ISO 27001 tapawutlaryny bahalandyrmak

ISO 27001 boýunça tapawutlary bahalandyrmak häzirki gözegçilikleriňizi we resminamalaryňyzy standartyň talaplary hem Annex A gözegçilikleri bilen deňeşdirýär we ileri tutulýan düzediş meýilnamasyny berýär. Ol sertifikasiýa auditine taýýarlyga kömek edýär, ýöne şahadatnama däl; baha beriş işi sertifikasiýanyň beriljekdigini kepillendirmeýär.

ISO 27001 boýunça tapawutlary bahalandyrmak näme?

ISO/IEC 27001 maglumat howpsuzlygyny dolandyryş ulgamynyň (ISMS) halkara standartydyr. ISMS bir gezek gurnalyp goýulýan programma däl: ol töwekgelçilige esaslanan, resminamalaşdyrylan syýasatlaryň, amallaryň we gözegçilikleriň yzygiderli alnyp barylmagyny hem-de kämilleşdirilmegini talap edýär. Sertifikasiýany akkreditlenen sertifikasiýa edarasy öz auditlerinden soň berýär; bahalandyrma standartyň talaplaryny ölçeg hökmünde ulanýar.

Tapawutlary bahalandyrmak bir soraga dogruçyl jogap berýär: gurama şu gün talaplary ýerine ýetirmekden näçe daşda? Bar bolan resminamalar, gündelik işler we tehniki sazlamalar gözden geçirilýär. Netijeler standartyň 4–10-njy bölümlerindäki dolandyryş ulgamy talaplary we Annex A gözegçilikleri bilen deňeşdirilýär. 2022-nji ýyldaky nusgada Annex A mowzuklar boýunça toparlanan 93 salgylanma gözegçiligini öz içine alýar.

Soňundan düşünişmezligiň öňüni alýan üç anyk zat:

Taýýarlyk işidir, audit däl. Akkreditasiýa, sertifikasiýa çözgüdi ýa-da sertifikasiýa edarasynyň resmi laýyk dällik bellikleri berilmeýär. Netije amaly iş meýilnamasydyr.

Çägi gurama saýlaýar. ISO 27001 tutuş guramanyň hökmany sertifikasiýasyny talap etmeýär. Serhetleri kesgitlenip, esaslandyrylan bolsa, bir bölüm, ýer, önüm ugry ýa-da ulgamlar toplumy saýlanyp bilner. Köp kompaniýa ilki çäkli bölekden başlaýar; bu bahalandyrma we sertifikasiýa çykdajylaryny ýarymyna çenli azaldyp biler. Ilkinji resminama seredilmezden öň çäk boýunça ylalaşyň.

Subutnama açyk görkezilýär. Resminama bir zady, gündelik tejribe başga zady görkezse, tapawut bolşy ýaly ýazylýar. Sertifikasiýa auditori ony soň tapar; onda düzetmek has kyn pursada galar.

Bahalandyrma nähili geçirilýär?

Adaty bahalandyrmanyň alty ädimi aşakda görkezilýär. Esasy zat netijedir: her tapgyrda diňe pikir däl, saklap ulanyp boljak resminama ýa-da bellik galmaly.

Tablisa A: ädim | ýerine ýetirilýän iş | netije

Ädim	Ýerine ýetirilýän iş	Netije
Çägi kesgitlemek	ISMS çägindäki ýerleri, bölümleri, ulgamlary we maglumatlary, olaryň näme üçin goşulýandygyny kesgitlemek; gyzyklanýan taraplary we talaplaryny tanamak	1-nji tapgyr auditinde gaýtadan ulanyp boljak esaslandyrylan çäk beýany
Resminamalary gözden geçirmek	Bar bolan syýasatlary, amallary we ýazgylary 4–10-njy bölümler hem Annex A bilen deňeşdirmek; resminamanyň hakykaty ýa-da diňe niýeti beýan edýändigini barlamak	Her resminama üçin bar / bölekleýin / ýok ýagdaýy hem görülen subutnamasy görkezilen sanaw
Söhbetdeşlikler	IT, işgärler, amallar, maliýe we ýolbaşçylar bilen olaryň iş prosesleri barada gürleşmek; jogaplary we bölümleriň arasyndaky tapawutlary deňeşdirmek	Her proses boýunça ýazgy, amaly iş bilen resminamanyň arasyndaky tapawutlar
Tehniki barlag	Elýeterlilik sanawlaryny, loglary, ätiýaçlyk nusgasyny dikeltme subutnamasyny, täzeleniş ýagdaýyny we fiziki giriş düzgünini saýlama boýunça barlamak; bu penetrasiýa synagy däl	Gaýtadan barlap boljak nusga we senesi görkezilen, gözegçilik ugry boýunça netijeler
Derejelendirmek	Tapyndylary töwekgelçiligiň çynlakaýlygy we düzetmek üçin gerek zähmet boýunça bahalandyrmak; dereje Annex A-daky ornuna däl-de, gurama ýetirýän töwekgelçiligine esaslanýar	Bölüm ýa-da gözegçilik, häzirki ýagdaý, tapyndy, çynlakaýlyk we teklip edilýän jogapkär görkezilen tapawutlar sanawy
Hasabat we meýilnama	Tapyndylary hasabata jemlemek; tiz düzedilýän işleri, gurluşlaýyn çäreleri we 1-nji tapgyr auditinden öň gerek resminamalary tertiplemek	Tapawutlaryň hasabaty, ileri tutulýan düzediş meýilnamasy we Statement of Applicability (SoA) taslamasy

Standart tapawutlary bahalandyrmagyň usulyny kesgitlemeýär, şonuň üçin hyzmat berijileriň çemeleşmesi tapawutlanýar. Peýdaly bahalandyrmany gymmat, ýöne umumy gözden geçirilişden tapawutlandyrýan zat subutnama düzgünidir: her tapyndy sertifikasiýa auditori tarapyndan gaýtadan barlanyp bilinjek delile daýanýar we soňra iş üçin ulanylýan sanawda saklanýar. Howpsuzlyk işleriniň dolandyrylyşy we audit meseleleri IT audit we maslahat sahypasynda, ISMS-i goldaýan infrastrukturanyň goragy bolsa sanly infrastruktura sahypasynda beýan edilýär.

Bahalandyrmanyň netijeleri

Hünär derejesindäki bahalandyrmanyň dört sany ýazmaça netijesi bolmaly. Teklipde bularyň biri ýok bolsa, sebäbini soraň:

Tapawutlar hasabaty. Çäk, usul, standart bölümleri we gözegçilik ugurlary boýunça tapyndylar hem-de ýolbaşçynyň gysga wagtda okap biljek umumy syny. Ol diňe sanaw bermän, tapawutlaryň manysyny düşündirýär.

Tapawutlar sanawy. Her tapyndynyň bölüm ýa-da Annex A salgylanmasy, häzirki ýagdaýy, çynlakaýlygy we ileri tutulmasy görkezilen iş sanawy. Jogapkärler bilen bellenende maslahat hasabaty ýerine ýetiriş meýilnamasyna öwrülýär.

Düzediş meýilnamasy. 1-nji tapgyr auditinden öň edilmeli işleri, ISMS-iň ilkinji aýlarynda ýerine ýetirilmeli çäreleri we soňrak edilip bilinjek işleri tertipleşdirýär. Garaşlylyklar göz öňünde tutulýar: elýeterlilik sanawlary ýok bolsa, elýeterliligi çärýekde bir gezek barlap bolmaz.

Statement of Applicability (SoA) taslamasy. Annex A-daky her gözegçiligiň ulanylýandygyny ýa-da ulanylmaýandygyny, sebäbini we nähili ýerine ýetirilýändigini ýazýar. Bahalandyrma döwründe onuň taslamasyny taýýarlamak sertifikasiýa işinde köp wagt tygşytlaýar; bolmasa, 93 çözgüdiň her biri boş sahypadan we möhletiň basyşy astynda ýazylmaly bolýar.

Netijeler ýazmaça görnüşde bolmaly we müşderä degişli. Şertnama gol çekilmezden öň nusgalyk hasabatyny görkezmeýän hyzmat beriji siziň aljak hasabatyňyz barada bir zat aýdýar.

Bahalandyrma nämäni aňlatmaýar?

Bu tapawutlary anyk bilmek soňraky jedelleriň öňüni alýar:

Şahadatnama däl. ISMS-i diňe ISO/IEC 17021 we öz akkreditasiýasynyň çäginde işleýän, akkreditlenen sertifikasiýa edarasy sertifikatlaşdyryp biler. Bahalandyrma maslahat işidir; netijeleriň sertifikasiýa edarasynda resmi güýji ýok we sertifikat kepilligi bolup bilmez. Bahalandyrmadan geçen gurama hem sertifikasiýa edarasynyň özbaşdak tapýan meseleleri sebäpli 2-nji tapgyr auditinden geçmezligi mümkin.

Içerki audit däl. Standart ISMS-i dolandyrmagyň bir bölegi hökmünde içerki audit we ýolbaşçylygyň gözden geçirişini talap edýär. Bular ulgamyň içindäki borçlar; bahalandyrma bolsa şol işe taýýar bolmaga kömek edýär.

Howpsuzlyk synagy däl. Sazlamalaryň nusgasyny barlamak bahalandyrma girýär; penetrasiýa synagy ýa-da doly tehniki audit başga çäkli we çuňňur aýratyn hyzmatdyr.

Hukuk maslahaty däl. ISO 27001 bilen şahsy maglumatlary goramak kanunlarynyň kesişýän ýerleri bar, emma olar başga gurallardyr. Bahalandyrma-da, onuň hasabaty-da hünärli hukukçynyň ýa-da maglumatlary goramak boýunça geňeşçiniň maslahatyny çalşyp bilmez.

Sertifikat wada berilmeýär. Kepillendirilen sertifikat, üstünlik göterimi ýa-da özbaşdak çözgüt çykarýan edara bilen aýratyn gatnaşyk barada wada gyzyl baýdak bolmaly. Garaşsyzlyk hyzmatyň möhüm şertidir.

Sertifikasiýa auditine taýýarlyk

Bahalandyrmanyň esasy peýdasy ondan soňky sertifikasiýa işinde görünýär. Iki proses şeýle baglanyşýar:

1-nji tapgyr resminamalary we çägi barlaýar: ISMS çäk beýany, töwekgelçiligi bahalandyrmak we çäreler, syýasatlar, SoA, içerki audit ýazgylary we ýolbaşçylygyň gözden geçiriş ýazgylary. Bu tapgyrda köplenç ýok ýa-da könelen resminamalar tapylýar; bahalandyrmadaky resminama barlagy we SoA taslamasy munuň öňüni almaga kömek edýär.

2-nji tapgyr gözegçilikleriň ýazylan tertipde hakykatdan işleýändigini çägiň içinden nusga alyp barlaýar. Bahalandyrmada geçirilen söhbetdeşlikler we tehniki barlaglar muňa türgenleşik bolup durýar; elýeterlilik synlary ýa-da hadysalary dolandyrmak barada öňünden düşündiriş beren topar auditde ynamly jogap berýär.

Gözegçilik auditleri we dowamlylyk sertifikatdan soň hem dowam edýär. Şonuň üçin meýilnama diňe resminamalar toplumyny däl, işleýän dolandyryş ulgamyny döretmeli: elýeterlilik barlaglary gaýtalanmaly, hadysalar ýazga alynmaly, okuwlar bellige alynmaly, ätiýaçlyk nusgalary dikeldilip synagdan geçirilmeli. Diňe bir auditi geçmek üçin gurlan ISMS ilkinji gözegçilik auditinde dargaýar.

Bahalandyrmada köplenç ýüze çykýan amaly soraglar: her gözegçiligi içerki taýdan kimiň eýeleýändigi, ýolbaşçylygyň gözden geçirilişiniň hakyky ýygnakmy ýa diňe gol çekmekmi, içerki auditorlaryň garaşsyzlygy we auditleriň arasynda ýazgylaryň saklanylyşy. Ilkinji gezek taýýarlaýan kompaniýa üçin log, elýeterlilik dolandyryşy we ätiýaçlyk düzgünleri ýaly IT meseleleri sanly infrastruktura sahypasynda, üpjün edijiler hem-de maglumat bilen işlemek borçlary IT autsorsing sahypasynda düşündirilýär.

Köplenç duş gelýän tapawutlar

Kiçi we orta kompaniýalarda gaýtalanyp çykýan tapyndylar, takmynan ýygy duş gelýän tertibinde:

Aktiwleriň sanawy. Ulgamlaryň, enjamlaryň we maglumatlaryň häzirki sanawy ýa-da jogapkär eýeleri ýok. Beýleki gözegçilikleriň ählisi diýen ýaly nämeleriň bardygyny bilmäge daýanýar; şonuň üçin bu köplenç meýilnamanyň ilkinji işidir.

Töwekgelçiligi bahalandyrmak usuly. Ýa asla ýok, ýa-da guramanyň esaslandyrmasy bolmadyk şablondan göçürilen. Sertifikasiýa auditori töwekgelçilikleriň nähili kesgitlenip, çözülendigini soranda «maslahatçy ýazdy» diýen jogap ýeterlik däldir.

Üpjin edijileri dolandyrmak. Kompaniýanyň maglumatlaryna girýän üpjün edijileriň sanawy, şertnamalardaky howpsuzlyk talaplary we döwürleýin barlag ýok. Programma işläp taýýarlamak hyzmatdaşy bilen işleýän kompaniýalarda bu mesele IT autsorsing sahypasynda görkezilen şertnama meseleleri bilen gönüden-göni baglanyşykly.

Elýeterlilik synlary. Hasaplar işe başlananda açylýar-da, soň gözden geçirilmeýär; işden gidenleriň hasaplary sanawda galýar; wezipesini üýtgeden adam administrator hukugyny saklaýar. Diňe kagyzda bar, ýazgysy bolmadyk syn hem kemçilikdir.

Hadysalary dolandyrmak. Kesgitlenen amal, habarlaşmaly adamlaryň sanawy ýa-da öň bolan hadysalaryň ýazgysy ýok. Kompaniýanyň ýadyndan çykan waka auditde ýüze çykyp biler.

Howpsuzlyk boýunça okuw. Bir gezeklik işe giriş slaýdynyň ýerine ýazgylary bolan yzygiderli okuw maksatnamasy gerek. Standart işgärleriň borçlaryny bilýändigini soranda, senesi goýlan gatnaşyjy sanawy jogap berýär.

Ätiýaçlyk nusgalaryny dikeltmek. Nusga döredilýär, emma hiç haçan dikeldilip görülmeýär. Dikeltmek synagdan geçirilmese, gözegçilik barlanmadyk hasaplanýar; tehniki barlagda diňe meýilnamanyň şekili däl, hakykatda dikeldilendigi baradaky subutnama soralýar.

Hyzmat berijini saýlamak

Ygtybarly bahalandyrmany gymmat, ýöne umumy gözden geçirilişden üç sorag tapawutlandyrýar:

Garaşsyzlyk. Bahalandyryjy sertifikat kararyndan garaşsyz bolmaly: bahalandyryjy barlaýar, sertifikasiýa edarasy sertifikat berýär. Ikisini-de wada berýän hyzmat gyzyklanma gapma-garşylygyny döredýär. Bahalandyrmadan soň satjak önüminiň bardygyny hem soraň; öz platformasyny maslahat berýän hasabat satuw resminamasy bolup biler.

Usul. Teklip almanka çägiň nähili kesgitlenýändigini, tapyndylaryň nähili derejelendirilýändigini, gözegçilik ugurlary boýunça haýsy subutnamalaryň gerekdigini we nähili netijeleri aljakdygyňyzy soraň. Öňünden ýazylan usul tapyndylary soň sertifikasiýa auditorlaryna düşündirmegi aňsatlaşdyrýar.

Hasabatyň nusgasy. Iň gowy barlag şudur. Ady aýrylan tapyndy sanawyny we hasabaty görüp, näme aljakdygyňyzy bilersiňiz: tapyndylar subutnama hem bölümlere baglananmy, derejeleri esaslandyrylanmy, meýilnama yzygiderlimi ýa diňe islegleriň sanawy?

Türkiýedäki kompaniýalar üçin goşmaça iki sorag: bahalandyryjy maksatly bazaryň müşderilerine tanyş standartlary we sertifikasiýa edaralaryny bilýärmi, söhbetdeşlikleriň we resminamalaryň iş dili haýsy? Üpjin edijiler üçin RFP sanawy satyn alyşy baha bermegiň umumy usulyny, IT audit we maslahat sahypasy bolsa maslahatyň giňişleýin çägini düşündirýär.

Köplenç berilýän soraglar

Tapawutlary bahalandyrmak näçe wagt alýar?

Bu çäge bagly; çäk kesgitlenmezden wagt aýtmak çaklamadyr. Çäkdäki ýerleriň, ulgamlaryň we prosesleriň sany, resminamalaryň ýagdaýy hem-de söhbetdeşlik geçiriljek adamlaryň sany täsir edýär. Syýasatlary bar bolan bir bölüm üçin bahalandyrma köp ýerli, resminamasy ýok işden tapawutly bolar. Dogry möhlet çäk boýunça söhbetdeşlikden soň ýazmaça ylalaşylýar.

Satuw üçin ISO 27001 sertifikaty gerekmi?

Köplenç bu kanuny talap däl-de, müşderiniň talaby bolýar: tenderlerde, iri müşderilerde we düzgünleşdirilýän pudaklarda, aýratyn-da programma üpjünçiligi we hyzmatlarda sertifikat soralýar. Özüňiziň satuw mümkinçilikleriňizi barlaň: iki sany çynlakaý müşderi soran bolsa, işewürlik esaslamasy bar; hiç kim soramadyk bolsa, sebäbi girdejiden köp töwekgelçiligi azaltmak bolup biler. Standart tutuş guramany sertifikatlaşdyrmagy talap etmeýär, şonuň üçin müşderi bilen işleşýän bölümden başlap bolýar.

Statement of Applicability näme?

Annex A-daky ähli gözegçilikleri sanap, hersiniň çäge degişlidigini ýa däldigini, sebäbini we ýerine ýetirilişini görkezýän resminamadyr. Standart ony talap edýär we sertifikasiýa edarasy barlaýar. Ony ir taýýarlamak netijelidir: gözegçilikler baradaky çözgütler audit basyşynda däl, öňünden ýazmaça kesgitlenýär. SoA taslamasy ýokarda görkezilen dört netijäniň biridir.

Tapawutlaryň derejesi nähili kesgitlenýär?

Standartdaky ornuna görä däl-de, gurama ýetirýän töwekgelçiligine hem ileri tutulmagyna görä. Peýdaly baha sebäbini düşündirýär: kemçilik galanda näme bolup biler, kim ýa-da näme howp astynda, ony ýapmak üçin näme gerek. Sebäpsiz «ýokary/orta/pes» belgiler jedel döredýär; esaslandyrylan baha bolsa ýerine ýetirilýän meýilnama öwrülýär.

Tapawutlary bahalandyrmak auditiň ornuny tutup bilermi?

Ýok. Içerki audit we ýolbaşçylygyň gözden geçirişi ISMS-iň borçlary, sertifikasiýa auditi bolsa akkreditlenen edara tarapyndan geçirilýär. Tapawutlary bahalandyrmak bularyň öňüsyrasynda taýýarlyk görmäge kömek edýär, ýöne resmi audit statusy ýok. Ýokardaky «şahadatnama däl» diýen düşündirişe serediň; bulary garyşdyrýan hyzmat berijiden ýazmaça düşündiriş soraň.

Belli bir derejede kesişýär, emma şol bir zat däl. ISO 27001 maglumat howpsuzlygynyň dolandyryş standartydyr; şahsy maglumatlary goramaga diňe howpsuzlyk gözegçilikleriniň degişli ýerinde degýär. KVKK we GDPR kanuny esas, maglumat eýesiniň hukuklary, bozulma barada habar bermek we maglumat geçirmek düzgünleri ýaly hukuk borçlaryny kesgitleýär. ISMS olary goldap biler, ýöne ýeke özi ýerine ýetirmeýär. Köp kompaniýa umumy resminamalary ulanyp iki maksatnamany bile alyp barýar; hukuk meseleleri boýunça hünärmen bilen maslahatlaşmaly. Üpjin edijiler we hosting bilen bagly KVKK/GDPR borçlary IT autsorsing sahypasynda düşündirilýär.

Çeşmeler we standartlar

Ulanylýan standart ISO tarapyndan neşir edilen ISO/IEC 27001-dir (https://www.iso.org); bahalandyrma 4–10-njy bölümleri we 2022-nji ýyldaky Annex A-nyň 93 salgylanma gözegçiligini öz içine alýar. Sertifikasiýa ISO/IEC 17021 esasynda işleýän akkreditlenen sertifikasiýa edaralary tarapyndan geçirilýär. Bu sahypa hiç hili sertifikat talap etmeýär.
Iş tertibi, netijeler we ýygy duşýan tapyndylar tapawutlary bahalandyrmagyň umumy tejribesine esaslanýar: çäk kesgitlemek, resminamalary gözden geçirmek, söhbetdeşlik, tehniki nusga barlagy, derejelendirilen sanaw, düzediş meýilnamasy we SoA taslamasy. Wagty, çykdajysy ýa-da üstünlik göterimi görkezilmeýär.
Sertifikasiýa işiniň 1-nji tapgyr resminama auditi, 2-nji tapgyr ýerine ýetiriş auditi we soňraky gözegçiligi çap edilen sertifikasiýa gurluşyna laýyklykda düşündirilýär; häzirki talaplary saýlan edaraňyz bilen tassyklaň.
WorldwideTradeX ISO 27001 sertifikatyna ýa-da akkreditasiýasyna eýe diýlen talap, ýa-da sertifikat kepilligi bu sahypada ýok. Maglumatlary goramak boýunça borçlar düşündirilmeýär, diňe atlandyrylýar; öz ýagdaýyňyza degişli düzgünleri hünärmen bilen tassyklaň.

Degişli sahypalar

IT audit we maslahat · Sanly infrastruktura · Türkiýeden IT autsorsing · Üpjin ediji üçin RFP sanawy · Bahany soraň