ISO 27001: оценка на пропуските и стъпки

Оценката на пропуските по ISO 27001 сравнява действащите контроли и документи с клаузите на стандарта и набора от контроли Annex A, след което дава приоритизиран план за корекции. Тя подготвя фирмата за сертификационен одит, но не е сертификат и никоя оценка не може да обещае, че сертификатът ще последва.

Какво представлява оценката на пропуските по ISO 27001?

ISO/IEC 27001 е международният стандарт за система за управление на информационната сигурност (ISMS): документиран, основан на риска набор от политики, процеси и контроли, който се поддържа и подобрява, а не се инсталира еднократно. Сертификат издава акредитиран сертифициращ орган след собствените си одити. Самият стандарт се закупува от ISO, а неговите изисквания са мерната единица за всяка оценка.

Оценката на пропуските отговаря честно на един въпрос: колко далеч е организацията от изпълнение на изискванията днес? Преглежда се какво съществува — документи, реална практика и техническа конфигурация — и разликите се записват като констатации спрямо клаузите на стандарта. Клаузи 4–10 съдържат изискванията към системата за управление, а наборът Annex A във версията от 2022 г. има 93 референтни контрола, групирани по теми.

Три уточнения предотвратяват объркването по-късно:

Това е упражнение за готовност, не одит. Няма акредитация, сертификационно решение или официално несъответствие с номерацията на сертифициращия орган. Резултатът е работен план.

Обхватът се избира, не се налага. ISO 27001 не изисква сертифициране на цялата организация. Обхватът може да бъде бизнес единица, обект, продуктова линия или набор от системи, ако границата е определена и обоснована. Повечето фирми започват с тесен обхват — решение, което намалява разхода за оценката и сертифицирането и трябва да се вземе преди прегледа на първия документ.

Доказателствата се разглеждат честно. Ако документът казва едно, а практиката прави друго, това се записва точно така. Сертификационният одитор ще открие същата разлика по-късно, в по-неподходящ момент.

Процес на оценката по ISO 27001

Една реална оценка обикновено изглежда така. Колоната „резултат“ е съществена: всяка стъпка трябва да оставя артефакт, който се съхранява, а не само впечатление.

Таблица A: стъпка | какво се случва | резултат

Стъпка	Какво се случва	Резултат
Определяне на обхвата	Съгласуват се границите на ISMS: включени обекти, отдели, системи и данни и причините за включването; определят се заинтересованите страни и изискванията им	Декларация за обхвата с обосновка, готова за използване при одит Stage 1
Преглед на документите	Съществуващите политики, процедури и записи се сравняват с клаузи 4–10 и Annex A; проверява се дали документите описват реалност или намерение	Инвентар на документите със статус за всеки: съществува / частичен / липсва, заедно с видените доказателства
Интервюта	Разговаря се с хората, които управляват процесите — IT, HR, операции, финанси и ръководство; сравняват се отговорите между ролите, а противоречието между два отдела също е констатация	Бележки от интервюта по процес, в които са записани разликите между практика и документ
Технически проверки	Взема се извадка от реалната конфигурация: списъци за достъп, логове, задачи за резервни копия и доказателства за възстановяване, статус на пачовете и физически достъп. Това е извадка, не тест за проникване	Резултати по контролна област с извадки и дати, за да може проверката да се повтори
Оценяване	Всяка констатация се оценява по тежест и усилие; тежестта следва риска за организацията, а не мястото на контрола в Annex A	Регистър на пропуските: клауза или контрол, текущо състояние, констатация, тежест и предложен собственик
Доклад и пътна карта	Констатациите се събират в доклад и работата се подрежда: бързи подобрения, структурни задачи и документи, които трябва да съществуват преди Stage 1	Доклад за пропуските, пътна карта с приоритети и проект на Statement of Applicability

Стандартът не предписва конкретен начин за провеждане на оценка, затова доставчиците използват различни методи. Полезната оценка се отличава с дисциплина на доказателствата — констатации, свързани с нещо, което сертификационният одитор може да провери — и с регистър, който остава след нея. Въпросите за управление и одит на сигурността са разгледани на страницата за IT одит и консултации, а защитата на инфраструктурата зад ISMS — на страницата за дигитална инфраструктура.

Резултати и документи от оценката

Четири артефакта определят сериозната оценка. Ако предложението не назовава и четирите, попитайте защо:

Доклад за анализ на пропуските. Разказът на проекта: прегледан обхват, метод, констатации по клауза и контролна област и резюме, което управляващ директор може да прочете за 10 минути. Докладът обяснява разликите, а не просто ги изброява.

Регистър на пропуските. Работната база данни: всяка констатация с препратка към клауза или Annex A, текущо състояние, тежест и приоритет. След оценката именно регистърът движи проекта, защото превръща съвета в backlog със собственици.

Пътна карта за корекции. Констатациите се подреждат в план: какво трябва да съществува преди Stage 1, какво принадлежи на първите месеци на ISMS и какво може да чака. Последователността уважава зависимостите: не можете да преглеждате достъпа всяко тримесечие, ако списъци за достъп още няма.

Проект на Statement of Applicability (SoA). Документът изброява всеки контрол Annex A, дали е приложим, защо и как е внедрен. Проектът на SoA по време на оценката спестява най-много време в сертификационния проект, защото алтернативата е да се запишат 93 решения от празна страница под краен срок.

Резултатите трябва да бъдат писмени и да принадлежат на купувача. Доставчик, който не показва примерен доклад преди подписване, казва нещо важно за доклада.

Какво не е оценката?

Точността тук спестява спорове по-късно:

Не е сертификат. Само акредитиран сертифициращ орган, работещ по ISO/IEC 17021 и в рамките на собствената си акредитация, може да сертифицира ISMS. Оценката е консултантска работа; констатациите ѝ нямат статут пред сертифициращия орган и резултатът не гарантира сертификат. Организация може да премине оценката и пак да не премине Stage 2 по независими констатации на одитора.

Не е вътрешен одит. Стандартът изисква вътрешни одити и преглед от ръководството като част от функционирането на ISMS. Те са задължения вътре в системата и се изпълняват по-късно; оценката е работата, която ви подготвя за тях.

Не е тест за сигурност. Извадка от конфигурацията е част от оценката, но тестът за проникване и пълният технически одит са отделни ангажименти с различен обхват и дълбочина.

Не е правно становище. ISO 27001 и законодателството за защита на данните се припокриват, но са различни инструменти. Оценката и докладът не заменят съвет от квалифициран юрист или консултант по защита на данните.

Не е обещание за сертифициране. Доставчик, който намеква за гарантиран сертификат, посочва процент на успех или предполага връзка със сертифициращ орган, който взема независимо решение, е предупредителен знак. Независимостта е част от услугата.

Подготовка за сертификационен одит

Истинската стойност на оценката се вижда в последващия сертификационен проект:

Stage 1 проверява документацията и обхвата: декларация за обхвата на ISMS, оценка и третиране на риска, политики, Statement of Applicability, записи от вътрешен одит и преглед от ръководството. Повечето констатации на Stage 1 са липсващи или остарели документи — точно това произвеждат прегледът на документите и проектът на SoA.

Stage 2 проверява внедряването и практиката: дали контролите работят според документите, чрез извадки в целия обхват. Интервютата и техническите проверки репетират този процес; екип, който вече е отговарял за прегледите на достъпа и инцидентите, влиза по-спокойно в одита.

Наблюдението и повторяемостта следват сертифицирането. Пътната карта трябва да изгради работеща система, не набор документи: периодични прегледи на достъпа, записани инциденти, регистрирано обучение, резервни копия, които се възстановяват и тестват. ISMS, създадена само за един одит, се разпада при първия надзорен одит.

Практическите въпроси, които оценката обикновено показва, са: кой вътрешно притежава всяка контролна област, дали прегледът от ръководството е реална среща или само подпис, независими ли са вътрешните одитори от работата, която проверяват, и как се пазят записите между одитите. За първа такава инициатива инфраструктурните въпроси — логове, управление на достъпа и резервни копия — са разгледани на страницата за дигитална инфраструктура, а задълженията към доставчици и при обработка на данни — на страницата за IT аутсорсинг.

Често срещани пропуски

При малки и средни компании често се повтарят следните констатации:

Инвентар на активите. Няма актуален списък на системи, устройства и данни със собственици. Почти всеки друг контрол зависи от това да знаете какво съществува, затова това обикновено е първата задача в пътната карта.

Метод за оценка на риска. Липсва или е взет от шаблон без организационна обосновка. Одиторът пита как рисковете са открити и третирани, а „консултантът го написа“ не е устойчив отговор.

Управление на доставчици. Няма регистър кои доставчици имат достъп до фирмени данни, няма изисквания за сигурност в договорите и няма цикъл за преглед. При работа с партньори за разработка това директно се свързва с договорните въпроси на страницата за IT аутсорсинг.

Прегледи на достъпа. Акаунти се дават при назначаване и не се преглеждат; напуснали служители остават в списъка; администраторски права се запазват от хора, сменили ролята. Преглед на хартия без записи е половин констатация.

Обработка на инциденти. Няма определен процес, списък за контакт или записи за вече случили се инциденти. Забравените инциденти са тези, които се превръщат в констатации при одита.

Обучение за осведоменост. Една презентация при постъпване вместо повтаряща се програма със записи. Стандартът пита дали хората познават задълженията си; датиран списък на присъствалите дава доказателство.

Тестване на резервни копия. Копията са настроени, но никога не са възстановявани. Възстановяване, което не е правено, е непроверен контрол; техническата проверка търси доказателство за възстановяване, не снимка на графика.

Как да изберете доставчик?

Три въпроса отличават строгата оценка от скъпия преглед:

Независимост. Оценителят не трябва да има интерес в сертификационното решение. Оценителите не сертифицират, сертифициращите органи го правят; доставчик, който обещава и двете, описва конфликт. Независимостта включва и липса на продукт за последваща продажба: оценка, препоръчваща платформата на самия доставчик, е търговски документ с прикрепени констатации.

Метод. Поискайте метода преди предложението: как се договаря обхватът, как се оценяват констатациите, какви доказателства са нужни за всяка контролна област и какви резултати получавате. Предварително записаният метод прави констатациите защитими пред сертификационния одитор.

Примерен доклад. Това е най-добрият тест. Редактиран регистър на пропуските и доклад показват какво реално ще получите: свързани ли са констатациите с клаузи и доказателства, обоснована ли е тежестта и пътна карта ли е предложена, или списък с желания.

За компании в Türkiye има още 2 практични въпроса: работи ли оценителят със стандарти и сертифициращи органи, познати на клиентите в целевия пазар, и какъв ще бъде работният език за интервюта и документи? Констатациите трябва да могат да се използват от екипите, които ще ги коригират. Контролният списък за RFP дава общ метод за оценка на такава покупка, а страницата за IT одит и консултации разглежда по-широкия контекст.

Често задавани въпроси

Колко време отнема оценката на пропуските?

Зависи от обхвата, а всеки срок преди уточняване на обхвата е предположение. Определящи са размерът на обхвата — брой обекти, системи и процеси — състоянието на документацията и броят хора за интервюиране. Обхват от един отдел с налични политики е различна услуга от многообектен обхват, започващ от нулата. Честният отговор идва след разговор за обхвата и трябва да бъде записан.

Нужно ли ни е ISO 27001, за да продаваме?

Обикновено това е клиентско изискване, а не законово: търгове, големи клиенти и регулирани купувачи все по-често искат сертификат, особено при софтуер и услуги. Проверете собствената си pipeline: ако 2 сериозни потенциални клиенти са попитали, бизнес аргументът съществува; ако никой не е питал, аргументът е намаляване на риска. Стандартът не изисква цялата организация да бъде сертифицирана, така че ограничен обхват може първо да обслужи клиентската част на бизнеса.

Какво е Statement of Applicability?

Документът, който изброява всеки контрол Annex A, посочва дали е приложим за обхвата и защо и описва как е внедрен. Стандартът го изисква, а сертифициращият орган го преглежда. Това е и най-ефективният артефакт за ранна подготовка, защото налага решенията за контролите да се запишат веднъж, а не под натиск в одита. Проектът на SoA е един от четирите резултата на оценката.

Как се оценяват пропуските?

По тежест и приоритет, като тежестта е свързана с риска за организацията, а не с мястото на контрола в стандарта. Полезната оценка обяснява какво може да се случи, кой или какво е изложено и какво е необходимо за затваряне на пропуска. Само „висок/среден/нисък“ без причина води до спорове; писмената обосновка води до пътна карта, която хората следват.

Може ли оценката на пропуските да замени одита?

Не. Вътрешният одит и прегледът от ръководството са задължения в ISMS, а сертификационният одит се извършва от акредитиран сертифициращ орган. Оценката предхожда и подпомага и двете, но няма статут на одит. Това е смисълът на уточнението „не е сертификат“; всеки доставчик, който ги смесва, трябва да обясни позицията си писмено.

Има частично припокриване, но това не са едни и същи неща. ISO 27001 е стандарт за система за управление на информационната сигурност и засяга защитата на личните данни там, където контролите за сигурност ги защитават. KVKK и GDPR поставят правни задължения — законово основание, права на субектите, уведомяване при нарушение и правила за трансфер — които ISMS може да подпомогне, но не изпълнява сама. Много фирми управляват двете програми с общи артефакти, а правните въпроси остават за квалифициран съветник. Задълженията към доставчици и хостингът са разгледани на страницата за IT аутсорсинг.

Източници и стандарти

Самият стандарт е ISO/IEC 27001, публикуван от ISO (https://www.iso.org). Оценяваните изисквания са клаузи 4–10 и наборът контроли Annex A, който във версията от 2022 г. съдържа 93 референтни контрола. Сертифицирането се извършва от акредитирани органи по ISO/IEC 17021; тази страница не прави никакво твърдение за сертифициране.
Процесът, резултатите и твърденията за често срещани пропуски следват практиката при оценки на пропуски: обхват, преглед на документи, интервюта, техническо вземане на извадки, регистър с оценка на тежестта, пътна карта и проект на Statement of Applicability. Не са посочени срокове, разходи или проценти на успех.
Твърденията за сертификационния процес — Stage 1 за документация, Stage 2 за внедряване и надзор — следват публикуваната рамка. Потвърдете актуалните правила с избрания сертифициращ орган.
Никъде не се твърди, че WorldwideTradeX е сертифициран или акредитиран по ISO 27001, нито се гарантира сертифициране. Задълженията за защита на данните са назовани, а не тълкувани; потвърдете приложимия режим с квалифициран съветник.

Свързани страници

IT одит и консултации · Дигитална инфраструктура · IT аутсорсинг от Турция · Контролен списък за RFP · Поискайте оферта