Vlerësimi i boshllëqeve ISO 27001: hapat dhe rezultatet

Vlerësimi i boshllëqeve ISO 27001 krahason kontrollet dhe dokumentet tuaja aktuale me klauzolat e standardit dhe grupin e kontrolleve të Aneksit A, pastaj jep një plan korrigjimi të renditur sipas përparësisë. Ai e përgatit kompaninë për auditimin e certifikimit, por nuk është vetë certifikatë dhe asnjë vlerësim nuk mund të premtojë se certifikimi do të pasojë.

Çfarë është vlerësimi i boshllëqeve ISO 27001?

ISO/IEC 27001 është standardi ndërkombëtar për një sistem të menaxhimit të sigurisë së informacionit (ISMS): një grup i dokumentuar, i bazuar në rrezik, politikash, procesesh dhe kontrollesh, që mirëmbahet dhe përmirësohet në vend që të instalohet vetëm një herë. Certifikimi lëshohet nga një organ certifikimi i akredituar pas auditimeve të veta; vetë standardi blihet nga ISO dhe kërkesat e tij janë ato kundrejt të cilave matet çdo vlerësim.

Një vlerësim i boshllëqeve i përgjigjet me ndershmëri një pyetjeje: sa larg është organizata sot nga përmbushja e këtyre kërkesave? Ai shqyrton atë që ekziston — dokumentet, praktikën reale, konfigurimin teknik — dhe i regjistron dallimet si gjetje kundrejt klauzolave të standardit (klauzolat 4 deri në 10 përmbajnë kërkesat e sistemit të menaxhimit) dhe kundrejt grupit të kontrolleve të Aneksit A, i cili në versionin e vitit 2022 përmban 93 kontrolle reference të grupuara sipas temës.

Tri sqarime që shmangin keqkuptimet më vonë:

Është ushtrim gatishmërie, jo auditim. Nuk ka akreditim, vendim certifikimi apo jokonformitet formal me numërtimin e një organi certifikimi. Ajo që prodhon është një plan pune.

Fushëveprimi zgjidhet, nuk imponohet. ISO 27001 nuk kërkon certifikimin e të gjithë organizatës: fushëveprimi mund të jetë një njësi biznesi, një vendndodhje, një linjë produkti ose një grup sistemesh, me kusht që kufiri të përcaktohet dhe të arsyetohet. Shumica e kompanive fillojnë me një fushëveprim të ngushtë — një vendim që përgjysmon koston e vlerësimit dhe të certifikimit, ndaj ia vlen të merret përpara se dikush të shqyrtojë qoftë edhe një dokument.

Është i ndershëm për provat. Një dokument që thotë një gjë dhe një praktikë që bën diçka tjetër regjistrohen ashtu siç janë, sepse auditori i certifikimit do të gjejë të njëjtin dallim më vonë, në një moment më të keq.

Procesi i vlerësimit ISO 27001

Gjashtë hapat më poshtë tregojnë si duket një vlerësim real. Kolona e rezultateve është thelbi i tabelës: çdo hap duhet të prodhojë një artefakt që ruhet, jo thjesht një përshtypje:

Tabela A: hapi | çfarë ndodh | rezultati

Hapi	Çfarë ndodh	Rezultati
Përcaktimi i fushëveprimit	Dakordësohet kufiri i ISMS-së: cilat vendndodhje, departamente, sisteme dhe të dhëna përfshihen dhe pse; identifikohen palët e interesuara dhe kërkesat e tyre	Deklaratë fushëveprimi me arsyetim, gati për t'u ripërdorur në auditimin e Fazës 1
Shqyrtimi i dokumenteve	Lexohen politikat, procedurat dhe regjistrimet ekzistuese kundrejt klauzolave 4–10 dhe Aneksit A; kontrollohet nëse dokumentet përshkruajnë realitetin apo një synim	Inventar dokumentesh me status për çdo zë: ekziston / i pjesshëm / mungon, bashkë me provat e shqyrtuara
Intervistat	Bisedohet me personat që zbatojnë proceset — IT, burimet njerëzore, operacionet, financa, drejtimi — dhe krahasohen përgjigjet ndërmjet roleve; kundërthëniet mes dy departamenteve janë gjithashtu gjetje	Shënime interviste për çdo proces, me dallimet praktikë-kundrejt-dokumentit të regjistruara
Kontrollet teknike	Merret kampion i konfigurimit real: listat e qasjes, regjistrimet, punët e kopjeve rezervë dhe provat e rikthimit, statusi i arnimeve, qasja fizike — me kampion, jo test depërtimi	Rezultate kontrolli për çdo fushë kontrolli, me kampionet dhe datat që rezultati të mund të verifikohet përsëri
Vlerësimi	Çdo gjetje vlerësohet sipas rëndesës dhe përpjekjes; rëndesa ndjek rrezikun për organizatën, jo pozicionin e kontrollit në Aneksin A	Regjistër boshllëqesh: klauzola ose kontrolli, gjendja aktuale, gjetja, rëndesa, pronari i sugjeruar
Raporti dhe rruga	Gjetjet mblidhen në një raport dhe puna renditet: përmirësime të shpejta, çështje strukturore dhe dokumentet që duhet të ekzistojnë përpara auditimit të Fazës 1	Raport analize të boshllëqeve, rrugë korrigjimi me përparësi, draft i Deklaratës së Zbatueshmërisë

Shënim për metodën: standardi nuk përshkruan mënyrën si kryhet një vlerësim i boshllëqeve, ndaj ofruesit ndryshojnë. Ajo që e ndan një vlerësim të dobishëm nga një shqyrtim i shtrenjtë është disiplina e provave — gjetje të lidhura me diçka që një auditor certifikimi mund ta rikontrollojë — dhe regjistri që e pason. Çështjet e qeverisjes dhe auditimit rreth punës së sigurisë trajtohen në faqen e auditimit dhe konsulencës IT, ndërsa konteksti më i gjerë i sigurimit të infrastrukturës pas ISMS-së gjendet në faqen e infrastrukturës digjitale.

Rezultatet e dorëzueshme

Katër artefakte përcaktojnë një vlerësim serioz. Nëse një propozim nuk i përmend të katër, pyesni pse:

Raporti i analizës së boshllëqeve. Përshkrimi: fushëveprimi i shqyrtuar, metoda, gjetjet sipas klauzolës dhe fushës së kontrollit, si dhe një përmbledhje ekzekutive që një drejtor administrativ mund ta lexojë për dhjetë minuta. Raporti i shpjegon dallimet; nuk i rendit vetëm.

Regjistri i boshllëqeve. Baza e të dhënave e punës: çdo gjetje me referencën e saj të klauzolës ose të Aneksit A, gjendjen aktuale, rëndesën dhe përparësinë. Regjistri është ajo mbi të cilën vijon projekti — e shndërron raportin nga këshillë në listë pune me pronarë.

Rruga e korrigjimit. Gjetjet renditen në një plan: çfarë duhet të ekzistojë përpara auditimit të Fazës 1, çfarë i përket muajve të parë të ISMS-së dhe çfarë mund të presë. Radha respekton varësitë — nuk mund ta shqyrtoni qasjen çdo tremujor nëse nuk ekzistojnë listat e qasjes.

Drafti i Deklaratës së Zbatueshmërisë (SoA). Dokumenti që rendit çdo kontroll të Aneksit A, nëse zbatohet dhe pse, si dhe mënyrën e zbatimit. Një draft SoA i përgatitur gjatë vlerësimit është kursyesi më i madh i kohës në projektin e certifikimit, sepse alternativa është të shkruhen 93 vendime nga një faqe bosh nën presionin e afatit.

Rezultatet dorëzohen me shkrim dhe i përkasin blerësit. Një ofrues që nuk pranon të tregojë një shembull raporti përpara nënshkrimit po ju tregon diçka për raportin.

Çfarë nuk është vlerësimi

Të jesh i saktë për këtë i kursen debatet më vonë:

Nuk është certifikatë. Vetëm një organ certifikimi i akredituar, që punon sipas ISO/IEC 17021 dhe akreditimit të vet, mund të certifikojë një ISMS. Vlerësimi është punë këshilluese; gjetjet e tij nuk kanë peshë pranë një organi certifikimi dhe asnjë rezultat vlerësimi nuk garanton certifikimin — një organizatë mund ta kalojë vlerësimin dhe sërish të dështojë në auditimin e Fazës 2 për gjetje që auditori i zhvillon në mënyrë të pavarur.

Nuk është auditim i brendshëm. Standardi kërkon auditime të brendshme dhe shqyrtim të drejtimit si pjesë e funksionimit të ISMS-së; këto janë detyrime brenda sistemit, kryhen më vonë dhe vlerësimi është puna që ju çon në pikën ku ato mund të ndodhin.

Nuk është test sigurie. Kampionimi i konfigurimit është pjesë e tij; një test depërtimi ose një auditim i plotë teknik është angazhim tjetër, me fushëveprim dhe thellësi tjetër.

Nuk është opinion ligjor. ISO 27001 dhe ligji për mbrojtjen e të dhënave mbivendosen, por janë instrumente të ndryshme — shihni FAQ-në më poshtë — dhe as vlerësimi, as raporti i tij nuk zëvendësojnë këshillën e një këshilltari të kualifikuar ligjor ose të mbrojtjes së të dhënave.

Nuk është premtim për certifikimin. Çdo ofrues që lë të kuptohet se garanton certifikimin, citon një përqindje suksesi ose sugjeron marrëdhënie me një organ certifikimi që merr vendime në mënyrë të pavarur duhet parë si shenjë paralajmëruese, jo si pikë shitjeje. Pavarësia është vetë shërbimi.

Përgatitja për auditimin e certifikimit

Vlera reale e vlerësimit shfaqet në projektin e certifikimit që pason. Ja si lidhen të dyja:

Faza 1 kontrollon dokumentacionin dhe fushëveprimin: deklaratën e fushëveprimit të ISMS-së, vlerësimin dhe trajtimin e rrezikut, politikat, Deklaratën e Zbatueshmërisë, regjistrimet e auditimit të brendshëm dhe ato të shqyrtimit të drejtimit. Shumica e gjetjeve të Fazës 1 janë dokumente që mungojnë ose janë të vjetruara, pikërisht ato që prodhojnë shqyrtimi i dokumenteve dhe drafti i SoA-së.

Faza 2 kontrollon zbatimin dhe praktikën: nëse kontrollet funksionojnë siç dokumentohen, me kampionim në të gjithë fushëveprimin. Intervistat dhe kontrollet teknike të vlerësimit e provojnë këtë paraprakisht — një ekip që u është përgjigjur tashmë pyetjeve për shqyrtimet e qasjes dhe trajtimin e incidenteve u përgjigjet me qetësi në auditim.

Mbikëqyrja dhe përsëritja vijojnë pas certifikimit, ndaj rruga duhet të ndërtojë një sistem funksional, jo një grup dokumentesh: shqyrtime qasjeje që përsëriten, incidente që regjistrohen, trajnime që dokumentohen, kopje rezervë që rikthehen dhe testohen. Një ISMS i ndërtuar për të kaluar një auditim shembet në mbikëqyrjen e parë.

Pikat praktike të përgatitjes që zakonisht nxjerr në pah vlerësimi: kush e zotëron brenda kompanisë çdo fushë kontrolli, nëse shqyrtimi i drejtimit është takim real apo vetëm firmë, nëse auditorët e brendshëm janë të pavarur nga ajo që auditojnë dhe si ruhen regjistrimet ndërmjet auditimeve. Për një kompani që e bën këtë për herë të parë, pyetjet përreth IT-së — regjistrimet, menaxhimi i qasjes, disiplina e kopjeve rezervë — trajtohen në faqen e infrastrukturës digjitale, ndërsa detyrimet për furnitorët dhe trajtimin e të dhënave në faqen e kontraktimit të jashtëm IT.

Boshllëqet e zakonshme

Gjetjet që përsëriten te kompanitë e vogla dhe të mesme, përafërsisht sipas shpeshtësisë:

Inventari i aktiveve. Nuk ka listë aktuale të sistemeve, pajisjeve dhe të dhënave me pronarë. Pothuajse çdo kontroll tjetër varet nga njohja e asaj që ekziston, ndaj kjo zakonisht është pika e parë e rrugës.

Metoda e vlerësimit të rrezikut. Ose mungon, ose është marrë nga një shabllon pa arsyetim organizativ; auditori i certifikimit pyet si u identifikuan dhe u trajtuan rreziqet, ndërsa “konsulenti e shkroi” nuk është përgjigje që qëndron.

Menaxhimi i furnitorëve. Nuk ka regjistër të furnitorëve që prekin të dhënat e kompanisë, kërkesa sigurie në marrëveshjet me ta apo cikël shqyrtimi. Për kompanitë që punojnë me partnerë zhvillimi, ky boshllëk lidhet drejtpërdrejt me çështjet kontraktuale të trajtuara në faqen e kontraktimit të jashtëm IT.

Shqyrtimet e qasjes. Llogaritë jepen në momentin e punësimit dhe nuk shqyrtohen më; ish-punonjësit gjenden në listën e qasjes; të drejtat e administratorit u mbeten personave që janë larguar nga roli. Shqyrtimet që ekzistojnë në letër, por nuk kanë regjistrime, përbëjnë gjysmën e një gjetjeje.

Trajtimi i incidenteve. Nuk ka proces të përcaktuar, listë kontakti apo regjistrim të incidenteve që kanë ndodhur. Incidentet që kompania ka harruar se i ka pasur janë ato që kthehen në gjetje në auditim.

Trajnimi për ndërgjegjësimin. Një prezantim i vetëm gjatë hyrjes në punë, në vend të një programi të përsëritur me regjistrime. Standardi pyet nëse njerëzit i njohin detyrimet e tyre; një listë pjesëmarrjeje me datë i përgjigjet kësaj pyetjeje.

Testimi i kopjeve rezervë. Kopjet rezervë janë konfiguruar, por nuk janë rikthyer kurrë. Një rikthim që nuk është provuar asnjëherë është kontroll i patestuar dhe kontrolli teknik i vlerësimit zakonisht kërkon prova të rikthimit, jo një pamje ekrani të planifikimit.

Si të zgjidhni një ofrues

Tri pyetje e ndajnë një vlerësim rigoroz nga një shqyrtim i shtrenjtë:

Pavarësia. Vlerësuesi nuk duhet të ketë interes në vendimin e certifikimit — vlerësuesit nuk certifikojnë, këtë e bëjnë organet e certifikimit, dhe një ofrues që premton të dyja po përshkruan konflikt, jo shërbim. Pavarësia përfshin edhe faktin që vlerësuesi të mos ketë produkt për t'ju shitur më pas: një vlerësim që rekomandon platformën tuaj është dokument shitjeje me gjetje të bashkëngjitura.

Metoda. Kërkojeni metodën përpara propozimit: si dakordësohet fushëveprimi, si vlerësohen gjetjet, çfarë provash kërkohen për çdo fushë kontrolli dhe çfarë rezultatesh dorëzohen. Një metodë e shkruar paraprakisht i bën gjetjet të mbrojtshme përpara auditorit të certifikimit më vonë.

Shembulli i raportit. Testi më i mirë. Një regjistër boshllëqesh i anonimizuar dhe një raport tregojnë saktësisht çfarë do të merrni: nëse gjetjet lidhen me klauzola dhe prova, nëse rëndesat arsyetohen dhe nëse rruga është renditje pune apo listë dëshirash.

Dy këshilla praktike për kompanitë në Türkiye: konfirmoni nëse vlerësuesi punon me standarde dhe organe certifikimi të njohura nga klientët e tregut tuaj të synuar, pasi kërkesat e klientëve shpesh përmendin skema specifike; dhe konfirmoni gjuhën e punës për intervistat dhe dokumentet, sepse gjetjet duhet të jenë të përdorshme nga ekipet që do t'i korrigjojnë. Lista e kontrollit për RFP-në e furnitorit jep metodën e përgjithshme për vlerësimin e një blerjeje të tillë, ndërsa faqja e auditimit dhe konsulencës IT trajton kontekstin më të gjerë këshillues.

Pyetje të shpeshta

Sa zgjat një vlerësim i boshllëqeve?

Varet nga fushëveprimi dhe kushdo që jep një afat përpara përcaktimit të tij po hamendëson. Faktorët janë madhësia e fushëveprimit — numri i vendndodhjeve, sistemeve dhe proceseve brenda kufirit — gjendja e dokumentacionit dhe numri i personave që duhen intervistuar. Një fushëveprim i vetëm departamenti me politika ekzistuese është angazhim tjetër nga një fushëveprim me shumë vende që nis nga zero; përgjigjja e ndershme vjen pas bisedës për fushëveprimin, me shkrim.

A na duhet ISO 27001 për të shitur?

Zakonisht është kërkesë e klientit dhe jo ligjore: tenderët, llogaritë e mëdha dhe blerësit e rregulluar po kërkojnë gjithnjë e më shumë certifikim, veçanërisht në softuer dhe shërbime. Përgjigjja praktike është të kontrolloni tubacionin tuaj të shitjeve — nëse dy klientë seriozë të mundshëm kanë pyetur, rasti i biznesit ekziston; nëse asnjë nuk ka pyetur, rasti mbështetet te ulja e rrezikut dhe jo te të ardhurat. Standardi nuk kërkon certifikimin e të gjithë organizatës, ndaj një certifikim me fushëveprim të kufizuar mund t'i shërbejë fillimisht pjesës së biznesit që përballet me klientët.

Çfarë është Deklarata e Zbatueshmërisë?

Dokumenti që rendit çdo kontroll të Aneksit A, deklaron nëse zbatohet për fushëveprimin tuaj dhe pse, si dhe përshkruan mënyrën e zbatimit. Kërkohet nga standardi dhe shqyrtohet nga organi i certifikimit; është gjithashtu artefakti më efikas për t'u përgatitur herët, sepse i detyron vendimet e kontrollit të shkruhen një herë dhe jo nën presionin e auditimit. Një draft SoA është një nga katër rezultatet e vlerësimit të mësipërm.

Si vlerësohen boshllëqet?

Sipas rëndesës dhe përparësisë, me rëndesën të lidhur me rrezikun për organizatën dhe jo me pozicionin e kontrollit në standard. Një vlerësim i përdorshëm shpjegohet vetë: çfarë mund të ndodhë nëse boshllëku mbetet, kush ose çfarë ekspozohet dhe çfarë kërkohet për ta mbyllur. Vlerësimet që thjesht i renditin zërat “e lartë/e mesme/e ulët” pa arsye krijojnë debate më vonë; vlerësimet me arsyetim të shkruar prodhojnë një rrugë që njerëzit e ndjekin.

A mund ta zëvendësojë një vlerësim boshllëqesh auditimin?

Jo. Auditimi i brendshëm dhe shqyrtimi i drejtimit janë detyrime brenda ISMS-së, ndërsa auditimi i certifikimit i përket një organi certifikimi të akredituar. Vlerësimi i boshllëqeve i paraprin të dyjave dhe ndihmon në të dyja, por nuk ka peshë auditimi — kjo është pika “nuk është certifikatë” më sipër dhe çdo ofrues që i mjegullon këto duhet t'i kërkohet ta sqarojë me shkrim.

Pjesërisht mbivendosen, por nuk janë e njëjta gjë. ISO 27001 është standard i sistemit të menaxhimit për sigurinë e informacionit dhe prek mbrojtjen e të dhënave vetëm kur kontrollet e sigurisë mbrojnë të dhënat personale; KVKK dhe GDPR përcaktojnë detyrime ligjore — bazën ligjore, të drejtat e subjekteve të të dhënave, njoftimin e shkeljeve, rregullat e transferimit — të cilat një ISMS mund t'i mbështesë, por nuk i përmbush vetë. Shumë kompani i drejtojnë të dy programet me artefakte të përbashkëta, ndërsa çështjet ligjore mbeten te një këshilltar i kualifikuar; detyrimet KVKK/GDPR për furnitorët dhe hostimin trajtohen në faqen e kontraktimit të jashtëm IT.

Burimet dhe standardet

Vetë standardi është ISO/IE 27001, i publikuar nga ISO (https://www.iso.org); kërkesat e vlerësuara janë klauzolat 4–10 dhe grupi i kontrolleve të Aneksit A, i cili përmban 93 kontrolle reference në versionin e vitit 2022. Certifikimi kryhet nga organe certifikimi të akredituara që punojnë sipas ISO/IEC 17021; kjo faqe nuk bën asnjë pretendim certifikimi të çfarëdo lloji.
Deklaratat për procesin, rezultatet dhe boshllëqet e zakonshme ndjekin praktikën e profesionistëve për vlerësimet e boshllëqeve në përgjithësi (përcaktimi i fushëveprimit, shqyrtimi i dokumenteve, intervistat, kampionimi teknik, regjistri i boshllëqeve i vlerësuar sipas rëndesës, rruga e korrigjimit, drafti i Deklaratës së Zbatueshmërisë); në këtë faqe nuk shfaqen afate, kosto ose përqindje suksesi.
Deklaratat për procesin e certifikimit (auditimi dokumentar i Fazës 1, auditimi i zbatimit i Fazës 2, mbikëqyrja) ndjekin kuadrin e publikuar të certifikimit të standardit; konfirmoni rregullat aktuale me organin e certifikimit që zgjidhni.
Askund në këtë faqe nuk shfaqet pretendimi se WorldwideTradeX është i certifikuar ose i akredituar sipas ISO 27001, dhe nuk jepet asnjë garanci certifikimi; detyrimet për mbrojtjen e të dhënave përmenden, por nuk interpretohen — konfirmoni regjimin e zbatueshëm me një këshilltar të kualifikuar.

Faqe të lidhura

Auditimi dhe konsulenca IT · Infrastruktura digjitale · Kontraktimi i jashtëm IT nga Türkiye · Lista e kontrollit për RFP-në e furnitorit · Kërkoni ofertë