Procena nedostataka prema ISO 27001: koraci i rezultati

Procena nedostataka prema ISO 27001 upoređuje vaše postojeće kontrole i dokumenta sa zahtevima standarda i skupom kontrola iz Aneksa A, a zatim daje prioritetni plan otklanjanja. Ona priprema kompaniju za sertifikacionu proveru, ali sama po sebi nije sertifikat i nijedna procena ne može da obeća da će sertifikat uslediti.

Šta je procena nedostataka prema ISO 27001?

ISO/IEC 27001 je međunarodni standard za sistem menadžmenta bezbednošću informacija (ISMS): dokumentovan skup politika, procesa i kontrola zasnovan na riziku, koji se održava i unapređuje umesto da se jednom instalira. Sertifikat izdaje akreditovano sertifikaciono telo nakon sopstvenih provera; sam standard se kupuje od ISO-a, a njegovi zahtevi predstavljaju osnovu prema kojoj se svaka procena meri.

Procena nedostataka iskreno odgovara na jedno pitanje: koliko je organizacija danas udaljena od ispunjavanja tih zahteva? Ona pregleda ono što postoji — dokumenta, stvarnu praksu, tehničku konfiguraciju — i razlike beleži kao nalaze prema tačkama standarda (tačke 4 do 10 sadrže zahteve sistema menadžmenta) i prema skupu kontrola iz Aneksa A, koji u verziji iz 2022. sadrži 93 referentne kontrole grupisane po temama.

Tri pojašnjenja koja kasnije sprečavaju zabunu:

To je vežba spremnosti, a ne audit. Nema akreditacije, odluke o sertifikaciji ni formalne neusaglašenosti sa numeracijom sertifikacionog tela. Rezultat je radni plan.

Obuhvat se bira, ne nameće. ISO 27001 ne zahteva sertifikaciju cele organizacije: obuhvat može biti poslovna jedinica, lokacija, linija proizvoda ili skup sistema, ako je granica definisana i obrazložena. Većina kompanija prvo bira uži obuhvat — odluku koja prepolovi trošak procene i sertifikacije, a koju vredi doneti pre pregleda ijednog dokumenta.

Dokazi se prikazuju iskreno. Dokument koji govori jedno, a praksa drugo, beleži se onako kako jeste, jer će sertifikacioni auditor kasnije pronaći istu razliku, u gorem trenutku.

Proces procene

U nastavku je šest koraka koji čine praktičnu procenu. Kolona sa rezultatom je suština tabele: svaki korak treba da proizvede artefakt koji čuvate, a ne samo utisak:

Tabela A: korak | šta se dešava | rezultat

Korak	Šta se dešava	Rezultat
Definisanje obuhvata	Dogovara se granica ISMS-a: koje su lokacije, odeljenja, sistemi i podaci obuhvaćeni i zašto; identifikuju se zainteresovane strane i njihovi zahtevi	Izjava o obuhvatu sa obrazloženjem, spremna za ponovnu upotrebu u auditu 1. faze
Pregled dokumentacije	Postojeće politike, procedure i zapisi čitaju se prema tačkama 4–10 i Aneksu A; proverava se da li dokumenta opisuju stvarnost ili željeno stanje	Inventar dokumenata sa statusom za svaku stavku: postoji / delimično / ne postoji, uz pregledane dokaze
Intervjui	Razgovara se sa ljudima koji vode procese — IT, ljudskim resursima, operacijama, finansijama i menadžmentom — a odgovori se porede po ulogama; protivrečnosti između dva odeljenja takođe su nalazi	Beleške sa intervjua po procesu, sa zabeleženim razlikama između prakse i dokumenta
Tehničke provere	Uzorkuje se stvarna konfiguracija: spiskovi pristupa, evidencije događaja, poslovi izrade rezervnih kopija i dokazi o vraćanju podataka, status zakrpa, fizički pristup — uzorkovanje, a ne penetracioni test	Rezultati provere po oblasti kontrole, sa uzorcima i datumima da bi rezultat mogao ponovo da se proveri
Ocenjivanje	Svaki nalaz ocenjuje se prema ozbiljnosti i naporu; ozbiljnost prati rizik po organizaciju, a ne mesto kontrole u Aneksu A	Registar nedostataka: tačka ili kontrola, trenutno stanje, nalaz, ozbiljnost, predloženi vlasnik
Izveštaj i plan	Nalazi se objedinjuju u izveštaj, a posao se redosledi: brze pobede, strukturne stavke i dokumenta koja moraju da postoje pre audita 1. faze	Izveštaj o analizi nedostataka, plan otklanjanja sa prioritetima, nacrt Izjave o primenljivosti

Napomena o metodu: standard ne propisuje kako se procena nedostataka sprovodi, pa se pružaoci razlikuju. Ono što korisnu procenu odvaja od skupe jeste disciplina u vezi sa dokazima — nalazi povezani sa nečim što bi sertifikacioni auditor mogao ponovo da proveri — i registar koji ostaje nakon toga. Pitanja upravljanja i audita u vezi sa bezbednosnim radom obrađena su na stranici o IT auditu i konsaltingu, a širi kontekst zaštite infrastrukture iza ISMS-a nalazi se na stranici o digitalnoj infrastrukturi.

Rezultati procene

Četiri artefakta definišu ozbiljnu procenu. Ako ponuda ne navodi sva četiri, pitajte zašto:

Izveštaj o analizi nedostataka. Narativni deo: pregledani obuhvat, metod, nalazi po tački i oblasti kontrole i izvršni sažetak koji direktor može da pročita za deset minuta. Izveštaj objašnjava razlike; ne svodi se samo na njihov spisak.

Registar nedostataka. Radna baza: svaki nalaz sa referencom na tačku ili Aneks A, trenutnim stanjem, ozbiljnošću i prioritetom. Registar je osnova daljeg projekta — pretvara izveštaj iz saveta u zaostatak zadataka sa vlasnicima.

Plan otklanjanja. Nalazi poređani u plan: šta mora da postoji pre audita 1. faze, šta pripada prvim mesecima ISMS-a i šta može da sačeka. Redosled poštuje zavisnosti — ne možete tromesečno da pregledate pristup dok spiskovi pristupa ne postoje.

Nacrt Izjave o primenljivosti (SoA). Dokument koji navodi svaku kontrolu iz Aneksa A, da li je primenljiva i zašto, kao i kako se sprovodi. Nacrt SoA pripremljen tokom procene najveća je pojedinačna ušteda vremena u projektu sertifikacije, jer je alternativa pisanje 93 odluke od prazne stranice pod pritiskom roka.

Rezultati se predaju u pisanom obliku i pripadaju kupcu. Pružalac koji pre potpisivanja neće da pokaže primer izveštaja govori vam nešto o samom izveštaju.

Šta procena nije

Preciznost u ovom pogledu kasnije štedi rasprave:

Nije sertifikat. Samo akreditovano sertifikaciono telo, koje radi prema ISO/IEC 17021 i sopstvenoj akreditaciji sertifikacionog tela, može da sertifikuje ISMS. Procena je savetodavni posao; njeni nalazi nemaju status pred sertifikacionim telom i nijedan rezultat procene ne garantuje sertifikaciju — organizacija može da prođe procenu, a da ipak ne prođe audit 2. faze zbog nalaza koje auditor samostalno razvije.

Nije interni audit. Standard zahteva interne audite i preispitivanje od strane rukovodstva kao deo funkcionisanja ISMS-a; to su obaveze unutar sistema koje se obavljaju kasnije, dok je procena posao koji vas dovodi do tačke u kojoj one mogu da se sprovedu.

Nije bezbednosni test. Uzorkovanje konfiguracije jeste deo procene; penetracioni test ili potpuni tehnički audit drugačiji su angažmani sa drugačijim obuhvatom i dubinom.

Nije pravno mišljenje. ISO 27001 i zakon o zaštiti podataka se preklapaju, ali su različiti instrumenti — pogledajte FAQ u nastavku — a ni procena ni njen izveštaj ne zamenjuju savet kvalifikovanog pravnog ili lica za zaštitu podataka.

Nije obećanje sertifikacije. Pružaoca koji nagoveštava garantovanu sertifikaciju, navodi stopu uspeha ili sugeriše odnos sa sertifikacionim telom koje odlučuje nezavisno treba shvatiti kao upozorenje, a ne kao prednost u prodaji. Nezavisnost je ono što se dobija.

Priprema za sertifikacioni audit prema ISO 27001

Prava vrednost procene vidi se u projektu sertifikacije koji sledi. Ovako se ta dva procesa povezuju:

Faza 1 proverava dokumentaciju i obuhvat: izjavu o obuhvatu ISMS-a, procenu rizika i postupanje sa rizicima, politike, Izjavu o primenljivosti, zapise internih audita i zapise o preispitivanju rukovodstva. Većina nalaza 1. faze odnosi se na dokumenta koja nedostaju ili su zastarela, upravo ono što proizvode pregled dokumentacije i nacrt SoA u proceni.

Faza 2 proverava primenu i praksu: da li kontrole funkcionišu onako kako je dokumentovano, uzorkovanjem kroz obuhvat. Intervjui i tehničke provere u proceni služe kao vežba — tim koji je već odgovarao na pitanja o pregledima pristupa i postupanju u incidentima mirnije će to uraditi na auditu.

Nadzor i ponavljanje slede nakon sertifikacije, pa plan mora da izgradi operativni sistem, a ne skup dokumenata: preglede pristupa koji se ponavljaju, evidentirane incidente, zabeležene obuke, rezervne kopije koje se vraćaju i testiraju. ISMS napravljen da prođe jedan audit urušava se na prvom nadzoru.

Praktične tačke pripreme koje procena obično otkrije: ko je interno vlasnik svake oblasti kontrole, da li je preispitivanje rukovodstva stvarni sastanak ili potpis, da li su interni auditori nezavisni od onoga što proveravaju i kako se zapisi čuvaju između audita. Za kompaniju koja ovo radi prvi put, okolna IT pitanja — evidencije događaja, upravljanje pristupom, disciplina izrade rezervnih kopija — obrađena su na stranici o digitalnoj infrastrukturi, a obaveze u vezi sa dobavljačima i podacima na stranici o IT autsorsingu.

Uobičajeni nedostaci

Nalazi koji se ponavljaju kod malih i srednjih kompanija, približno prema učestalosti pojavljivanja:

Inventar imovine. Ne postoji aktuelan spisak sistema, uređaja i podataka sa vlasnicima. Gotovo svaka druga kontrola zavisi od toga da znate šta postoji, zbog čega je ovo obično prva stavka plana.

Metod procene rizika. Ili ne postoji ili je preuzet iz šablona bez obrazloženja vezanog za organizaciju; sertifikacioni auditor pita kako su rizici identifikovani i kako se njima postupalo, a „konsultant je to napisao“ nije odgovor koji opstaje.

Upravljanje dobavljačima. Ne postoji registar dobavljača koji imaju pristup podacima kompanije, bezbednosni zahtevi u ugovorima sa dobavljačima ni ciklus pregleda. Za kompanije koje rade sa razvojnim partnerima, ovaj nedostatak direktno se nadovezuje na ugovorna pitanja obrađena na stranici o IT autsorsingu.

Pregledi pristupa. Nalozi se dodeljuju pri zapošljavanju i nikad ne pregledaju; bivši zaposleni ostaju na spisku pristupa; administratorska prava zadržavaju ljudi koji su napustili ulogu. Pregledi koji postoje na papiru, ali nemaju zapise, predstavljaju polovinu nalaza.

Postupanje u incidentima. Nema definisanog procesa, spiska kontakata ni evidentiranja incidenata koji su se dogodili. Incidenti na koje je kompanija zaboravila upravo su oni koji postaju nalazi na auditu.

Obuka za podizanje svesti. Jednokratni slajd pri uvođenju u posao umesto programa koji se ponavlja i ima zapise. Standard pita da li su ljudi svesni svojih obaveza; datirani spisak prisutnih odgovara na to pitanje.

Testiranje rezervnih kopija. Rezervne kopije su podešene, ali nikada nisu vraćene. Vraćanje koje nikada nije pokušano jeste netestirana kontrola, pa tehnička provera u proceni obično traži dokaz o vraćanju, a ne snimak ekrana rasporeda.

Kako izabrati pružaoca

Tri pitanja odvajaju rigoroznu procenu od skupog pregleda:

Nezavisnost. Ocenjivač ne sme imati interes u odluci o sertifikaciji — ocenjivači ne sertifikuju, to rade sertifikaciona tela, a pružalac koji obećava i jedno i drugo opisuje sukob, a ne uslugu. Nezavisnost obuhvata i to da ocenjivač nema proizvod koji će kasnije prodavati: procena koja preporučuje vašu platformu jeste prodajni dokument sa prikačenim nalazima.

Metod. Zatražite metod pre ponude: kako se dogovara obuhvat, kako se ocenjuju nalazi, koji su dokazi potrebni po oblasti kontrole i koji se rezultati predaju. Metod unapred zapisan čini nalaze odbranjivim pred sertifikacionim auditorom.

Primer izveštaja. Najbolja pojedinačna provera. Redigovani registar nedostataka i izveštaj tačno pokazuju šta ćete dobiti: da li su nalazi povezani sa tačkama i dokazima, da li su ozbiljnosti obrazložene i da li je plan redosled ili lista želja.

Dva praktična dodatka za kompanije u Turskoj: proverite da li ocenjivač radi sa standardima i sertifikacionim telima poznatim ciljanom tržištu, jer zahtevi klijenata često navode konkretne šeme; i proverite radni jezik intervjua i dokumenata, jer nalazi moraju biti korisni timovima koji će ih otklanjati. Kontrolna lista za RFP dobavljača daje opšti metod za ocenjivanje takve nabavke, a stranica o IT auditu i konsaltingu obrađuje širi savetodavni kontekst.

Često postavljana pitanja

Koliko traje procena nedostataka?

Zavisi od obuhvata, a svako ko navede trajanje pre definisanja obuhvata nagađa. Ključni faktori su veličina obuhvata — broj lokacija, sistema i procesa unutar granice — stanje dokumentacije i broj ljudi koje treba intervjuisati. Obuhvat jedne službe sa postojećim politikama drugačiji je angažman od obuhvata na više lokacija koji počinje od nule; iskren odgovor dolazi posle razgovora o obuhvatu, u pisanom obliku.

Da li nam je potreban ISO 27001 da bismo prodavali?

Obično je zahtev kupca, a ne zakonska obaveza: tenderi, veliki nalozi i regulisani kupci sve češće traže sertifikat, posebno u softveru i uslugama. Praktičan odgovor je da proverite sopstveni prodajni levak — ako su dva ozbiljna potencijalna klijenta pitala za njega, poslovni razlog postoji; ako nijedan nije, razlog se zasniva na smanjenju rizika, a ne na prihodu. Standard ne zahteva sertifikaciju cele organizacije, pa sertifikacija ograničenog obuhvata prvo može da posluži delu poslovanja koji je okrenut kupcima.

Šta je Izjava o primenljivosti?

Dokument koji navodi svaku kontrolu iz Aneksa A, navodi da li je primenljiva na vaš obuhvat i zašto, kao i kako se sprovodi. Standard je zahteva, a sertifikaciono telo je pregledava; to je ujedno najefikasniji artefakt za ranu pripremu, jer odluke o kontrolama tera da se jednom zapišu umesto da se donose pod pritiskom audita. Nacrt SoA jedan je od četiri rezultata procene navedena iznad.

Kako se nedostaci ocenjuju?

Prema ozbiljnosti i prioritetu, pri čemu se ozbiljnost vezuje za rizik po organizaciju, a ne za mesto kontrole u standardu. Korisna ocena sama sebe objašnjava: šta može da se dogodi ako nedostatak ostane, ko ili šta je izloženo i šta je potrebno za njegovo zatvaranje. Ocene koje samo dele stavke na „visoko/srednje/nisko“ bez razloga kasnije proizvode rasprave; ocene sa pisanim obrazloženjem proizvode plan koji ljudi prate.

Može li procena nedostataka da zameni audit?

Ne. Interni audit i preispitivanje rukovodstva obaveze su unutar ISMS-a, a sertifikacioni audit pripada akreditovanom sertifikacionom telu. Procena nedostataka prethodi i jednom i drugom i pomaže u oba procesa, ali nema status audita — to je gore navedeno „nije sertifikat“, pa svakog pružaoca koji to zamagljuje treba zamoliti da se pisano izjasni.

Delimično se preklapa, ali nije isto. ISO 27001 je standard sistema menadžmenta bezbednošću informacija i zaštitu podataka dotiče samo tamo gde bezbednosne kontrole štite lične podatke; KVKK i GDPR propisuju zakonske obaveze — pravni osnov, prava lica na koja se podaci odnose, prijavljivanje povreda, pravila prenosa — koje ISMS može da podrži, ali sam po sebi ne ispunjava. Mnoge kompanije vode oba programa uz zajedničke artefakte, dok pravna pitanja ostaju kod kvalifikovanog savetnika; obaveze KVKK/GDPR-a u vezi sa dobavljačima i hostingom obrađene su na stranici o IT autsorsingu.

Izvori i standardi

Sam standard je ISO/IE 27001, koji objavljuje ISO (https://www.iso.org); procenjeni zahtevi su tačke 4–10 i skup kontrola iz Aneksa A, koji u verziji iz 2022. sadrži 93 referentne kontrole. Sertifikaciju sprovode akreditovana sertifikaciona tela prema ISO/IEC 17021; ova stranica ne iznosi nikakvu tvrdnju o sertifikaciji.
Navodi o procesu, rezultatima i uobičajenim nedostacima prate opštu stručnu praksu za procene nedostataka (definisanje obuhvata, pregled dokumentacije, intervjui, tehničko uzorkovanje, registar nedostataka ocenjen prema ozbiljnosti, plan otklanjanja, nacrt Izjave o primenljivosti); na ovoj stranici nema trajanja, troškova ni stopa uspeha.
Navodi o procesu sertifikacije (audit dokumentacije 1. faze, audit primene 2. faze, nadzor) prate objavljeni okvir standarda za sertifikaciju; aktuelna pravila proverite sa sertifikacionim telom koje izaberete.
Nigde na ovoj stranici nema tvrdnje da je WorldwideTradeX sertifikovan prema ISO 27001 ili akreditovan, niti garancije sertifikacije; obaveze u vezi sa zaštitom podataka su navedene, a ne tumačene — primenljiv režim proverite sa kvalifikovanim savetnikom.

Povezane stranice

IT audit i konsalting · Digitalna infrastruktura · IT autsorsing iz Turske · Kontrolna lista za RFP dobavljača · Zatražite ponudu