ISO 27001 сәйкессіздіктерін бағалау: кезеңдер мен нәтижелер

ISO 27001 бойынша сәйкессіздіктерді бағалау қолданыстағы бақылаулар мен құжаттарды стандарттың тармақтарымен және Annex A бақылаулар жиынтығымен салыстырып, басымдықтары белгіленген түзету жоспарын ұсынады. Ол компанияны сертификаттау аудитіне дайындайды, бірақ өзі сертификат емес және ешбір бағалау сертификат берілуіне кепілдік бере алмайды.

ISO 27001 бойынша сәйкессіздіктерді бағалау дегеніміз не?

ISO/IEC 27001 — ақпараттық қауіпсіздікті басқару жүйесіне (ISMS) арналған халықаралық стандарт: бұл бір рет орнатып қоятын емес, құжатталған, тәуекелге негізделген әрі тұрақты жетілдірілетін саясаттар, процестер мен бақылаулар жиынтығы. Сертификатты аккредиттелген сертификаттау органы өзінің аудиттерінен кейін береді; стандарттың өзін ISO-дан сатып алады, ал кез келген бағалау оның талаптарына сәйкестікті өлшейді.

Сәйкессіздіктерді бағалау бір сұраққа шынайы жауап береді: ұйым бүгін осы талаптарға қаншалықты жақын? Бағалау бар нәрсені — құжаттарды, нақты тәжірибені және техникалық конфигурацияны — қарап, айырмашылықтарды стандарт тармақтары бойынша (4-тен 10-ға дейінгі тармақтарда басқару жүйесіне қойылатын талаптар берілген) және Annex A бақылаулар жиынтығы бойынша тіркейді. 2022 жылғы нұсқада тақырыптар бойынша топтастырылған 93 анықтамалық бақылау бар.

Кейін түсінбеушілік болмас үшін үш жайтты нақтылайық:

Бұл аудит емес, дайындық жұмысы. Аккредиттеу жоқ, сертификаттау туралы шешім жоқ және сертификаттау органының нөмірлеуі бойынша ресми сәйкессіздік анықталмайды. Нәтижесі — іске асыруға арналған жұмыс жоспары.

Қолданылу аясын ұйым өзі белгілейді. ISO 27001 бүкіл ұйымды сертификаттауды талап етпейді: шекарасы анық әрі негізделген жағдайда қолданылу аясына бизнес бөлімшесі, орналасқан жер, өнім желісі немесе жүйелер жиынтығы кіре алады. Көп компания алдымен ауқымды тар белгілейді. Бұл бағалау мен сертификаттау шығынын екі есе азайтуы мүмкін, сондықтан бір құжат қаралмай тұрып шешіп алған жөн.

Дәлелдер шынайы көрсетіледі. Құжатта бір нәрсе жазылып, іс жүзінде басқа нәрсе орындалса, айырмашылық сол күйінде тіркеледі. Сертификаттау аудиторы оны кейін бәрібір, бірақ одан қолайсыз сәтте табады.

Бағалау процесі

Төмендегі алты қадам — іс жүзіндегі бағалаудың үлгісі. Кестенің негізгі мәні — әр қадам әсер не болжам емес, сақтап қоятын нақты нәтиже беруі керек:

А кестесі: қадам | не істеледі | нәтиже

Қадам	Не істеледі	Нәтиже
Қолданылу аясын белгілеу	ISMS шекарасын келісу: қандай орындар, бөлімдер, жүйелер мен деректер қамтылады және не себепті; мүдделі тараптар мен олардың талаптарын анықтау	Негіздемесі бар, 1-кезең аудитінде қайта пайдалануға дайын қолданылу аясының мәлімдемесі
Құжаттарды қарау	Қолданыстағы саясаттарды, рәсімдер мен жазбаларды 4–10-тармақтармен және Annex A-мен салыстыру; құжаттар шындықты ма, әлде көзделген жағдайды ма сипаттайтынын тексеру	Әр құжаттың мәртебесі көрсетілген тізім: бар / ішінара / жоқ, қаралған дәлелдермен бірге
Сұхбаттар	Процестерді жүргізетін IT, HR, операциялар, қаржы және басқару қызметкерлерімен сөйлесіп, жауаптарды рөлдер арасында салыстыру; екі бөлім арасындағы қайшылық та анықталған олқылық болып саналады	Әр процесс бойынша сұхбат жазбалары; тәжірибе мен құжат арасындағы айырмашылықтар тіркеледі
Техникалық тексерулер	Нақты конфигурациядан үлгілерді тексеру: қолжетімділік тізімдері, журнал жүргізу, резервтік көшіру тапсырмалары мен қалпына келтіру дәлелдері, жаңарту күйі, физикалық қолжетімділік. Бұл — үлгілік тексеру, ену сынағы емес	Әр бақылау саласы бойынша нәтижелер, үлгілер мен күндері көрсетіліп, тексеруді қайталауға мүмкіндік береді
Бағалау	Әр олқылықты ауырлығы мен түзетуге кететін күш бойынша бағалау; ауырлық Annex A-дағы бақылау орнына емес, ұйым үшін тәуекелге негізделеді	Олқылықтар тізілімі: тармақ не бақылау, ағымдағы күй, анықталған мәселе, ауырлық, ұсынылатын жауапты тұлға
Есеп пен жол картасы	Анықталған олқылықтарды есепке жинақтап, жұмысты ретімен жоспарлау: жылдам нәтижелер, құрылымдық өзгерістер және 1-кезең аудитіне дейін дайын болуы тиіс құжаттар	Сәйкессіздіктерді талдау есебі, басымдықтары бар түзету жол картасы, Қолданылу туралы мәлімдеменің жобасы

Әдіске қатысты ескерту: стандарт сәйкессіздіктерді бағалаудың қалай жүргізілетінін белгілемейді, сондықтан қызмет көрсетушілердің тәсілдері әртүрлі. Пайдалы бағалауды қымбат шолудан айыратын нәрсе — дәлелдерге ұқыпты қарау, яғни сертификаттау аудиторы қайта тексере алатын негізге байланған тұжырымдар, әрі одан кейін жүргізілетін тізілім. Қауіпсіздік жұмысына қатысты басқару мен аудит мәселелері IT аудиті және консалтинг бетінде, ал ISMS негізіндегі инфрақұрылымды қорғаудың кеңірек мәнмәтіні цифрлық инфрақұрылым бетінде қарастырылған.

Нәтижелер

Сапалы бағалаудың төрт негізгі құжаты бар. Ұсыныста осы төртеуі аталмаса, себебін сұраңыз:

Сәйкессіздіктерді талдау есебі. Қаралған қолданылу аясы, әдіс, тармақтар мен бақылау салалары бойынша анықталған мәселелер және басқарушы директор он минутта оқи алатын қысқаша түйін. Есеп айырмашылықтарды түсіндіреді, жай ғана тізіп қоймайды.

Олқылықтар тізілімі. Әр анықталған мәселенің тармаққа не Annex A-ға сілтемесі, ағымдағы күйі, ауырлығы мен басымдығы көрсетілетін жұмыс дерекқоры. Жобаның келесі жұмысы осы тізілімге сүйенеді: ол есептегі ұсыныстарды жауаптылары бар тапсырмалар тізіміне айналдырады.

Түзету жол картасы. Мәселелер жоспарға ретімен енгізіледі: 1-кезең аудитіне дейін не дайын болуы керек, ISMS-тің алғашқы айларында не орындалуы тиіс және нені кейінге қалдыруға болады. Рет тәуелділіктерді ескереді: қолжетімділік тізімдері болмаса, қолжетімділікті тоқсан сайын тексеру мүмкін емес.

Қолданылу туралы мәлімдеменің жобасы (SoA). Әр Annex A бақылауының қолданылатынын не қолданылмайтынын, себебін және қалай іске асырылғанын көрсететін құжат. Бағалау барысында дайындалған SoA жобасы сертификаттау жобасында ең көп уақыт үнемдейді: баламасы — белгіленген мерзімге үлгеру үшін 93 шешімді бос парақтан жазу.

Нәтижелер жазбаша түрде беріледі және тапсырыс берушіге тиесілі. Қол қоймас бұрын есеп үлгісін көрсетуден бас тартатын қызмет көрсетуші есептің өзі туралы бір нәрсе аңғартады.

Бағалау нені білдірмейді?

Мұны нақтылау кейінгі даулардың алдын алады:

Бұл сертификат емес. ISMS-ті тек аккредиттелген сертификаттау органы ISO/IEC 17021 және өзінің аккредиттеу талаптарына сай сертификаттай алады. Бағалау — кеңес беру жұмысы; оның нәтижелері сертификаттау органы үшін ресми күшке ие емес және сертификаттауға кепілдік бермейді. Ұйым бағалаудан өтіп, аудитор тәуелсіз анықтаған мәселелерге байланысты 2-кезең аудитінен өте алмауы мүмкін.

Бұл ішкі аудит емес. Стандарт ISMS жұмысының бөлігі ретінде ішкі аудиттер мен басшылық тарапынан талдауды талап етеді. Бұлар кейін жүйенің ішінде орындалатын міндеттер, ал бағалау соларды іске асыруға жеткізетін жұмыс.

Бұл қауіпсіздік сынағы емес. Конфигурациядан үлгі алу бағалауға кіреді, бірақ ену сынағы немесе толық техникалық аудит — қолданылу аясы мен тереңдігі бөлек тапсырыс.

Бұл заңгерлік қорытынды емес. ISO 27001 мен деректерді қорғау туралы заңнаманың ортақ тұстары болғанымен, олар бөлек құралдар. Төмендегі жиі қойылатын сұрақтарды қараңыз. Бағалау да, оның есебі де білікті заңгердің немесе деректерді қорғау жөніндегі кеңесшінің кеңесін алмастырмайды.

Бұл сертификаттау туралы уәде емес. Сертификаттауға кепілдік беретінін, табыс деңгейін атайтынын немесе тәуелсіз шешім қабылдайтын сертификаттау органымен байланысы барын меңзейтін қызмет көрсетушіні артықшылық ретінде емес, ескерту белгісі ретінде қарастыру керек. Тәуелсіздік — қызметтің негізі.

Сертификаттау аудитіне дайындық

Бағалаудың нақты құны одан кейінгі сертификаттау жобасында көрінеді. Екеуінің байланысы мынадай:

1-кезең құжаттама мен қолданылу аясын тексереді: ISMS қолданылу аясының мәлімдемесі, тәуекелді бағалау және өңдеу, саясаттар, Қолданылу туралы мәлімдеме, ішкі аудит жазбалары және басшылық талдауының жазбалары. 1-кезеңдегі олқылықтардың көбі — жоқ немесе ескірген құжаттар; бағалаудағы құжаттарды қарау мен SoA жобасы дәл осыны анықтап, дайындауға көмектеседі.

2-кезең енгізу мен тәжірибені тексереді: қолданылу аясы бойынша іріктелген бақылаулар құжатталған тәртіппен жұмыс істей ме. Бағалаудағы сұхбат пен техникалық тексерулер осыған дайындық болады: қолжетімділікті тексеру және оқиғаларды өңдеу туралы сұрақтарға алдын ала жауап берген топ аудитте де байсалды жауап береді.

Қадағалау аудиттері мен тұрақты жұмыс сертификаттаудан кейін жалғасады. Сондықтан жол картасы құжаттар жиынтығын емес, жұмыс істейтін жүйені құруы керек: қолжетімділікті тұрақты тексеру, оқиғаларды тіркеу, оқытуды есепке алу, резервтік көшірмелерді қалпына келтіріп сынау. Бір аудиттен өтуге ғана құрылған ISMS алғашқы қадағалау аудитінде-ақ күйрейді.

Бағалау әдетте мына практикалық сұрақтарды ашады: әр бақылау саласына ұйым ішінде кім жауап береді, басшылық талдауы шынайы жиналыс па әлде жай қол қою ма, ішкі аудиторлар өздері тексеретін жұмыстан тәуелсіз бе, жазбалар аудиттер арасында қалай сақталады. Мұны алғаш рет жасап жатқан компания үшін журнал жүргізу, қолжетімділікті басқару және резервтік көшіру тәртібі сияқты IT мәселелері цифрлық инфрақұрылым бетінде, ал жеткізушілер мен деректерді өңдеу міндеттері IT аутсорсингі бетінде қарастырылған.

Жиі кездесетін олқылықтар

Шағын және орта компанияларда жиі кездесетін мәселелер, шамамен жиілігі бойынша:

Активтер тізімі. Жүйелердің, құрылғылар мен деректердің иелері көрсетілген өзекті тізімі жоқ. Басқа бақылаулардың барлығы дерлік нені қорғау керегін білуге тәуелді, сондықтан бұл әдетте жол картасындағы алғашқы тармақ болады.

Тәуекелді бағалау әдісі. Әдіс мүлде жоқ немесе ұйымға тән негіздемесіз үлгіден алынған. Сертификаттау аудиторы тәуекелдердің қалай анықталып, өңделгенін сұрайды; «оны кеңесші жазды» деген жауап жеткіліксіз.

Жеткізушілерді басқару. Компания деректеріне қай жеткізушілер қол жеткізетіні туралы тізілім, келісімдердегі қауіпсіздік талаптары және тұрақты шолу циклі жоқ. Әзірлеу серіктестерімен жұмыс істейтін компанияларда бұл олқылық IT аутсорсингі бетінде қарастырылған шарттық мәселелермен тікелей байланысты.

Қолжетімділікті тексеру. Есептік жазбалар жұмысқа кірген кезде беріледі де, қайта қаралмайды; кеткен қызметкерлер әлі де қолжетімділік тізімінде тұрады; әкімші құқықтары бұрынғы рөл иелерінде қалады. Қағаз жүзінде бар, бірақ жазбасы жоқ тексеру де — жартылай анықталған олқылық.

Оқиғаларды өңдеу. Белгіленген процесс пен байланыс тізімі жоқ, болған оқиғалар тіркелмейді. Компания ұмытып кеткен оқиғалар аудитте анықталған мәселеге айналуы мүмкін.

Хабардарлықты арттыру оқытуы. Тұрақты бағдарлама мен жазбалардың орнына жұмысқа кірген кездегі бір реттік таныстырылым ғана бар. Стандарт адамдар өз міндеттерін біле ме деп сұрайды; күні көрсетілген қатысу тізімі осыған дәлел болады.

Резервтік көшірмені сынау. Көшірмелер жасалады, бірақ ешқашан қалпына келтірілмейді. Қалпына келтіру талпынысы болмаған болса, бақылау сыналмаған болып саналады. Бағалаудағы техникалық тексеру әдетте кестенің скриншотын емес, қалпына келтіру дәлелін сұрайды.

Қызмет көрсетушіні қалай таңдау керек?

Қатаң әрі негізді бағалауды қымбат шолудан үш сұрақ ажыратады:

Тәуелсіздік. Бағалаушының сертификаттау туралы шешімге мүдделілігі болмауы керек: бағалаушылар сертификат бермейді, оны сертификаттау органдары береді. Екеуін де ұсынамыз деген қызмет көрсетуші қызметті емес, мүдделер қақтығысын сипаттап отыр. Тәуелсіздікке кейін сататын өнімі болмауы да кіреді: өз платформасын ұсынатын бағалау — қорытындысы тіркелген сату құжаты.

Әдіс. Ұсынысқа дейін әдісийг нь асу: қолданылу аясы қалай келісіледі, олқылықтар қалай бағаланады, әр бақылау саласына қандай дәлел қажет және қандай нәтижелер беріледі. Алдын ала жазылған әдіс қорытындыларды кейін сертификаттау аудиторы алдында негіздеуге көмектеседі.

Есеп үлгісі. Ең тиімді тексеріс. Жеке деректері жасырылған олқылықтар тізілімі мен есептен нақты не алатыныңыз көрінеді: мәселелер дәлелі бар тармақтарға байланыстырылған ба, ауырлық негізделген бе, жол картасы реттелген жоспар ма әлде тілек тізімі ме.

Түркиядағы компанияларға арналған екі қосымша мәселе: бағалаушының мақсатты нарықтағы клиенттерге таныс стандарттармен және сертификаттау органдарымен жұмыс істейтінін тексеріңіз, себебі тапсырыс беруші талаптарында нақты схемалар аталуы мүмкін; сұхбат пен құжаттардың жұмыс тілін де нақтылаңыз, өйткені қорытындыларды оларды түзететін топтар қолдана алуы керек. Мұндай сатып алуды бағалаудың жалпы әдісі жеткізушіге арналған RFP тексеру тізімінде, ал кеңірек кеңес беру мәнмәтіні IT аудиті және консалтинг бетінде берілген.

Жиі қойылатын сұрақтар

Сәйкессіздіктерді бағалау қанша уақыт алады?

Бұл қолданылу аясына байланысты, ал оны анықтамай тұрып мерзім айтатын кез келген адам болжап отыр. Ұзақтыққа шекарадағы орындар, жүйелер мен процестер саны, құжаттаманың жай-күйі және сұхбаттасатын адамдар саны әсер етеді. Қолданыстағы саясаттары бар бір бөлімді бағалау бірнеше орыннан тұратын, ештеңеден басталатын бағалаудан бөлек жұмыс. Нақты жауап қолданылу аясын талқылағаннан кейін жазбаша берілуі керек.

Сату үшін ISO 27001 қажет пе?

Көбіне бұл заң талабы емес, клиент талабы: әсіресе бағдарламалық жасақтама мен қызмет көрсету саласында тендерлер, ірі клиенттер және реттелетін сатып алушылар сертификаттауды жиі сұрайды. Өз сату мүмкіндіктеріңізді тексеріңіз: екі маңызды әлеуетті клиент сұраса, іскерлік негіз бар; ешқайсысы сұрамаса, негіз табысқа емес, тәуекелді азайтуға сүйенеді. Стандарт бүкіл ұйымды сертификаттауды талап етпейді, сондықтан алдымен клиентпен тікелей жұмыс істейтін бөлімді қамтуға болады.

Қолданылу туралы мәлімдеме деген не?

Бұл құжатта Annex A-ның әр бақылауы тізіліп, оның қолданылу аясына кіретіні не кірмейтіні, себебі және қалай іске асырылғаны көрсетіледі. Стандарт оны талап етеді, сертификаттау органы да қарайды. Оны ерте әзірлеу тиімді, өйткені бақылаулар туралы шешімдерді аудит қысымында емес, алдын ала жазбаша бекітеді. SoA жобасы жоғарыда аталған төрт бағалау нәтижесінің бірі.

Олқылықтарға қалай баға беріледі?

Ауырлығы мен басымдығына қарай; ауырлық стандарттағы бақылаудың орнына емес, ұйым үшін тәуекелге байланысты. Пайдалы баға өз негізін түсіндіреді: олқылық қалса не болуы мүмкін, кімге не нәрсеге қауіп төнеді және оны жабуға не қажет. Себепсіз «жоғары/орташа/төмен» бағалары кейін дау туғызады; жазбаша негіздемесі бар бағалар орындалатын жол картасын қалыптастырады.

Сәйкессіздіктерді бағалау аудитті алмастыра ала ма?

Жоқ. Ішкі аудит пен басшылық талдауы — ISMS ішіндегі міндеттер, ал сертификаттау аудитін аккредиттелген сертификаттау органы жүргізеді. Сәйкессіздіктерді бағалау олардың алдында өткізіліп, екеуіне де көмектеседі, бірақ аудит мәртебесі жоқ. Жоғарыдағы «сертификат емес» деген ескертудің мәні осы; бұлыңғыр сөйлейтін қызмет көрсетушіден жазбаша нақтылауды сұраңыз.

Ішінара қабаттасады, бірақ бірдей емес. ISO 27001 — ақпараттық қауіпсіздікті басқару жүйесінің стандарты және жеке деректерді қорғауды тек қауіпсіздік бақылаулары сол деректерді қорғаған жағдайда қамтиды. KVKK мен GDPR — заңды негіз, дерек субъектілерінің құқықтары, бұзушылық туралы хабарлау және деректерді беру ережелері сияқты заңдық міндеттер. ISMS оларды қолдай алады, бірақ өздігінен орындамайды. Көп компания ортақ құжаттарды пайдаланып, екі бағдарламаны қатар жүргізеді; заңдық мәселелерді білікті кеңесші шешеді. Жеткізушілер мен хостингке қатысты KVKK/GDPR міндеттері IT аутсорсингі бетінде қарастырылған.

Дереккөздер мен стандарттар

Стандарттың өзі — ISO/IE 27001, оны ISO жариялайды (https://www.iso.org); бағаланатын талаптар — 4–10-тармақтар және Annex A бақылаулар жиынтығы, онда 2022 жылғы нұсқа бойынша 93 анықтамалық бақылау бар. Сертификаттауды ISO/IEC 17021 стандарты бойынша жұмыс істейтін аккредиттелген сертификаттау органдары жүргізеді. Бұл бетте сертификаттау туралы ешқандай мәлімдеме жасалмайды.
Процесс, нәтижелер мен жиі кездесетін олқылықтар туралы мәліметтер сәйкессіздіктерді бағалаудағы қалыптасқан тәжірибеге негізделген: қолданылу аясын белгілеу, құжаттарды қарау, сұхбаттар, техникалық үлгілік тексеру, ауырлығы бағаланған олқылықтар тізілімі, түзету жол картасы және Қолданылу туралы мәлімдеменің жобасы. Бұл бетте мерзім, шығын немесе табыс деңгейі көрсетілмейді.
Сертификаттау процесі туралы мәліметтер (1-кезеңдегі құжаттама аудиті, 2-кезеңдегі енгізу аудиті, қадағалау) стандартта жарияланған сертификаттау жүйесіне сай берілген. Қолданыстағы қағидаларды таңдаған сертификаттау органымен тексеріңіз.
Бұл бетте WorldwideTradeX компаниясы ISO 27001 сертификатына не аккредиттеуіне ие деген мәлімдеме жоқ; сертификаттауға кепілдік берілмейді. Деректерді қорғау міндеттері аталғанымен, түсіндірілмейді; қолданылатын режимді білікті кеңесшімен нақтылаңыз.

Қатысты беттер

IT аудиті және консалтинг · Цифрлық инфрақұрылым · Түркиядан IT аутсорсингі · Жеткізушіге арналған RFP тексеру тізімі · Баға сұрату