהוי ותגובה לאירועים	"אנו מפעילים SOC שמנטר את השירות שלכם, עם ספרי הדרכה, הסכמי רמת שירות מבוססי חומרה וסקירות אירועים משותפות לאירועים המשפיעים על הנתונים שלכם."	"נעדכן אתכם אם נראה משהו חריג."

צוותי אבטחה שבודקים ספקי שירות ניהול משאבים (MSP) רבים רואים לעתים קרובות את אותם דפוסים: ספקים חזקים יותר נותנים תשובות כמו אלו שבעמודה השמאלית, עם בעלות, מנגנונים ספציפיים ובדיקות מוגבלות בזמן. ספקים חלשים יותר מתקבצים בעמודה הימנית, עם הבטחות מעורפלות, הסתמכות יתר על ספקי משנה, וראיות מועטות לכך שמישהו בודק התאוששות או תגובה. ברגע שיש לכם כמה דוגמאות, קל הרבה יותר להסביר לבעלי העניין הפנימיים שלכם מה נראה "טוב".

כיצד לבקש ולהשתמש במיפויים ספציפיים לשירות

בבקשות להצעות מחיר או בשיחות בדיקת נאותות, ניתן לתרגם זאת לבקשות מפורשות כגון:

"עבור שירות מנוהל זה, ספקו מטריצת בקרה הממפה את הבקרות שלכם לתקן ISO 27001:2022 נספח A, עם אחריות וראיות לכל בקרה."
"במקרים בהם שליטה משותפת, תאר מה אתה עושה ומה אתה מצפה מאיתנו לעשות, כולל כל דרישות תצורה או תהליך מצידנו."
"הסבירו כיצד אתם שומרים על מיפוי זה מעודכן כשאתם משנים את השירות או כש-ISO 27001 מתעדכן."

לאחר שברשותכם המיפוי, התייחסו אליו כאל מסמך עבודה ולא כקובץ מצורף סטטי נוסף. ארכיטקטי האבטחה שלכם יכולים ליישר אותו עם מסגרת הבקרה שלכם ולזהות פערים. צוותי ה-GRC וצוותי הסיכונים של הספקים שלכם יכולים להתייחס אליו ברישומי סיכונים, רשומות SoA ודוחות סיכונים של ספקים. צוותי התפעול ובעלי השירות שלכם יכולים לראות בדיוק מה הם צריכים להגדיר או לנטר כדי לשמור על הצד שלכם בבקרות המשותפות.

עם הזמן, ניתן לתקנן את מבנה המיפויים הללו בכל ספקי שירותי ניהול הרשת (MSP). בשלב זה, שימוש בפלטפורמת ISMS משותפת כמו ISMS.online הופך להיות בעל ערך, משום שהוא מאפשר לאחסן, להשוות ולתחזק את המטריצות הללו באופן מרכזי במקום ללהטט ביניהן בגיליונות אלקטרוניים או בארכיוני דוא"ל מנותקים. גם אם מתחילים במסמכים פשוטים, הסכמה על פורמט משותף היא צעד ראשון מעשי.

כיצד עליכם לקרוא את תעודת ISO 27001 ואת הסכם ה-SoA של ספק שירותי ניהול (MSP) בעין ספקנית?

עליך להתייחס לתעודת ISO 27001 ולהצהרת הישימות של ספק שירותי ניהול שירותים (MSP) כנקודות התחלה המנסרות שאלות נוספות בנוגע להיקף, בקרות ובגרות. קריאה ספקנית בוחנת מה נמצא בתוך היקף התעודה, מה נמצא מחוץ לה, וכיצד זה מתיישב עם השירותים, המיקומים ומעבדי המשנה שאכפת לך מהם, במקום להניח שהתג מכסה את כל מה שאתה צריך.

כמעט כל המשיבים ציינו השגה או שמירה על אישורי אבטחה כגון ISO 27001 או SOC 2 כעדיפות עליונה לשנה הקרובה.

תעודה שנראית מרשימה במבט ראשון יכולה להסתיר פערים חשובים, וגופי הסמכה וביקורת מזכירים לארגונים באופן קבוע שתעודה היא רק חוות דעת על פני היקף ותקופה מוגדרים, ולא ערובה גורפת לאבטחה; לדוגמה, סקירות הסמכה של ISO 27001 מספקים כמו TÜV מדגישות את החשיבות של הבנת ההיקף והמגבלות. חשיבה כמו מבקר או רגולטור בעת קריאת מסמכים אלה מקלה הרבה יותר על זיהוי בעיות כאלה מוקדם.

קריאת טווח ו-SoA כמו מבקר

כשאתם בודקים תעודה ומסמכים נלווים, התמקדו בכמה תחומים מרכזיים שחושפים האם הניירת תואמת את המציאות של השירותים שאתם רוכשים.

שימו לב במיוחד ל:

הצהרת היקף: – האם מצוין במפורש סוג השירותים שאתם מתכננים להשתמש בהם (לדוגמה, "מרכז פעולות אבטחה מנוהל" או "אירוח ענן מנוהל") ואת המיקומים מהם הם מסופקים?

מיקומים, ישויות משפטיות ומעבדי משנה: – האם מרכזי הנתונים, מרכזי התמיכה, חברות הקבוצה ומעבדי המשנה ששמם נקוב שיעבדו את הנתונים שלך רשומים, או שמא חסרים מרכזי נתונים קריטיים או שמוזכרים אליהם רק בעקיפין?

כיסוי והחרגות של SoA: – אילו בקרות בנספח א' מסומנות כרלוונטיות, אילו אינן כלולות, ומדוע? האם ישנן החרגות מפתיעות עבור ספק מסוגן, כגון החרגת גיבוי, רישום, המשכיות עסקית או בקרות ספקים?

מחזור ביקורת וממצאים: – מתי בוצעה הביקורת האחרונה של ההסמכה או הפיקוח, והאם ידוע על אי התאמות המטופלות שעשויות להשפיע על השירותים שאתם מקבלים?

צוותי ארגון מנוסים יכולים לחשוף שירותים המסופקים ממיקומים שאינם רשומים בהיקף, מעבדי משנה או מרכזי נתונים שאינם מכוסים על ידי ה-ISMS, או בקרות נספח A המסומנות כ"לא רלוונטי" שהם רואים כחיוניות. הערכות סיכונים של צד שלישי ותובנות ייעוץ, כולל דוחות סיכוני סייבר מחברות כמו דלויט, מתארות פערים בהיקף והחרגות מפתיעות כממצאים נפוצים בעת סקירת אישורי ספקים. צוותים שעברו מספר ביקורות חיצוניות מבחינים לעתים קרובות בדפוס: ספקים חזקים יכולים לעבור על ההיקף ו-SoA בביטחון, להסביר החרגות בשפה פשוטה ולהכיר בתחומי שיפור. ספקים חלשים מתקשים לקשר את המסמכים לשירותים אמיתיים ולפעמים מתייחסים לשאלות לגבי החרגות כאל עוינות. כמעקב מעשי, תוכלו לסכם את התצפיות המרכזיות שלכם ולאחסן אותן לצד האישור בקובץ סיכוני הספק שלכם.

שאלות שחושפות את מגבלות התעודה

חמושים בעדשה ספקנית זו, תוכלו להציג שאלות שהופכות מסמכים סטטיים לשיחה עשירה יותר במקום להסתמך על האישור בלבד. המטרה היא להבין עד כמה ההיקף והבקרות המתועדים באמת תומכים במקרי השימוש שלכם.

שאלות כגון אלה הן שימושיות:

"אילו מהשירותים המתוכננים שלנו נופלים במלואם תחת תחום ה-ISMS, ואילו מכוסים חלקית או עדיין לא?"
"סקור לנו את הבקרות המרכזיות בנספח א' העומדות בבסיס שירות זה, והסביר כל חריג שעשוי להשפיע עלינו."
"כיצד מחליטים מתי להכניס שירות, תכונה, מעבד משנה או מיקום חדשים לתחום הבדיקה, וכיצד מודיעים ללקוחות כאשר זה קורה?"
"אילו תחומים לשיפור הדגישו הביקורות הפנימיות והחיצוניות האחרונות שלכם שיכולות להשפיע עלינו?"

שאלות אלו מזכירות לספק שאתם מבינים את ISO 27001 כמערכת חיה, ולא כתווית שיווקית. הן גם מכינות את הבמה לשיחות מאוחרות יותר סביב אחריות משותפת לסיכונים, ניהול אירועים, המשכיות והודעות רגולטוריות, שבהן בהירות ההיקף הופכת לחשובה עוד יותר עבור תוכנית ה-SoA ותוכניות הטיפול בסיכונים שלכם. תיעוד התשובות בכלי הממשל הפנימיים שלכם מקל על ההצגה לדירקטוריונים ולרגולטורים כיצד הגעתם למסקנות שלכם.

הטמע, הרחב והרחיב את תאימותך, ללא כל בלגן. IO מעניק לך את החוסן והביטחון לצמוח בצורה מאובטחת.

הזמן את ההדגמה שלך

כיצד אתם מותחים את הגבול בין אחריות משותפת לסיכונים, לאירועים ולהמשכיות?

אתם מותחים את הגבול באחריות משותפת על ידי הפיכת תפקידים ואחריות ברמה גבוהה של ISO 27001 להסכמים קונקרטיים וכתובים המפרטים, עבור כל תחום סיכון עיקרי, מה יעשה ה-MSP, מה אתם חייבים לעשות וכיצד שני הצדדים יתאמו. ללא רמת בהירות כזו, אפילו ספק מוסמך יכול להשאיר אתכם חשופים בצורה לא נוחה במהלך אירועים או שיבושים.

תקן ISO 27001 מצפה שתפקידים, אחריות וסמכויות הקשורים לאבטחת מידע יוגדרו ויתווספו. סעיף 5.3 של תקן ISO/IEC 27001 דורש במפורש להגדיר ולדווח על תפקידים, אחריות וסמכויות בתחום אבטחת המידע, כפי שמודגש בפרשנויות סטנדרטיות כגון מבוא לסדרת ISO 27000. במערכת יחסים עם ספק שירותי ניהול מידע (MSP), ציפייה זו משתרעת על פני חוזים, תיאורי שירותים וספרי נהלים תפעוליים שאמורים לעמוד בביקורת ובפיקוח רגולטורי כאשר משהו משתבש.

גבולות ברורים מונעים ויכוחים על אחריות כאשר הלחץ הוא הגבוה ביותר.

הבהרת אחריות ניהול הסיכונים

הבהרת האחריות של ניהול הסיכונים מתחילה בהבנת האופן שבו הסיכונים שלך מופיעים בתכנון של ה-MSP וכיצד הסיכונים שלהם מופיעים בתכנון שלך. בעיות רבות מתעוררות בהמשך מכיוון שאף צד לא רשם זאת.

שלבים ושאלות שימושיות כוללים:

שאלו את ה-MSP כיצד סיכונים הקשורים לשירותים ולנתונים שלכם נכנסים למרשם הסיכונים ולתוכניות הטיפול שלו.
הבהירו האם הם מצפים מכם לבצע הערכות סיכונים ספציפיות או לספק להם מידע על סיכונים לצורך התכנון שלהם, כולל הערכות השפעה על הגנת מידע במקרים בהם הפרטיות היא חלק מהתחום.
ודא שרישום הסיכונים שלך מתעד את השימוש ב-MSP ואת הבקרות שאתה מסתמך עליהן כדי להפעיל אותן.

מודלים טובים של אחריות משותפת כוללים לעתים קרובות מטריצת RACI (אחראי, דין וחשבון, התייעץ, מודע) עבור פעילויות מפתח כגון:

הקצאת גישה ובדיקות תקופתיות.
ניהול תצורה ושינויים עבור פלטפורמות משותפות.
ניהול תיקונים ופגיעויות בתשתיות וביישומים.
ניטור, טיפול בהתראות והסלמה.

משאבים לתפעול ואבטחה, כולל הנחיות RACI במסמכים הלבנים של מכון SANS, ממליצים לעתים קרובות על סגנון מטריצה זה כדי למנוע פערים וחפיפות באחריות. בפועל, RACI לניהול טלאים עשוי לציין כי ה-MSP הוא אחראי לתיקון מערכת ההפעלה והפלטפורמה הבסיסית; אתה אחראי לאישור חלונות תחזוקה ותיקוני אפליקציות משלך; צוות האבטחה שלך הוא התייעץ על שינויים בסיכון גבוה; ובעלי השירות שלך הם הודעה של מחזורי תיקון קרובים. לאחר שתסכימו על חלוקה זו, תוכלו לשקף אותה במרשם הסיכונים וב-SoA שלכם כך שמבקרים יראו תמונה עקבית.

השאלות שלכם צריכות לשאוף לחשוף מודלים אלה ולבדוק האם הם מובנים על ידי שני הצדדים. אם הצוותים שלכם וצוותי ה-MSP יתנו תשובות שונות לגבי מי אחראי על משימה, יש לכם עבודה לעשות לפני שתוכלו לומר לדירקטוריון שלכם שהסיכונים נמצאים תחת שליטה.

פיצול תגובה לאירועים והמשכיות בפועל

ניהול סיכונים הופך למציאותי מאוד כאשר משהו משתבש, ולכן אתם זקוקים לאותה רמת בהירות לתגובה לאירועים ולהמשכיות. כאן אתם מחפשים מסירות מדויקות, לוחות זמנים והנחות במקום הבטחות ברמה גבוהה.

שני תחומים קריטיים הם:

תגובת אירוע: – מי עוקב אחר אירועים, מי מיון התראות, באילו תנאים מנהל ההגנה על הסביבה (MSP) יוצר איתך קשר, דרך אילו ערוצים, ומי אחראי על בדיקות פורנזיות, שימור ראיות, הודעות ללקוחות ולתקנות, וסקירות לאחר אירוע.

המשכיות עסקית והתאוששות מאסון: – לאילו יעדי זמן התאוששות ונקודת התאוששות מתחייב ספק השירות (MSP) עבור השירות, כיצד אלה תואמים את ניתוח ההשפעה העסקית שלך, ואילו הנחות מניח ספק השירות לגבי הסדרי ההמשכיות שלך, כגון נתיבי גישה חלופיים או פתרונות ידניים לעקיפת הבעיה.

השאלות שלך עשויות להישמע כך:

"תאר את התהליך מקצה לקצה לטיפול באירוע המשפיע על השירות המנוהל שלנו, משלב הגילוי ועד לסגירה, והראה לנו היכן מתחילה האחריות שלנו."
"עבור שירות זה, אילו תרחישי הפסקות חשמל ואובדן נתונים מכוסים על ידי תוכניות ההמשכיות וההתאוששות שלכם, ואילו תרחישים אתם מצפים שנטפל בעצמנו?"
"באיזו תדירות אתם בודקים תהליכים משותפים של אירועים והמשכיות עם לקוחות כמונו, וכיצד נוכל להשתתף?"

התשובות מהוות חלק מתגובתכם לאירועים ותכנון המשכיות העסק שלכם, ומספקות נוחות לבעלי עניין כמו ועדת הביקורת, קצין הפרטיות והרגולטור אם הם יבחנו את ההסדרים שלכם. הן גם ניזונות ממאגרי הראיות שתבקשו מאוחר יותר: דוחות בדיקה, סקירות לאחר אירוע ושיפורים שיושמו על ידי שני הצדדים לאורך זמן. תיעוד החלוקות המוסכמות בספרי ריצת האירועים ובתוכניות ההמשכיות שלכם הוא דרך מעשית להפוך את השיחות הללו למציאות ניתנת לביקורת.

כיצד יכול MSP להוכיח עמידה מתמשכת בתקן ISO 27001, ולא רק הסמכה חד פעמית?

ניהול ספקי שירותי ניהול (MSP) יכולים להוכיח עמידה מתמשכת בתקן ISO 27001 על ידי שיתוף ראיות מובנות המראות כי מערכות ה-ISMS והבקרות שלה פועלות ומשתפרות לאורך כל השנה, לא רק בזמן ההסמכה. ראיות אלו משתרעות על פני ביקורות פנימיות וחיצוניות, בדיקות טכניות, פעילויות ניהול פגיעויות, הערכות ספקים, תוצאות הדרכה ומדדים העוקבים אחר האופן שבו בעיות נמצאות ונפתרות.

תעודה לבדה היא שיקול דעת נקודתי בזמן: הנחיות אבטחת מידע מתארות אישורים כחוות דעת המבוססות על ראיות הזמינות בתאריך הביקורת, ולא ערבויות לביצועים עתידיים, הבחנה המודגשת במשאבים המתמקדים בביקורת כגון Audit Analytics. ראיות מתמשכות מראות דפוס התנהגות שמבטיח לדירקטוריון, למבקרים, לרגולטורי פרטיות ולפורומים של סיכוני ספקים שמצב האבטחה של ספק שירותי ה-MSP מנוהל באופן פעיל ולא נסחף. לכן, שאלותיכם צריכות להתמקד באופן שבו הם מתכננים, בודקים ומשפרים את האבטחה באופן רציף, ולא רק במה שמופיע בתעודה.

כשני שלישים מהארגונים שהשתתפו בסקר ISMS.online לשנת 2025 אמרו כי המהירות והיקף השינויים הרגולטוריים מקשים על קיום תאימות.

סוגי ראיות המציגות ISMS חי

כשאתם מבקשים הוכחה מעבר לתעודה, אתם בעצם מבקשים מהספק להוכיח שמחזור התכנון-ביצוע-בדיקה-פעולה שלו עובד בפועל עבור השירותים שלכם. אתם לא צריכים כל פרט, אבל אתם צריכים מספיק כדי לראות שהבדיקות, הממצאים והשיפורים אמיתיים.

ראיות שימושיות כוללות:

דוחות או סיכומים של ביקורת פנימית: – אלה מדגימים כי מערכת ניהול הרשתות החברתיות מעריכה באופן קבוע את מערכת ה-ISMS שלה, מוצאת אי התאמות ומבצעת פעולות מתקנות במקום להמתין לביקורות חיצוניות כדי לגלות בעיות.

תוצאות מעקב והסמכה מחדש: – תוצאות ברמה גבוהה של ביקורות חיצוניות מראות שגוף עצמאי בודק גם תאימות בין אירועי הסמכה מרכזיים, והאם פעולות שיפור נסגרות בזמן.

בדיקות חדירה והערכת פגיעויות: – דוחות שעברו ניקוי כראוי יכולים להראות מה נבדק, אילו בעיות נמצאו, כיצד הן סווגו וכמה מהר הן תוקנו עבור מערכות הרלוונטיות לשירותים שלכם.

מדדי ניהול פגיעויות: – מגמות בפריסת תיקונים, זמן ממוצע לתיקון בעיות ברמת חומרה גבוהה, וכמות הפגיעויות הבלתי פוסקות בפלטפורמות שמעבדות את המידע שלך.

הערכות ספקים ומעבדי משנה: – ראיות לכך ש-MSP מנהל סיכוני צד שלישי באופן התומך בציפיות שלכם לפי ISO 27001 ו-NIS 2, במקום לסמוך באופן עיוור על ספקים במעלה הזרם.

רישומי הדרכה ומודעות: – נתונים על שיעורי השלמה של הדרכות אבטחה, תרגילי פישינג ופעילויות מודעות ספציפיות לתפקידים עבור צוות המעורב באספקת השירותים המנוהלים שלך.

גופי הסמכה וספקי אבטחה המתארים תוכניות ISO 27001, כמו הסקירה של TÜV, מתייחסים בדרך כלל לסוגים אלה של ארטיפקטים כמרכיבים אופייניים של משטר אבטחת ISMS יעיל. במקרים רבים, תראו סיכומים, מגמות וארטיפקטים לדוגמה ולא דוחות מלאים וסודיים, דבר שבדרך כלל סביר. המפתח הוא שתוכלו לראות בדיקות קבועות, ממצאים ברורים ומעקב שקשורים ישירות לשירותים שלכם. צעד מעשי הוא להגדיר אילו סוגי ראיות אתם מצפים עבור כל MSP אסטרטגי ולתעד את מה שאתם מקבלים במהלך סקירות שנתיות.

מדדים ושאלות שהופכים את ה"מתמשך" למציאותי

כדי להפוך את המונח "מתמשך" ליותר ממילת אופנה, תוכלו לבקש ולעקוב אחר מדדים ספציפיים לאורך זמן המשפיעים ישירות על תמונת הסיכון שלכם. זה גם מקל על תדרוך בעלי עניין פנימיים מבלי להעמיס אותם בנתונים גולמיים.

מדדים שימושיים כוללים:

מספר וחומרת הממצאים הפתוחים לעומת הממצאים הסגורים מביקורות פנימיות ובדיקות טכניות במערכות התומכות בשירותים שלך.
זמן ממוצע לתיקון פגיעויות קריטיות במערכות אלו, בהשוואה ליעדים שהוסכמו.
תדירות והיקף בדיקות ההמשכיות או ההתאוששות המשפיעות על השירותים שלך, והאם הושגו היעדים.
שיעורי השלמת הדרכות עבור צוות עם גישה מועדפת לסביבות שלכם או לנתוני הלקוחות שלכם.
מספר, השפעה ושורש בעיות האירועים שהשפיעו על השירותים המנוהלים שלך בשנה האחרונה.

שאלותיך עשויות לכלול:

"באיזו תדירות אתם עורכים ביקורות פנימיות של מערכות ISMS, ומתי הייתה האחרונה שכיסתה מערכות בהן אנו משתמשים בשירותים שלנו?"
"אילו יעדי רמת שירות אתם קובעים לפתרון פגיעויות בחומרה גבוהה, ובאיזו מידה עמדתם בהן במהלך שנים עשר החודשים האחרונים?"
"כיצד אתם משתפים לקחים שנלמדו מאירועים או בדיקות שעשויים להשפיע על תמונת הסיכון שלנו, כולל כל הודעה רגולטורית או ללקוחות שהתקבלה לאחר מכן?"

ספקי שירותי ניהול רשתות (MSP) חזקים יותר יוכלו להציג מדדים ברורים, מגמות לאורך זמן, ודוגמאות כיצד מדדים אלה הובילו לשיפורים, דפוס המופיע במחקרי סיכונים של צד שלישי ובגרות סייבר של חברות ייעוץ כמו KPMG. ספקי שירותי ניהול רשתות שירות חלשים יותר מגיבים לעתים קרובות בהצהרות סטטיות כגון "אנו מתקינים תקלות במהירות" מבלי לגבות אותן. לאחר שתבינו את דפוס ההתנהגות לאורך זמן, תוכלו לתקנן את האופן שבו אתם מבקשים, מתעדים ומשווים את התשובות הללו בין ספקים שונים, במקום להתייחס לכל התקשרות כתרגיל חד פעמי.

ISMS.online תומך ביותר מ-100 תקנים ותקנות, ומעניק לך פלטפורמה אחת לכל צרכי התאימות שלך.

הזמן את ההדגמה שלך

כיצד הופכים שאלות של ISO 27001 לספר נהלים למיפוי בקרה עבור שירותים מנוהלים?

אתם הופכים את שאלות ה-ISO 27001 לספר נהלים למיפוי בקרה על ידי סטנדרטיזציה של מבנה השאלות שאתם שואלים, האופן שבו MSPs מגיבים, וכיצד תשובות אלו מתחברות לבקרות, תחומי אחריות וראיות. ספר הנהלים הופך לשדרה רב פעמית לבדיקת נאותות, השוואה, קליטה וממשל מתמשך של MSPs בצוותי אבטחה, סיכונים, ניהול ספקים ורכש.

כ-41% מהארגונים בסקר ISMS.online לשנת 2025 אמרו שניהול סיכוני צד שלישי ומעקב אחר תאימות ספקים היו אחד מאתגרי האבטחה העיקריים שלהם.

במקום להמציא מחדש את הגישה שלכם בכל פעם שספק חדש מופיע, אתם יוצרים תבנית עקבית שכל ספק שירות ניהולי (MSP) יכול להשלים והצוותים שלכם יכולים לפרש במהירות. עם הזמן, זה נותן לכם תמונה כלל-פורטפוליו של בגרות ה-MSP שתוכלו להסביר לדירקטוריונים ולרגולטורים מבלי להתעמק בכל חוזה בנפרד, מכיוון שהפורמט והניקוד כבר מובנים.

עיצוב תבנית מיפוי רב פעמית

תבנית טובה של ספר הפעלה כוללת בדרך כלל שלוש שכבות שפועלות יחד: שאלות מובנות, מיפויי בקרה ופרשנות או ניקוד. שמירה על עקביות בשכבות אלו בין הספקים חשובה יותר מאשר השגת כל פרט מושלם ביום הראשון.

תבנית מעשית כוללת בדרך כלל:

שאלות – הנחיות המותאמות לנושאי מפתח בתקן ISO 27001 כגון היקף, הערכת סיכונים, בקרות בנספח A, אחריות משותפת, ראיות ופרטיות או התחייבויות רגולטוריות במידת הצורך. לדוגמה:

"תאר כיצד היקף ה-ISMS שלך מכסה שירות זה."
"ספק מיפוי בנספח א' עבור שירות זה עם תחומי אחריות."

מיפוי בקרה – טבלה אשר, עבור כל בקרה רלוונטית בנספח א':

מציין האם הוא בבעלות הספק, בבעלות הלקוח או משותף.
קישורים לתיאור קצר של היישום.
נקודות לסוגי ומיקומי ראיות, כולל קישורים לתהליכים שלך.

ניקוד ופרשנות – דרך לדרג את הבהירות והעוצמה של התשובות ולרשום הערות, פערים או פעולות מעקב שברצונך ש-MSP יטפל בהן.

כאשר משתמשים בתבנית זו בכל ספקי שירותי ניהול הרשת (MSPs), מקבלים תמונה דומה של הבשלות וההתאמת שלהם. פונקציות רכש, אבטחה, GRC, משפט, פרטיות וסיכון ספקים יכולות להתייחס לאותו אובייקט מבלי ליצור שאלונים או גיליונות אלקטרוניים נפרדים שיוצאים מסנכרון. בחינה מחודשת של ספר ההדרכה לפחות פעם בשנה, או כאשר שירותים או תקנות משתנים, שומרת על התמונה עדכנית במקום לאפשר לה להפוך למאגר מיושן נוסף. כצעד ניטרלי הבא, ניתן לבצע פיילוט של התבנית עם ספק אחד או שניים בעלי סיכון גבוה לפני פריסתה באופן נרחב יותר.

הפיכת תשובות ללוח ניקוד השוואתי

לאחר שהתבנית שלכם קיימת, הניקוד הופך לשיטתי יותר ופחות מבוסס על רשמים אישיים. תוכלו לשקלל את הנושאים החשובים ביותר לארגון שלכם, ולאחר מכן להעריך כל ספק באופן עקבי על פי קריטריונים אלה.

פרקטיקות אופייניות כוללות:

מתן משקל רב יותר לתחומים מסוימים, כגון:
בהירות ושלמות של תיאור ההיקף.
עומק וספציפיות של מיפויים בנספח א'.
איכות ורעננות של ראיות מתמשכות.
דיוק הגדרות האחריות המשותפת.
התאמה לתיאבון הסיכון ולפרופיל הרגולטורי שלך.

הגדרה מראש של מהי תשובה "חזקה", כך שהערכת תשובות תהיה פחות סובייקטיבית וקלה יותר להסבר לבעלי העניין.

לדוגמה, עבור שאלה כגון "כיצד אתם מטפלים באירועים הקשורים לנתונים שלנו?", תשובה חזקה עשויה לכלול תהליכי גילוי ומיון מוגדרים עם בעלות ברורה, לוחות זמנים וערוצי הודעה מוסכמים הקשורים לחומרה ולספים רגולטוריים, שלבי חקירה משותפים וניתוח גורמי שורש, וקישורים ליעדי התאוששות התואמים את ניתוח ההשפעה העסקית שלכם. תשובה חלשה עשויה לומר בפשטות "אנו חוקרים ומודיעים לכם במידת הצורך", ללא פירוט על עיתוי, תפקידים או ראיות.

על ידי יישום עקבי של מדריך זה, אתם בונים ספרייה של פרופילי MSP המבוססים על ISO 27001, ולא על שיווק. התאמתו לתהליכי ISO 27001 הפנימיים שלכם הופכת אותו לעוצמתי עוד יותר: מדריך זה יכול להזין סקירות הנהלה, עדכוני רישום סיכונים, שינויים ב-SoA ודיווחי דירקטוריון. אחסון התבניות, המיפויים והציונים בפלטפורמת ISMS שיתופית כגון ISMS.online מאפשר לכם לעשות שימוש חוזר בעבודה בביקורות, חידושים ופרויקטים חדשים, במקום להתחיל מאפס בכל פעם שבעל עניין שואל, "איך אנחנו יודעים ש-MSPs שלנו באמת תואמים ל-ISO 27001?"

הזמן הדגמה עם ISMS.online עוד היום

ISMS.online מספק לכם מקום משותף אחד לבניית שאלות ISO 27001, מיפויי בקרה וראיות עם ספקי שירותי ניהול המערכות (MSPs) שלכם, כך שהבטחת אישורים מצד שלישי הופכת למהירה, ברורה וקלה יותר להגנה. במקום להתעסק עם אישורים, גיליונות אלקטרוניים ושרשורי דוא"ל, תוכלו לראות כיצד בקרות פנימיות וחיצוניות פועלות יחד כדי להגן על הארגון שלכם ולספק את בעלי העניין שלכם.

מדוע פלטפורמת ISMS משותפת עוזרת גם לך וגם ל-MSPs שלך

פלטפורמת ISMS משותפת עוזרת לך ולספקי שירותי ה-MSP שלך לשמור על עקביות בתשובות, מרכזיות בראיות, ואפשרות חזרה על הבטחות, גם כאשר שירותים, בקרות ותקנות משתנים. כאשר צוותי אבטחה ארגוניים וספקי שירותי MSP מנסים לשתף פעולה באמצעות מסמכים סטטיים בלבד, שלוש בעיות חוזרות על עצמן שוב ושוב.

בעיות נפוצות כוללות:

התשובות יוצאות מסונכרנות ככל שהשירותים מתפתחים.
ראיות נמצאות בכלים מרובים וקשה לקשר אותן לבקרות.
כל ביקורת או בקשה להצעה מאלצת את שני הצדדים לבנות מחדש את אותם הסברים.

פלטפורמת ISMS משותפת משנה את הדינמיקה הזו. בעזרת ISMS.online, תוכלו ללכוד את סט שאלות ה-MSP הסטנדרטי שלכם לתקן ISO 27001 פעם אחת ולעשות בו שימוש חוזר בין ספקים. תוכלו לאחסן מיפויים ספציפיים לשירות של נספח A ומטריצות של אחריות משותפת באותו מבנה בו אתם משתמשים עבור הבקרות הפנימיות שלכם. תוכלו לקשר ראיות MSP כגון סיכומי ביקורת, דוחות בדיקה ומדדים מרכזיים ישירות לבקרות ולסיכונים שהן תומכות.

מבנה זה מסייע גם ל-MSP'ים שלכם. הם יכולים להגיב ללקוחות מרובים מקבוצה אחת וסמכותית של מיפויים וראיות, במקום ליצור מחדש תוכן עבור כל שאלון. עם הזמן, זה מפחית את החיכוכים בשני הצדדים ומעלה את איכות שיחות האבטחה במקום להפוך אותן לתרגילי ניירת. גם אם תשנו ספקים מאוחר יותר, מודל עקבי מקל הרבה יותר על ההסבר של המעבר לדירקטוריונים ולרגולטורים.

צעדים מעשיים נוספים לחקר ISMS.online

אם אתם מזהים את האתגרים המתוארים כאן, אינכם צריכים לעצב מחדש את ניהול הצד השלישי שלכם מאפס. ניסוי ממוקד מספיק לעתים קרובות כדי להדגים ערך מבלי להתחייב לשינוי כולל, ואתם יכולים להריץ אותו לצד התהליכים הנוכחיים שלכם.

אתה עלול:

בחרו ספק שירות ניהול שירותים אסטרטגי אחד או שניים התומכים בשירותים בעלי השפעה גבוהה.
השתמשו בקבוצת השאלות הקיימת שלכם בתקן ISO 27001 כנקודת התחלה.
הגדר תבנית מיפוי פשוטה ומודל אחריות משותפת ב-ISMS.online.
הזמינו את עמיתכם ב-MSP לשתף פעולה בהשלמה ובשיפור התוכן.
השתמשו בפלט כדי לעדכן את הדירקטוריון או ועדת הביקורת כיצד בקרות צד שלישי משולבות כעת במערכת ה-ISMS שלכם.

שימוש בסביבה משותפת בדרך זו יכול לעזור לכם לבנות מיפויים ברורים יותר עבור שירותים קריטיים, להפחית הפתעות בביקורות הקשורות לספקי שירותי ניהול שירותים (MSPs), ולפתח סביבה בטוחה יותר עבור רגולטורים ולקוחות גדולים. הזמנת הדגמה היא פשוט דרך לראות כיצד זה יכול להיראות בסביבה שלכם ולהחליט האם פלטפורמת ISMS משותפת היא הדרך הנכונה לנהל זאת.

אם אתם מתכננים או עוברים מעבר לתקן ISO 27001:2022, אותה סביבה יכולה לעזור לכם לעדכן את המיפויים של נספח A למערך הבקרה המתוקן עבור שירותים פנימיים ושירותים המופעלים על ידי MSP. הנחיות המעבר עבור ISO/IEC 27001:2022 מציינות כי ארגונים צריכים לעדכן את המיפויים של נספח A, תיאורי ההיקף והמידע המתועד, ושימוש בסביבה משותפת התומכת בשירותים פנימיים ושירותים המופעלים על ידי MSP יכול להקל על התיאום של עדכונים אלה, כפי שמודגש בסקירות סדרת ISO 27000 כגון מבוא לתקן ISO 27000. כל החלטה לאמץ כלים חדשים או לשנות ספקים עדיין צריכה לעבור את תהליכי הממשל הרגילים שלכם, ובמידת הצורך, להיבחן על ידי יועצים משפטיים או רגולטוריים מוסמכים.

בסופו של דבר, שאלות ה-ISO 27001 שלכם ל-MSPs הן יותר מרשימות בדיקה של בדיקת נאותות. הן עוסקות בהראות שהמערכת האקולוגית הדיגיטלית המורחבת שלכם מתנהגת כמערכת ניהול קוהרנטית ומבוססת סיכונים, שדירקטוריונים, רגולטורים ולקוחות יכולים לסמוך עליה. הזמנת הדגמה עם ISMS.online היא דרך פשוטה לבחון כיצד קוהרנטיות זו יכולה לעבוד בפועל עבור הארגון שלכם והספקים החשובים ביותר שלכם, ולראות האם פלטפורמת ISMS משותפת יכולה לעזור לכם להפוך שאלות טובות לאבטחה עמידה של צד שלישי.

הזמן הדגמה

שאלות נפוצות

כיצד ניתן להתאים את בדיקת הנאותות של MSP לתקן ISO 27001:2022 מבלי להטביע את בעלי העניין במספר רב של סעיפים?

אתם מתאימים את בדיקת הנאותות של MSP לתקן ISO 27001:2022 על ידי ניסוח שאלות סביב תוצאות עסקיות - סיכון, זמן תקינות, טיפול בנתונים ואחריות - ומיפוי תשובות אלו רק לסעיפים ולבקרות נספח A בתוך מערכת ה-ISMS שלכם.

כיצד נהפוך את ISO 27001 לנושאים שעסקים וספקי שירותי ניהול (MSP) באמת מזהים?

התחילו מהשיחות שכבר ניהלתם עם בעלי עניין וספקי שירותים מנוהלים, ולאחר מכן עגנו אותן לקומץ נושאים חוזרים:

התאמת שירות והיקף: – "אילו מהשירותים, המיקומים, הפלטפורמות ומעבדי המשנה שלכם ייגעו בפועל בנתונים שלנו, והאם הם נמצאים במסגרת מערכת ה-ISMS שלכם?"
סיכון וחוסן: – "היכן מופיעים סיכוני הזמינות, הסודיות והרגולציה שלנו במאגר הסיכונים שלכם, וכיצד הם מטופלים?"
בעלות על שליטה ובדיקות: – "עבור שירות זה, אילו בקרות לפי נספח א':2022 קיימות, מי הבעלים שלהן, וכיצד הן נבדקות במהלך השנה?"
אבטחת תפעול לאורך זמן: – "מה אמרו לך ביקורות פנימיות, מבחני חדירה, ניטור וסקירות אירועים על שירות זה ב-12-18 החודשים האחרונים?"
אחריות משותפת: – "עבור גישה, תצורה, ניטור, אירועים, המשכיות וניהול ספקים, אילו פעילויות בבעלותך, אילו בבעלותנו, ומה משותף באמת?"
שינוי ומפת דרכים: – "כיצד שירותים חדשים, מיגרציות פלטפורמות ושינויים רגולטוריים זורמים דרך היקף הפעילות, הערכות הסיכונים והבקרות שלכם?"

ערכות נושא אלו מספקות לכם בסיס יציב לשאלוני בדיקת נאותות של MSP, בקשות להצעות מחיר (RFP) וביקורות חידוש. באופן פנימי, תוכלו לשמור על מיפוי נקי מכל נושא ושאלה חזרה לסעיפים של ISO 27001:2022, בקרות נספח A ותהליכי ניהול ספקים במערכת ה-ISMS שלכם או במערכת הניהול המשולבת המתאימה לנספח L. באופן חיצוני, ה-MSP שלכם רואה רק שאלות ברורות ברמת השירות ולא ציטוטים של סעיפים.

אם אתם משתמשים בפלטפורמה כמו ISMS.online, קל לאחסן את סט השאלות, התשובות והמיפויים לצד הצהרת הישימות ורישומי הספקים. בדרך זו תוכלו להראות במהירות למבקרים כיצד פיקוח של צד שלישי מובנה ב-ISMS שלכם במקום להיות מאולתר סביב מועדי רכש.

כיצד ניתן לעצב שאלות MSP המתייחסות לסעיפים בתקן ISO 27001 מבלי לצטט אותם?

עבדו קדימה ממצבים אמיתיים ואחורה מ-ISO 27001, ולא להיפך:

הקשר, מנהיגות ותכנון (סעיפים 4-6):

שאלו כיצד ה-MSP מגדיר את היקף הפרויקט, מבין את צרכי הלקוח ומתכנן טיפול בסיכונים שעלולים להשפיע עליכם:
"הראו לנו כיצד סיכונים הקשורים לנתונים, זמן הפעילות וההתחייבויות הרגולטוריות שלנו מזוהים, מוערכים ומתעדפים במרשם הסיכונים שלכם."

תמיכה ותפעול (סעיפים 7-8):

התמקדו באנשים, בנהלים מתועדים ובאופן שבו השירות המנוהל פועל בפועל:
"אילו נהלים וכישורים מתועדים נדרשים כדי לספק שירות זה, וכיצד שומרים על שניהם מעודכנים?"

הערכת ביצועים ושיפורם (סעיפים 9-10):

גלו כיצד הם עוקבים אחר יעילות, מבצעים ביקורות על עצמם ומניעים שינויים:
"במהלך השנה האחרונה, אילו ביקורות, מדדי ביצועים (KPI) ופעולות מתקנות היו קשורות ישירות למערכות עליהן היינו מסתמכים?"

אינכם צריכים לשאול "כיצד אתם עומדים בסעיף 8.1?" כדי שהטמעת תקן ISO 27001:2022 שלכם תהיה ניתנת להגנה. מה שאתם כן צריכים הוא קבוצה עקבית של שאלות שחושפות כיצד מערכת הניהול של ספק שירותי ניהול (MSP) מתנהגת עבור השירותים שלכם, ודרך ממושמעת למיפוי תשובות אלו בחזרה לסעיפים ולבקרות נספח A בתוך מערכת ה-ISMS שלכם. ריכוז המיפוי הזה בסביבה משותפת כמו ISMS.online מאפשר לצוות שלכם להמשיך ולחדד שאלות תוך שמירה על נתיב ביקורת ברור עבור רגולטורים, לקוחות וגופי הסמכה.

כיצד נוכל לדעת במהירות האם תעודת ISO 27001 של ספק שירותי ניהול שירותים (MSP) מכסה באמת את השירותים שאנו מתכננים להשתמש בהם?

ניתן לדעת האם תעודת ISO 27001 של ספק שירותי ניהול שירותים (MSP) מכסה באמת את השירותים שלכם על ידי קריאת היקף השירות, הצהרת הישימות ודוחות ביקורת אחרונים כאילו היו שלכם, ולאחר מכן בדיקת פערים באמצעות שאלות קונקרטיות ברמת השירות.

אילו חלקים בחבילת האישורים חשובים ביותר עבור שירותי MSP?

התייחסו לתיעוד כראיה לסיכון, ולא כבטוחה למכירה:

תיאור היקף: – ודאו שהוא מציין את סוגי השירותים הספציפיים שמעניינים אתכם (לדוגמה, SOC מנוהל, מסד נתונים מנוהל, זהות מנוהלת, אירוח מנוהל) ואת הטכנולוגיות והפלטפורמות המרכזיות המעורבות.
מיקומים ושרשרת משלוחים: – ודאו שמרכזי נתונים, אתרי תמיכה ומעבדי משנה חשובים עבור עומסי העבודה שלכם נכללים במפורש בהיקף, או נופלים בבירור תחת ישות רחבה יותר.
תחולת הבקרה: – עיין בנספח א': תחולת הבקרה לשנת 2022 ב-SoA; אתגר החרגות סביב רישום, ניטור, גיבוי, המשכיות, פיקוח על ספקים ופיתוח מאובטח כאשר הערכת הסיכונים שלך מתייחסת לתחומים אלה כבלתי ניתנים למשא ומתן.
עדכניות ומיקוד הביקורת: – שימו לב מתי נערכה ביקורת המעקב או ההסמכה מחדש האחרונה, והאם ממצאים אחרונים קשורים לסביבות ולשירותים שאתם מצפים לצרוך.

לאחר מכן עברו ישר לשאלות נקודתיות, לדוגמה:

"מתוך השירותים שאנו מעריכים, אילו מהם נמצאים במלואם במסגרת תקן ISO 27001 הנוכחי שלכם, אילו מהם מכוסים רק באופן חלקי, ואילו מהם אינם במסגרת כיום?"
"עבור מערכות התומכות בנתונים שלנו שאינן קשורות לתחום המוסמך שלך, אילו בקרות ומנגנוני אבטחה חלים במקום זאת?"

רישום תשובות אלו ברישומי סיכוני הספקים שלכם הופך את הבחירה שלכם לניתנת להגנה אם רואי החשבון, הדירקטוריון או הלקוחות שלכם ישאלו מאוחר יותר מדוע בטחתם בספק מסוים.

אם תארגו ראיות והערות של ספקים במערכת כמו ISMS.online, תוכלו לאחסן הצהרות היקף, קטעי פתרון בעיות מרכזיים, שאלותיכם ותשובות ה-MSP לצד הבקרות והסיכונים של נספח A שהם תומכים בהם. זה מאפשר לכם לעשות שימוש חוזר באותה הערכה כשאתם מחדשים, מגישים מכרז מחדש או עוברים מעקב בעצמכם, במקום להתחיל מגיליון אלקטרוני ריק בכל פעם.

מהם הדגלים האדומים המעשיים במסמכי היקף MSP ו-SoA?

אינך צריך להיות מומחה ISO כדי לזהות דפוסים המצדיקים בדיקה נוספת:

היקף שהוא בבירור צר יותר ממציאות האספקה: , כגון תעודה המכסה רק "פעילות משרד ראשי" כאשר אספקת השירותים בפועל פועלת ממספר אזורים ופלטפורמות ענן.
ניסוח פרסומי יתר על המידה: במקום מידע קונקרטי על נכסים, מערכות ואחריות.
ביקורות לא מעודכנות: או לוח זמנים לא ברור של מעקב, שיכול להצביע על נוהג סחיפה.
אשכולות של בקרות "לא רלוונטיות": בתחומים שבהם מרשם הסיכונים שלך מתייחס כחומר, במיוחד ניטור, גיבוי, המשכיות, פיקוח על ספקים או פיתוח מאובטח.

כאשר משהו נראה מעורפל, בקשו מ-MSP להדריך אתכם דרך שירות ספציפי אחד שמעניין אתכם: היכן הנתונים שלכם יהיו, אילו צוותים יוכלו לתקשר איתם, ואילו היבטים בדיוק של היקף ובקרות ה-ISMS שלהם מכסים את הרכיבים הללו. ספקים חזקים יספקו לכם סיפור עקבי וניתן לבדיקה. לאחר מכן תוכלו לצרף את הנרטיב הזה כראיה מובנית ב-ISMS שלכם, כך שכאשר שאלות חוזרות מלקוחות או מבקרי מידע, אתם מסתמכים על תיעוד ברור ולא על זיכרון.

כיצד עלינו להסכים על אחריות משותפת עם מנהל מערכת מוסמך ISO, כך שאף אחד לא יופתע בתקרית אמיתית?

עליכם להסכים על אחריות משותפת עם MSP מוסמך ISO על ידי נקיטת בקרות נספח A:2022 הנוגעות לשני הארגונים, להחליט מי עושה מה עבור כל אחד מהם, ולאחר מכן לשקף חלוקה זו באופן עקבי בחוזים, בספרי נהלים וב-ISMS שלכם.

אילו תחומי אחריות משותפת ראויים לתשומת לב מירבית?

התחילו במקום בו עמימות הופכת ליקרה במהלך פעילות יומיומית או אירועים:

ניהול ותכנון סיכונים:

הקישרו במפורש את הקשר בין הסיכונים העסקיים שלכם לסיכונים הטכניים של ספק שירותי ה-MSP.
– שאלו כיצד תרחישים ממאגר הסיכונים שלכם - כגון אובדן אזור, פגיעה בגישה מועדפת או הפרה רגולטורית - מופיעים בהערכת הסיכונים ובתוכניות הטיפול שלהם.
– בניית RACI תמציתי המכסה סקירות גישה, קווי בסיס של תצורה, ניהול פגיעויות, ניטור, גיבוי ושחזור, וביקורת שוטפת של ספקים.
– אחסן את ה-RACI ברישומי טיפול בסיכונים שלך, ב-SoA וברשומות הספקים כדי שמבקרים ומנהלים יראו את אותה התמונה.

גילוי, תגובה ותקשורת:

– להבהיר אילו התראות וטלמטריה צפוי ה-MSP לנטר, אילו הצוות שלך חייב לנטר, וכיצד אירועים זורמים בין השניים.
– להסכים על ספים ולוחות זמנים לדיווח על אירועים, ואיזה ארגון מוביל את התקשורת עם רגולטורים, לקוחות ונושאי נתונים במסגרת חוקים כגון GDPR או כללי ענף.
– לתעד את הזרימות הללו בספרי ריצה משותפים ולתרגל אותן באמצעות תרחישים ריאליסטיים על גבי שולחן.

המשכיות והתאוששות:

– ודאו שזמן ההתאוששות ויעדי נקודת ההתאוששות של ספק שירותי ה-MSP תואמים את ניתוח ההשפעה העסקית וההבטחות החוזיות שלכם.
– בקשו מהם להבחין בבירור בין שיבושים שהם אחראים עליהם (לדוגמה, כשל בפלטפורמה) לבין אלה שבבעלותכם (לדוגמה, פגיעה ברשת מקומית או בנקודת קצה).

בקשו ש-MSP ידריך אתכם בתרחיש אירוע מלא וספציפי לשירות: אילו מדדים מפעילים פעולה, מי מטפל ראשון בתגובה, מתי הצוות שלכם מעורב, וכיצד נקלטים לקחים משני הצדדים. לאחר שהמודל הזה עובד עבור שירות אסטרטגי אחד, תוכלו לשקף אותו על פני MSPs אחרים ולרשום אותו באופן מרכזי בפלטפורמה כמו ISMS.online, ולקשר כל מפת אחריות משותפת לבקרות, סיכונים וחוזים הרלוונטיים בנספח א'.

כיצד נשמור על מודל האחריות המשותפת תואם לתקן ISO 27001 ולמערכת משולבת נספח L?

השתמשו בתקן ISO 27001:2022 ובכל תקן נלווה כבסיס מבני ולא כמחשבה שנייה:

זהה את בקרות נספח א' המשתרעות באופן ברור על פני הספק והלקוח - לדוגמה, אלו הנוגעות לרישום וניטור, תצורה מאובטחת, גיבוי, ניהול ספקים, אבטחת רשת וניהול אירועים - והחליט האם כל אחת מהן היא באחריותך העיקרית, באחריותם או באחריות משותפת.
שיקפו את ההחלטות הללו בכם תכנון פעילויות לפי סעיף 6 ו תיאורים תפעוליים לפי סעיף 8, כך שבחירות וממשקים של מיקור חוץ מופיעים בתוכניות טיפול בסיכונים, בנהלים מתועדים וברשימות תהליכי מיקור חוץ.
ודא שאותה הקצאה נשמרת בעת ביצוע הערכת ביצועים לפי סעיף 9 ו שיפור לפי סעיף 10, כך שאירועים משותפים מניעים פעולות מתקנות במערכות הניהול של שני הארגונים ולא רק בתורי כרטיסים תפעוליים.

אם אתם מפעילים מערכת ניהול משולבת התואמת לתקן L, המשלבת את ISO 27001 עם תקנים כגון ISO 22301 להמשכיות או ISO 27701 לפרטיות, השתמשו שוב באותו היגיון של אחריות משותפת שם. בודקים צריכים להיות מסוגלים לעקוב אחר קו ישר משירות מנוהל דרך אחריות אבטחה, המשכיות ופרטיות מבלי למצוא הנחות סותרות בחלקים שונים של מערכת ניהול המידע (IMS) שלכם.

אילו ראיות עלינו לבקש ממנהלי שירותי ניהול (MSP) כדי להוכיח תרגול מתמשך של ISO 27001, ולא רק תעודה ממוסגרת?

עליכם לבקש מספקי שירותי ניהול שירותים (MSPs) ראיות המראות כיצד בקרות ה-ISMS וה-Annex A שלהם פועלות לאורך זמן עבור השירותים עליהם אתם תלויים - פריטים עדכניים ומובנים המדגימים תכנון, תפעול, מדידה ושיפור לפחות במהלך השנה האחרונה.

אילו סוגי ראיות של ניהול מערכות מידע (MSP) עומדות בצורה הטובה ביותר בביקורות פנימיות וחיצוניות?

תנו עדיפות לקבוצה קטנה של חפצים שמתואמים בצורה ברורה לבקרות ולשינויים אמיתיים:

דוחות ביקורת פנימיים או תמונות מצב של ISMS: – אילו בקרות נדגמו, אילו אי התאמות או חולשות נמצאו, וכיצד בוצע מעקב אחר פעולות מתקנות עד לסגירה.
סיכומי מעקב חיצוניים או הסמכה מחדש: – תוצאות מגוף ההסמכה, עם כל ממצא או תצפית הנוגעים לשירותים, פלטפורמות או מיקומי משלוח שלכם.
תוצאות בדיקות אבטחה: – בדיקות חדירה וסריקות פגיעויות מדוקדקות עבור מערכות התומכות בעומסי העבודה שלך, עם תוכנית תיקון ברורה וסטטוס של ממצאים משמעותיים.
מדדי ניהול פגיעויות: – מגמות בזמני תיקון, ספירת סוגיות פתוחות לפי חומרה וכל חריגים שאושרו רשמית.
פיקוח על ספקים ומעבדי משנה: – מסמכים או לוחות מחוונים המראים כיצד הם מעריכים ומנטרים את הספקים האסטרטגיים ופלטפורמות הענן שלהם.
מדדי הכשרה ומודעות: – ראיות לכך שאנשים המתכננים, מפעילים ותומכים בשירותים המנוהלים השלימו הכשרה רלוונטית בתחום האבטחה והפרטיות.

שלבו את אלה עם שאלות ישירות כגון:

"באיזו תדירות מבצעים ביקורות פנימיות, בדיקות טכניות וסקירות ניהוליות מערכות התומכות בשירותים בהם נשתמש, ואילו שינויים ביצעתם כתוצאה מכך?"
"איזה יעד אתם קובעים לסגירת פגיעויות קריטיות וגבוהות, וכיצד הצלחתם לעמוד ביעדים אלה ב-12 החודשים האחרונים?"

לעיתים רחוקות אתם זקוקים ליומני אירועים גולמיים או לכל פרט מהכלים שלהם, אך אתם זקוקים להוכחות עדכניות ומובנות מספיקות כדי להוכיח שמערכת ה-ISMS של ה-MSP פעילה ויעילה. הסכמה מראש על מה שהארגון שלכם מגדיר כ"חבילת ראיות מלאה" והכללת ציפייה זו בהליך ניהול הספקים שלכם מפחיתה חיכוכים בהמשך והופכת את ביקורות ה-ISO 27001 והמערכות המשולבות שלכם לפשוטות יותר.

כיצד נוכל לתייק ולעשות שימוש חוזר ביעילות בראיות MSP בתוך ISMS או נספח L של IMS?

טפלו בראיות MSP באותה מבנה ומשמעת שאתם מצפים להן באופן פנימי:

קשר כל ארטיפקט לבקרות ושירותים ספציפיים: – לקשר מסמכים לבקרות, סיכונים, רישומי ספקים והגדרות שירות הרלוונטיות של נספח א':2022, כך שתוכלו להסביר בדיוק מה כל פיסת ראיה תומכת.
בעלות על תגים וקצב ביקורות: – לתעד מי אחראי על סקירת הראיות, באיזו תדירות יש לרענן אותן, וכל תנאי או סיכונים שיוריים מקובלים.
שימוש חוזר במידת הצורך בין מסגרות שונות: – לדוגמה, בדיקת חדירה המכסה מערכות הנכללות בתקן ISO 27001, SOC 2 ו-NIS 2 צריכה להיות בעלת הפניה אחת באופן שיעמוד בכל שלושת המשטרים, במקום לשכפל אותה במאגרים נפרדים.

פלטפורמת ISMS משותפת כמו ISMS.online הופכת את הקישור והשימוש החוזר למעשיים: ניתן לצרף ראיות של MSP ישירות לבקרות, סיכונים, ביקורות ורישומי ספקים. כאשר בעלי עניין בכירים או מבקרים שואלים, "איך אתם יודעים ש-MSP זה עדיין פועל בצורה מאובטחת ובהתאם למדיניות שלכם?", תוכלו להדריך אותם בפריטים המקושרים על המסך במקום לחפש בכוננים ושרשורי דוא"ל.

כיצד ניתן להשוות את הבשלות של ISO 27001 בין מספר ספקי שירותי ניהול שירותים (MSP) מבלי להביא יועצים בכל פעם?

ניתן להשוות את הבשלות של ISO 27001 בין ספקי שירות ניהול שירותים (MSP) על ידי שאילת אותה קבוצת שאלות מובנית לכל ספק והמרת תשובותיהם למודל ניקוד פשוט המשקף את סדרי העדיפויות של הסיכון שלכם, במקום לנסות לשקול כל תשובה בנפרד.

כיצד נראה כרטיס ניקוד מעשי של MSP כאשר הוא מבוסס על תקן ISO 27001?

כרטיס ניקוד שימושי נשאר קומפקטי מספיק כדי שלא מומחים יוכלו להבין אותו, אך עשיר מספיק כדי להניע החלטות:

היקף והתאמה לתעודה (1-5): – עד כמה ברור שהיקף ההסמכה של ה-MSP מכסה את השירותים, המיקומים והפלטפורמות שבהם אתם מתכננים להשתמש.
מיפוי בקרה ספציפי לשירות (1-5): – עד כמה הם ממפים את בקרות נספח א':2022 ובקרות רלוונטיות אחרות לשירותים ולזרימות הנתונים שלך, עם בעלים ששמם מוקצה.
בהירות אחריות משותפת (1-5): – עד כמה החוזים, הסכמי ה-SLA והסכמי ה-RACI שלהם חד משמעיים לגבי "מי עושה מה" בכל הנוגע לטיפול בסיכונים, ניטור, אירועים והמשכיות.
עומק ורעננות הראיות (1-5): – עד כמה מקיפים ומעודכנים תוצרי הביקורת, הבדיקות, המדדים וסקירות הספקים שלהם עבור הסביבות עליהן אתם מסתמכים.
פתיחות ותגובתיות (1–5): – באיזו מידה הם מספקים פרטים נוספים, מכירים בפערים ומתחייבים לתוכניות שיפור ריאליות.

ניתן לשקלל את הממדים הללו בהתאם למגזר ולחובות שלכם. לדוגמה, ארגון המפוקח על ידי חוסן תפעולי עשוי לתת משקל גבוה יותר להמשכיות ולראיות; ספק SaaS שצומח במהירות עשוי להדגיש שקיפות, עומק בדיקות אבטחה ויכולת פלטפורמה.

הרצת כרטיס ניקוד זה בשיתוף פעולה עם נותני חסות רכש, משפט, אבטחה ועסקיים מעניקה לכם שפה משותפת להסבר מדוע ספק ניהולי מסוים (MSP) מייצג התאמה טובה יותר לסיכון הכולל, גם כאשר מונחים מסחריים נראים דומים. רישום התשובות, הציונים והרציונל הבסיסיים במערכת ניהול המערכות (ISMS) שלכם - במקום רק בשקופיות - מאפשר לכם לעשות שימוש חוזר ולעדכן את ההערכה בעת חידוש ובמהלך ביקורות, במקום לבנות מחדש את ההצדקה מהזיכרון בכל פעם שמישהו שואל "מדוע בחרנו בספק הזה?".

כיצד יכול כרטיס ניקוד של MSP להישאר שימושי בסטנדרטים ואזורים שונים?

לוח ניקוד טוב מתמקד בהתנהגויות ובמנגנוני אבטחה שאכפת להם ממגוון תקנים ורגולטורים, ולא רק בניירת של ISO 27001:

ניתן ליישם את אותו מודל ליבה על ספקי שירותי ניהול ציבוריים (MSPs) שתומכים גם במשטרים כגון PCI DSS, SOC 2, NIS 2 או DORA, כי אתם מעריכים כיצד הם קובעים היקף שירותים, מיישמים ובודקים בקרות, מנהלים ספקים ומתקשרים עם סיכונים.
מועצות ורגולטורים רואים א תצוגה עקבית והשוואתית של סיכון צד שלישי על פני אבטחה, המשכיות ופרטיות, במקום טלאים של שאלונים נפרדים עבור כל מסגרת.
מערכת הניהול המשולבת שלך בנספח L משיגה דרך חוזרת ונשנית לטפל בנושאים חיצוניים ובצדדים מעוניינים במסגרת סעיף 4, ללא קשר לתקנים הספציפיים בתוקף בכל זמן נתון.

ככל שאתם צוברים תוצאות, כרטיס הניקוד הופך לנקודת ייחוס חיה. תוכלו לחדד שאלות, להתאים משקלים כאשר תקנות או תיאבון לסיכון עסקי משתנים, ולבנות נקודות מידה פנימיות שהופכות כל הערכה חדשה של MSP למהירה, עקבית יותר וקלה יותר להגנה בפני בעלי עניין בכירים.

מתי הגיוני להעביר את פיקוח ה-MSP לפלטפורמת ISMS משותפת במקום לחיות בדוא"ל ובגיליונות אלקטרוניים?

הגיוני להעביר את פיקוח ה-MSP לפלטפורמת ISMS משותפת כאשר הצוות שלכם רודף שוב ושוב אחר אותו מידע ISO 27001 ממספר ספקים אסטרטגיים, מתקשה לשמור על ראיות ומיפויים מעודכנים במסמכים שונים, ומתקשה להציג תמונה קוהרנטית של סיכוני צד שלישי להנהלה או למבקרים.

אילו יתרונות מעשיים עלינו לצפות מניהול ספקי שירותי ניהול מערכות מידע (MSP) בתוך פלטפורמת ISMS משותפת?

התחלה עם שירות מנוהל אחד או שניים בעלי השפעה גבוהה יכולה להראות במהירות אם מודל זה עובד עבורכם:

מבני בקרה מיושרים: – מערכי השאלות שלכם בתקן ISO 27001, מטריצות הבקרה של נספח A:2022 הספציפיים לשירות, חלוקת האחריות המשותפת ורישומי הסיכונים יושבים יחד בסביבה אחת שגם הצוות שלכם וגם ה-MSP יכולים לגשת אליה תחת הרשאות מבוקרות.
ראיות מרכזיות וחיות: – ניתן לקשר ישירות סיכומי ביקורת פנימיים וחיצוניים, דוחות בדיקות חדירה, מדדי פגיעויות והערכות ספקים לבקרות, לסיכונים ולשירותים שהם תומכים בהם, כך שתוכלו להגיב לבקשות "הראה לי" מבלי לחפש בתיקיות.
מקור יחיד לקהלים מרובים: – אותו מידע מובנה תומך בחבילות דירקטוריון, עדכוני ועדות סיכונים, תגובות לבדיקת נאותות של לקוחות וביקורות הסמכה, מבלי לבקש מה-MSP את אותם נתונים במספר פורמטים שונים.
הערכות וחידושים מהירים יותר: – כאשר ניתן לצפות בתוצאות של היקף, כיסוי בקרה, ראיות וכרטיסי ניקוד זה לצד זה בתוך מערכת ה-ISMS (מערכת ניהול המערכות) שלכם, השוואה בין ספקים והצדקת חידושים הופכת פחות לתרגיל אד-הוק בגיליון אלקטרוני.

צעד ראשון הגיוני הוא לבחור שירות שחשוב לעסק שלכם - כגון ניטור אבטחה מנוהל או פלטפורמת ענן מרכזית - להקים מבנה פשוט ומותאם ל-ISO עבור שירות זה בכלי כמו ISMS.online, ולהזמין את ספק שירותי הניהול (MSP) לתרום ראיות וחידודים שם. אם, לאחר רבעון, תוכלו להדריך את הדירקטוריון, ועדת הביקורת או הלקוחות העיקריים שלכם דרך תצוגה משותפת זו מבלי לחפש מסמכים ברגע האחרון, יש לכם הוכחה חזקה שהרחבת הגישה ל-MSPs אחרים תשתלם. במקביל, מערכת ה-ISMS או המערכת המשולבת בנספח L שלכם מתבגרת, מכיוון שפיקוח של צד שלישי הופך לחלק מהניהול השגרתי ולא מרדף שנתי אחר ניירות.

שאלות מובילות שצוותי אבטחת מידע ארגוניים שואלים את MSPS בנוגע לתקן ISO 27001