ISO 27001 жетишпегендиктерди баалоо: баскычтар

ISO 27001 жетишпегендик баалоосу азыркы контролдоруңузду жана документтериңизди стандарттын пункттары жана A тиркемесинин контроль тобу менен салыштырат, андан кийин приоритеттүү оңдоо планын берет. Ал компанияны сертификат аудитине даярдайт, бирок өзү сертификат эмес жана эч кандай баалоо анын ээрчийин убада кыла албайт.

ISO 27001 жетишпегендик баалоосу эмне?

ISO/IEC 27001 — бул маалымат коопсуздугун башкаруу системасы (ISMS) үчүн эл аралык стандарт: документтелген, тобокелдикке негизделген саясат, процесс жана контроль тобу, бир жолу орнотулуп эмес, кармалган жана жакшырган. Сертификат аккредиттелген сертификаттоо органы өзүнүн аудиттеринен кийин берилет; стандарттын өзү ISOдон сатылып алынат, жана анын талаптары — ар бир баалоонун өлчөө түзүмү.

Жетишпегендик баалоосу бир суроого адилет жооп берет: уюм бүгүнкү күндө ошол талаптарга канча жакын? Ал бар болгонду сактайт — документтерди, чыныгы практиканы, техникалык конфигурацияны — жана айырмаларды стандарттын пункттары боюнча табылга катары каттайдт (4-10-пункттар башкаруу системасынын талаптарын алып жүрөт), ошондой эле A тиркемесинин контроль тобу боюнча, 2022 версиясында темалар боюнча топтолгон 93 референстик контроль камтылган.

Кийинки чатаарлыкты азайткан үч тактоо:

Бул — даярдык иши, аудит эмес. Аккредитация жок, сертификаттоо чечими жок, сертификаттоо органынын нөмөрлөөсү менен расмий ылайыксыздык жок. Ал чыгарганы — иштеген план.

Чөйрө тандалат, милдеттендирилбейт. ISO 27001 бүткүл уюмду сертификаттоону талап кылбайт: чөйрө ишкерлик бөлүмү, жай, продукт линиясы же системалар тобу болушу мүмкүн, чек ара аныкталган жана негизделген болсо. Көп компаниялар алды менен тар чөйрөдөн баштайт — бул баалоонун чыгымын жана сертификаттын чыгымын экиге бөлөт жана бирөө документ текшергенге чейин чечиле турган чечим.

Далилге кара адилет. Бир нерсени айткан документ жана башка нерсени кылган практика айтылгандай катталат, анткени сертификат аудитору ошол эле айырманы кийин, начарыраак учурда табат.

Баалоо процесси

Төмөндөгү алты баскыч — иштеген баалоонун көрүнүшү. Жыйынтык колонкасы — таблицанын чекити: ар бир баскыч сактай турган артефакт чыгарышы керек, таасир эмес:

Таблица A: баскыч | эмне болот | жыйынтык

Баскыч	Эмне болот	Жыйынтык
Чөйрө аныктоо	ISMS чек арасын макулдашуу: кайсы жайлар, бөлүмдөр, системалар жана маалыматтар кирет жана эмне үчүн; кызыкдар тараптарды жана алардын талаптарын аныктоо	Негизделүү менен чөйрө билдирүүсү, 1-баскыч аудитинде кайра колдонууга даяр
Документ текшерүүсү	Азыркы саясаттарды, жол-жоболорду жана жазууларды 4–10-пункттар жана A тиркемесине карата окуу; документтер чындыгын же каалоону сүрөттөйт-сүрөттөбөй тургандыгын текшерүү	Ар бир элементке абалы бар документтер тизмеси: бар / жарым / жок, көрүлгөн далил менен
Маектешүүлөр	Процессстерди иштеткен адамдар менен сүйлөшүү — IT, HR, операциялар, каржы, башкаруу — жана жоопторду ролдор боюнча салыштыруу; эки бөлүмдүн ортосундагы карама-каршылыктар да табылга	Ар бир процесс үчүн маектешүү жазмалары, практика-документ айырмалары катталган
Техникалык текшерүүлөр	Чыныгы конфигурацияны үлгүлөө: кирүү тизмелери, журналдоо, резерв тапшырмалары жана калыбына келтирүү далилдери, жаңыртуу абалы, физикалык кирүү — үлгүлөнөт, сыноо эмес	Ар бир контроль аймагы үчүн текшерүү жыйынтыктары, үлгүлөр жана даталар менен, натыйжа кайра текшерилиши үчүн
Баалоо	Ар бир табылганы оордук жана күч-аракет боюнча баллдоо; оордук A тиркемесиндеги контрольдүн ордунан эмес, уюмга болгон тобокелдикти жолдойт	Жетишпегендиктер реестри: пункт же контроль, азыркы абал, табылга, оордук, сунушталган ээ
Отчёт жана жол картасы	Табылгаларды отчётко топтоо жана ишти тартипке келтирүү: тез жыйынтыктар, түзүлүштүк элементтер жана 1-баскыч аудитинен мурун болушу керек болгон документтер	Жетишпегендиктерди талдоо отчётту, приоритеттери бар оңдоо жол картасы, Ишенимдүүлүк Сөздүгүнүн (SoA) долбоору

Ыкма жөнүндө эскертүү: стандарт жетишпегендик баалоосу кантип жүргүзүлөрүн талап кылбайт, ошондуктан жеткирүүчүлөр айырмаланат. Пайдалууну кымбаттан айырмалаган — далил тартиби, сертификат аудитору кайра текшере ала турган нерсеге байланышкан табылгалар — жана андан кийинки реестр. Коопсуздук ишинин айланасындагы башкаруу жана аудит суроолору IT аудит жана кеңеш берүү барагында, ал эми ISMS артындагы инфраструктураны коргоонун кеңири контексти санариптик инфраструктура барагында.

Жыйынтыктар

Төрт артефакт олуттуу баалоону аныктайт. Сунуш төртөөнүн атын атабаса, эмне үчүн деп сураңыз:

Жетишпегендиктерди талдоо отчётту. Нарратив: текшерилген чөйрө, ыкма, пункт жана контроль аймагы боюнча табылгалар жана башкы директор он мүнөттө окуй турган жетекчи баяны. Отчёт айырмаларды түшүндүрөт; ал жөн гана тизмелебейт.

Жетишпегендиктер реестри. Иштеген маалымат базасы: ар бир табылга өзүнүн пункты же A тиркемеси референсы, азыркы абалы, оордугу жана приоритети менен. Реестр — андан кийин проект иштеген нерсе; ал отчётту кеңештен ээлери бар биринчи ордогго айлантат.

Оңдоо жол картасы. Табылгалар планга тартиптөөлөнөт: 1-баскыч аудитинен мурун эмне болушу керек, ISMSнин биринчи айларына эмне кирет жана эмне күтө алат. Тартип көз карандылыктарды сактайт — кирүү тизмелери болгонго чейин кирүүнү чейрек сайын текшере албайсыз.

Ишенимдүүлүк Сөздүгүнүн (SoA) долбоору. Ар бир A тиркемесинин контролнүн, ал ылайыктуубу жана эмне үчүн экенин жана кантип ишке ашырыларын тизмеген документ. Баалоо учурунда даярдалган SoA долбоору — сертификаттоо проектиндеги эң чоң убакыт үнөмдөөчү, анткени альтернатива — чексиз барактан мөөнөттүн астында 93 чечим жазуу.

Жыйынтыктар жазма түрүндө келет жана сатып алуучуга таандык. Кол коюуга чейин отчёт үлгүсүн көрсөтпөй турган жеткирүүчү отчёт жөнүндө бир нерсе айтып жатат.

Баалоо эмне эмес

Муну так айтуу кийинки талаштарды азайтат:

Бул сертификат эмес. Гана аккредиттелген сертификаттоо органы, ISO/IEC 17021 менен иштеген жана сертификаттоо органынын өз аккредитациясы менен, ISMSни сертификаттай алат. Баалоо — кеңеш берүү иши; анын табылгаларынын сертификаттоо органында орну жок, жана эч кандай баалоо натыйжасы сертификаттоону кепилдиктебейт — уюм баалоодон өтүп, дагы эле 1-баскыч аудитинен аудитор өзү иштеп чыккан табылгалардан уттушу мүмкүн.

Бул ички аудит эмес. Стандарт ички аудиттерди жана башкаруу текшерүүсүн ISMS иштетүүнүн бир бөлүгү катары талап кылат; алар системанын ичиндеги милдеттер, кийин аткарылат, ал эми баалоо — алар боло ала турган чекитке алып келген иш.

Бул коопсуздук сыноосу эмес. Конфигурацияны үлгүлөө — анын бир бөлүгү; сыноо тестин же толук техникалык аудитти — башка чөйрө жана тереңдиги бар башка иш.

Бул укуктук пикир эмес. ISO 27001 жана маалыматтарды коргоо мыйзамы кесишет, бирок ар башка куралдар — төмөндөгү FAQны көрүңүз — жана эч баалоо, эч отчёт квалификациялуу укук же маалыматтарды коргоо кеңешчисинин кеңешинин ордун баспайт.

Бул сертификаттоо боюнча убада эмес. Кепилденген сертификаттоону билдирген, ийгилик өлчөмүн сунуштаган же көз карандысыз чечим кабыл алуучу сертификаттоо органы менен мамилени сунуштаган каалаган жеткирүүчү — сатуу артыкчылыгы эмес, эскертүү белгиси катары каралышы керек. Көз карандысыздык — бул продукт.

Сертификат аудитине даярдануу

Баалоонун чыныгы баасы анын артынан келген сертификаттоо проектинде көрүнөт. Экөө кантип туташат:

1-баскыч документтерди жана чөйрөнү текшерет: ISMS чөйрө билдирүүсү, тобокелдик баалоосу жана дарылоо, саясаттар, Ишенимдүүлүк Сөздүгү, ички аудит жазуулары жана башкаруу текшерүү жазуулары. 1-баскычтын көп табылгалары — жок же эски документтер, бул так баалоонун документ текшерүүсү жана SoA долбоору чыгарган нерсе.

2-баскыч ишке ашырууну жана практиканы текшерет: контролдор документтелгендей иштейби, чөйрө боюнча үлгүлөнөт. Баалоонун маектешүү жана техникалык текшерүү иши булун репетициялайт — кирүү текшерүүлөрү жана окуяларды дарылоо боюнча мурунтан жооп берген команда аудитте тынч жооп берет.

Сервилдик жана кайталоо сертификаттоодон кийин келет, ошондуктан жол картасы документ тобу эмес, иштеген система курушу керек: кайталанган кирүү текшерүүлөрү, катталган окуялар, журналга жазылган окутуулар, калыбына келтирилген жана сыналган резервдер. Бир аудиттен өтүү үчүн курулган ISMS биринчи көзөмөл аудитинде кулатылат.

Баалоо адатта чыгарып турган практикалык даярдоо чекиттери: ар бир контроль аймагынын ички ээси ким, башкаруу текшерүүсү чыныгы жыйынбы же кол коюубу, ички аудиторлор текшерип жаткан нерсенин көз карандысызбы жана аудиттердин ортосунда жазуулар кантип кармалат. Муну биринчи жолу кылган компания үчүн айланадагы IT суроолору — журналдоо, кирүүнү башкаруу, резерв тартиби — санариптик инфраструктура барагында, ал эми жеткирүүчү жана маалыматтарды колдоо милдеттери IT аутсорсинг барагында каралат.

Кеңири кездешүүчү жетишпегендиктер

Кичине жана орто компанияларда кайталанган табылгалар, канча жолу чыга турганынча жакындаган болжолдуу тартипте:

Мүлк тизмеси. Ээлери бар системалар, түзмөктөр жана маалыматтардын азыркы тизмеси жок. Көпчүлүк контрольдүн баары эмне бар экенин билүүгө көз каранды, ошондуктан бул адатта жол картасынын биринчи элементи.

Тобокелдик баалоо ыкмасы. Жок, же уюмдук негизсиз шаблондон мураска алынган; сертификат аудитору тобокелдиктер кантип аныкталганын жана дарыланганын сурайт, жана "кеңешчи жазган" — чыдабай турган жооп эмес.

Жеткирүүчүлөрдү башкаруу. Кайсы жеткирүүчүлөр компаниялык маалыматка тийет деген реестр жок, жеткирүүчү келишимдеринде коопсуздук талаптары жок, текшерүү цикли жок. өнүктүрүү өнөктөштөрү менен иштеген компаниялар үчүн бул жетишпегендик түз эле IT аутсорсинг барагында каралган келишим суроолорунун үстүндө турат.

Кирүү текшерүүлөрү. Киргизилгенде берилген жана эч качан текшерилбеген аккаунттар; кирүү тизмесинен табылган кеткендер; ролунан кеткен адамдарда турган администратор укуктары. Кагазда бар, бирок жазуусу жок текшерүүлөр — табылганын жарымы.

Окуяларды дарылоо. Аныкталган процесс жок, байланыш тизмеси жок, болгон окуялардын каттоосу жок. Компания унуткан окуялар — аудитте табылга айланган ошолор.

Кабардуулук окутуусу. Жазуулары бар кайталануучу программанын ордуна бир жолку кирүү слайды. Стандарт адамдар милдеттеринен кабардарбы-кабардар эмесби деп сурайт; датасы бар катышуу тизмеси ошол сурого жооп берет.

Резервди сыноо. Резервдер конфигурацияланган, эч качан калыбына келтирилген эмес. Эч качан аракет кылынбаган калыбына келтирүү — сыналбаган контрол, жана баалоонун техникалык текшерүүсү адатта графиктин скриншотунан көрө калыбына келтирүү далилин сурайт.

Жеткирүүчүнү кантип тандайсыз

Тыкан баалоону кымбат текшерүүдөн айырмалаган үч суроо:

Көз карандысыздык. Баалоочунун сертификаттоо чечиминде кызыгы жок болушу керек — баалоочулар сертификаттабайт, сертификаттоо органы сертификаттайт, жана экөөнү убада кылган жеткирүүчү кызмат эмес, карама-каршылыкты сүрөттөп жатат. Көз карандысыздык ошондой эле баалоочунун андан кийин сатыла турган продуктунун жоктугун камтыйт: платформаңызды сунуштаган баалоо — табылгалар тиркелген сатуу документи.

Ыкма. Сунуштан мурун ыкманы сураңыз: чөйрө кантип макулдашылат, табылгалар кантип баллданат, ар бир контроль аймагы үчүн кандай далил талап кылынат жана кандай жыйынтыктар келет. Алдын ала жазылган ыкма — табылгаларды кийин сертификат аудитордун алдында коргоо болуп калган нерсе.

Отчёт үлгүсү. Эң мыкты жалгыз текшерүү. Жабылган жетишпегендиктер реестри жана отчёт так эмне алаарыңызды көрсөтөт: табылгалар далил менен пункттарга байланышкан-байланышпаганы, оордуктар негизленген-негизленбегени жана жол картасы тартиппи же каалоо тизмесиби.

Түркиядагы компаниялар үчүн эки практикалык кошумча: баалоочу багыттагы кардарларыңызга таанылган стандарттар жана сертификаттоо органдары менен иштейби-иштебейтин ырастоңуз, анткени кардар талаптары адатта так схемаларды атайт; жана маектешүүлөр жана документтер үчүн иш тилин ырастоңуз, анткени табылгалар аларды түзө турган командалар үчүн колдонулууга тийиш. Жеткирүүчү RFP текшерүү тизмеси мындай сатып алууну баалоонун жалпы ыкмасын берет, ал эми IT аудит жана кеңеш берүү барагы кеңири кеңеш берүү контекстин камтыйт.

Көп берилүүчү суроолор

Жетишпегендик баалоосу канча убакыт алат?

Чөйргө жараша, жана чөйрө аныкталганга чейин мөөнөт сунуштаган адам божомолдоп жатат. Себептери — чөйрөнүн көлөмү (чек арадагы жайлар, системалар жана процесстердин саны), документтердин абалы жана канча адам менен маектешүү керек экени. Азыркы саясаттары бар бир бөлүм чөйрөсү нөлдөн баштаган көп жайлуу чөйрөдөн айырмалуу иш; адилет жооп чөйрө сүйлөшүүсүнөн кийин, жазма түрүндө келет.

Сатуу үчүн ISO 27001 керекпи?

Адатта бул мыйзам эмес, кардар талабы: тендерлер, чоң эсептер жана жөнгө салынган сатып алуучулар сертификаттоону атайылап талап кылат, айрыкча программалык камсыздоо жана кызматтарда. Практикалык жооп — өзүңүздүн агымыңызды текшерүү: эки олуттуу ыктымал кардар сураган болсо, бизнес негизи бар; эч ким сурамаса, негиз кирешеден эмес, тобокелдик азайтуудан турат. Стандарт бүткүл уюмду сертификаттоону талап кылбайт, ошондуктан чөйрөлүү сертификат биринчи кардарларга тийиштүү бөлүмгө кызмат кыла алат.

Ишенимдүүлүк Сөздүгү эмне?

Ар бир A тиркемесинин контролнүн, ал чөйрөңүзгө ылайыкпы-ылайык эмес экенин жана эмне үчүн айтып, кантип ишке ашырыларын тизмеген документ. Ал стандарт тарабынан талап кылынат жана сертификаттоо органы тарабынан текшерилет; ал ошондой эле эрте даярдоого эң натыйжалуу артефакт, анткени ал контроль чечимдерин аудит басымынын астында эмес, бир жолу жазма түрүнө келтирет. SoA долбоору — жогорудагы төрт баалоо жыйынтыгынын бири.

Жетишпегендиктер кантип баллданат?

Оордук жана приоритет боюнча, оордук контрольдүн стандарттагы ордунан эмес, уюмга болгон тобокелдикке байланышкан. Колдонулууга жарай турган балл өзүн түшүндүрөт: жетишпегендик калса эмне болушу мүмкүн, ким же эмне ачыкта турат жана аны жабуу эмнени талап кылат. Негизсиз жогору/орто/төмөн рангы гана берген баллдар кийинки талаштарды чыгарат; жазма негизи бар баллдар адамдар жолдой турган жол картасын чыгарат.

Жетишпегендик баалоосу аудиттин ордун басабы?

Жок. Ички аудит жана башкаруу текшерүүсү ISMSнин ичиндеги милдеттер, ал эми сертификат аудити аккредиттелген сертификаттоо органына таандык. Жетишпегендик баалоосу экөөнүн алдынан келет жана экөөнө жардам берет, бирок аудит орнуна ээ эмес — бул жогорудагы "сертификат эмес" сабы, жана аны бүдөмүлөштүргөн каалаган жеткирүүчүдөн жазма түрүндө тактоону сурап койгон оң.

Ал KVKKны же GDPRди камтыйбы?

Жарымы кесишет, бирдей эмес. ISO 27001 — маалымат коопсуздугу үчүн башкаруу системасынын стандарты жана коопсуздук контролдору жеке маалыматты коргогон жердин өзүндө гана маалыматтарды коргоого тийет; KVKK жана GDPR укуктук милдеттерди коют — укуктуу негиз, маалымат субъектинин укуктары, бузуу жөнүндө билдирүү, которуу эрежелери — аларды ISMS колдоо мүмкүн, бирок өзү толук аткара албайт. Көп компаниялар эки программаны орточо артефакттар менен иштетет, ал эми укуктук суроолор квалификациялуу кеңешчиде калат; жеткирүүчүлөр жана хостинг айланасындагы KVKK/GDPR милдеттери IT аутсорсинг барагында каралат.

Булактар жана стандарттар

Стандарттын өзү — ISO/IEC 27001, ISO тарабынан жарыяланган (https://www.iso.org); бааланган талаптар — 4–10-пункттар жана A тиркемесинин контроль тобу, 2022 версиясында 93 референстик контроль камтылган. Сертификаттоо ISO/IEC 17021 менен иштеген аккредиттелген сертификаттоо органдары тарабынан аткарылат; бул баракча эч кандай сертификаттоо дооматын кылбайт.
Процесс, жыйынтыктар жана кеңири кездешүүчү жетишпегендик билдирүүлөрү жалпы жетишпегендик баалоолору үчүн адистердин практикасын жолдойт (чөйрө аныктоо, документ текшерүүсү, маектешүүлөр, техникалык үлгүлөө, оордук баллдуу жетишпегендиктер реестри, оңдоо жол картасы, Ишенимдүүлүк Сөздүгүнүн долбоору); бул баракчада эч кандай мөөнөт, чыгым же ийгилик өлчөмү жок.
Сертификаттоо процесси билдирүүлөрү (1-баскыч документ аудити, 2-баскыч ишке ашыруу аудити, көзөмөл) стандарттын жарыяланган сертификаттоо түзүмүн жолдойт; азыркы эрежелери тандаган сертификаттоо органы менен ырастоңуз.
WorldwideTradeX ISO 27001 боюнча сертификатталган же аккредиттелген деген доомат жана сертификаттоо кепилдиги бул баракчада эч жерде жок; маалыматтарды коргоо милдеттери аталат, түшүндүрүлбөт — тиешелүү режимди квалификациялуу кеңешчи менен ырастоңуз.

Байланышкан баракчалар

IT аудит жана кеңеш берүү · Санариптик инфраструктура · Түркиядан IT аутсорсинг · Жеткирүүчү RFP текшерүү тизмеси · Баа суроо