ISO 27001 bo'shliqlarni baholash: bosqichlar va natijalar

ISO 27001 bo'shliqlarini baholash amaldagi nazoratlar va hujjatlarni standart bandlari hamda Annex A nazoratlar to'plami bilan solishtiradi va ustuvorliklar berilgan tuzatishlar rejasini taqdim etadi. U kompaniyani sertifikatlash auditiga tayyorlaydi, biroq o'zi sertifikat emas va hech bir baholash undan keyin sertifikat berilishini va'da qila olmaydi.

ISO 27001 bo'shliqlarini baholash nima?

ISO/IEC 27001 axborot xavfsizligini boshqarish tizimi (ISMS) uchun xalqaro standartdir: u bir marta o'rnatilib qo'yiladigan emas, balki hujjatlashtiriladigan, xatarga asoslangan, doimiy saqlanadigan va takomillashtiriladigan siyosatlar, jarayonlar hamda nazoratlar majmuasidir. Sertifikat akkreditatsiyadan o'tgan sertifikatlash organi tomonidan o'z auditlaridan keyin beriladi; standartning o'zi ISO tashkilotidan sotib olinadi va har bir baholash aynan uning talablariga nisbatan o'tkaziladi.

Bo'shliqlarni baholash bitta savolga halol javob beradi: tashkilot bugun ushbu talablarga javob berishdan qanchalik uzoqda? Unda mavjud narsalar — hujjatlar, amaliyot va texnik konfiguratsiya — ko'rib chiqiladi, farqlar esa standart bandlari (4-10-bandlar boshqaruv tizimiga qo'yiladigan talablarni o'z ichiga oladi) hamda Annex A nazoratlar to'plamiga nisbatan xulosalar sifatida qayd etiladi. 2022-yilgi versiyada ushbu to'plam mavzular bo'yicha guruhlangan 93 ta namunaviy nazoratni o'z ichiga oladi.

Keyinchalik chalkashliklarning oldini oladigan uchta aniqlik:

Bu audit emas, tayyorgarlik mashqidir. Akkreditatsiya ham, sertifikatlash qarori ham, sertifikatlash organining raqamlash tizimidagi rasmiy nomuvofiqlik ham bo'lmaydi. Natija — amalda ishlatiladigan reja.

Doira majburan emas, tanlab belgilanadi. ISO 27001 butun tashkilotni sertifikatlashni talab qilmaydi: chegara aniq belgilanib, asoslantirilgan bo'lsa, doira biznes bo'linmasi, manzil, mahsulot liniyasi yoki tizimlar to'plami bo'lishi mumkin. Aksariyat kompaniyalar avval tor doirani tanlaydi — bu baholash va sertifikatlash xarajatlarini ikki baravar kamaytiradigan qaror bo'lib, birorta hujjat ko'rib chiqilishidan oldin hal qilinishi kerak.

Dalillarga nisbatan halol bo'ladi. Hujjatda bir narsa yozilib, amaliyotda boshqa narsa bajarilsa, bu holat qanday bo'lsa shunday qayd etiladi, chunki sertifikatlash auditori keyin ayni farqni noqulayroq paytda topadi.

Baholash jarayoni

Quyidagi olti bosqich amaliy baholash qanday o'tishini ko'rsatadi. Jadvaldagi natija ustuni asosiy nuqtadir: har bir bosqich saqlab qo'yiladigan hujjat yoki artefakt berishi kerak, shunchaki taassurot emas:

A-jadval: bosqich | nima amalga oshiriladi | natija

Bosqich	Nima amalga oshiriladi	Natija
Doirani belgilash	ISMS chegarasi: qaysi manzillar, bo'limlar, tizimlar va ma'lumotlar doiraga kirishi hamda nima sababdan kirishi kelishiladi; manfaatdor tomonlar va ularning talablari aniqlanadi	Asoslantirilgan doira bayonoti, 1-bosqich auditida qayta ishlatishga tayyor
Hujjatlarni ko'rib chiqish	Mavjud siyosatlar, tartib-taomillar va qaydlar 4-10-bandlar hamda Annex A bo'yicha o'qiladi; hujjatlar haqiqatni yoki faqat rejalashtirilgan holatni ifodalashi tekshiriladi	Har bir band bo'yicha holat ko'rsatilgan hujjatlar ro'yxati: mavjud / qisman / yo'q, ko'rilgan dalillar bilan
Suhbatlar	Jarayonlarni yuritadigan xodimlar — IT, HR, operatsiyalar, moliya va rahbariyat — bilan gaplashiladi, turli rollarning javoblari solishtiriladi; ikki bo'lim o'rtasidagi ziddiyatlar ham xulosa hisoblanadi	Har bir jarayon bo'yicha suhbat qaydlari, amaliyot va hujjat o'rtasidagi farqlar bilan
Texnik tekshiruvlar	Haqiqiy konfiguratsiyadan namuna olinadi: kirish ro'yxatlari, jurnallash, zaxira topshiriqlari va tiklash dalillari, yangilanish holati, jismoniy kirish — bular namuna asosidagi tekshiruv bo'lib, penetratsion test emas	Har bir nazorat sohasi bo'yicha tekshiruv natijalari, natijani qayta tekshirish uchun namunalar va sanalar bilan
Reyting berish	Har bir xulosa jiddiylik va mehnat hajmi bo'yicha baholanadi; jiddiylik Annex A dagi nazorat o'rniga emas, tashkilot uchun xatarga bog'lanadi	Bo'shliqlar reyestri: band yoki nazorat, amaldagi holat, xulosa, jiddiylik, tavsiya etilgan mas'ul
Hisobot va yo'l xaritasi	Xulosalar hisobotga jamlanadi va ishlar ketma-ketligi tuziladi: tezkor foydalar, tizimli masalalar hamda 1-bosqich auditigacha mavjud bo'lishi kerak bo'lgan hujjatlar	Bo'shliqlar tahlili hisoboti, ustuvorliklari ko'rsatilgan tuzatishlar yo'l xaritasi, Muvofiqlik bayonotining loyihasi

Usul haqida: standart bo'shliqlarni baholash qanday o'tkazilishini belgilamaydi, shuning uchun xizmat ko'rsatuvchilar yondashuvida farq bo'ladi. Foydali baholashni qimmat, ammo samarasiz ko'rib chiqishdan ajratib turadigan jihat — dalillar intizomi, ya'ni xulosalarning sertifikatlash auditori qayta tekshirishi mumkin bo'lgan narsaga bog'lanishi, hamda keyinchalik ishlatiladigan reyestrdir. Xavfsizlik ishlari bilan bog'liq boshqaruv va audit masalalari IT auditi va konsalting sahifasida, ISMS ortidagi infratuzilmani himoyalashning kengroq konteksti esa raqamli infratuzilma sahifasida ko'rib chiqiladi.

Natijalar

Jiddiy baholashni to'rtta artefakt belgilaydi. Taklifda ularning to'rttasi ham ko'rsatilmagan bo'lsa, sababini so'rang:

Bo'shliqlar tahlili hisoboti. Ko'rib chiqilgan doira, usul, bandlar va nazorat sohalari bo'yicha xulosalar hamda bosh direktor o'n daqiqada o'qiy oladigan ijrochi xulosasi bayon qilinadi. Hisobot farqlarni tushuntiradi, ularni shunchaki sanab o'tmaydi.

Bo'shliqlar reyestri. Ishchi ma'lumotlar bazasi: har bir xulosa band yoki Annex A havolasi, amaldagi holat, jiddiylik va ustuvorlik bilan qayd etiladi. Keyinchalik loyiha shu reyestr asosida yuradi — u hisobotni mas'ullar biriktirilgan vazifalar ro'yxatiga aylantiradi.

Tuzatishlar yo'l xaritasi. Xulosalar rejaga ketma-ket joylanadi: 1-bosqich auditigacha nima mavjud bo'lishi kerak, ISMSning dastlabki oylarida nimalar bajariladi va nimalar kutishi mumkin. Ketma-ketlik bog'liqliklarni hisobga oladi — kirish ro'yxatlari mavjud bo'lmasa, kirishlarni har chorakda ko'rib chiqib bo'lmaydi.

Muvofiqlik bayonotining (SoA) loyihasi. Unda har bir Annex A nazorati, uning qo'llanilish doirasiga tegishli yoki tegishli emasligi va buning sababi, shuningdek qanday joriy etilgani ko'rsatiladi. Baholash vaqtida tayyorlangan SoA loyihasi sertifikatlash loyihasida eng katta vaqtni tejaydi, chunki muqobil holatda muddat bosimi ostida 93 ta qarorni bo'sh sahifadan yozishga to'g'ri keladi.

Natijalar yozma shaklda topshiriladi va xaridorga tegishli bo'ladi. Imzo qo'yishdan oldin namuna hisobotini ko'rsatishni istamaydigan xizmat ko'rsatuvchi hisobot haqida nimanidir oshkor qilmoqda.

Baholash nimani anglatmaydi

Buni aniq belgilash keyingi bahslarning oldini oladi:

Bu sertifikat emas. Faqat ISO/IEC 17021 talablari va sertifikatlash organining akkreditatsiyasi asosida ishlaydigan akkreditatsiyadan o'tgan sertifikatlash organi ISMSni sertifikatlay oladi. Baholash maslahat xizmati; uning xulosalari sertifikatlash organi oldida rasmiy kuchga ega emas va hech qanday baholash natijasi sertifikatni kafolatlamaydi — tashkilot baholashdan o'tib, auditor mustaqil aniqlagan xulosalar sabab 2-bosqich auditidan o'tolmasligi mumkin.

Bu ichki audit emas. Standart ISMSni yuritishning bir qismi sifatida ichki auditlar va rahbariyat ko'rib chiqishini talab qiladi; bular tizim ichidagi, keyinroq bajariladigan majburiyatlardir, baholash esa ularga yetib borish uchun bajariladigan ishdir.

Bu xavfsizlik testi emas. Konfiguratsiyadan namuna olish uning bir qismidir; penetratsion test yoki to'liq texnik audit esa boshqa doira va chuqurlikka ega alohida xizmatdir.

Bu huquqiy xulosa emas. ISO 27001 va ma'lumotlarni himoya qilish qonunchiligi bir-biriga tegishli bo'lsa-da, turli vositalardir — quyidagi FAQga qarang — va na baholash, na uning hisoboti malakali yuridik yoki ma'lumotlarni himoya qilish bo'yicha maslahatchi tavsiyasining o'rnini bosadi.

Bu sertifikatlash bo'yicha va'da emas. Sertifikatlashni kafolatlayotganini bildiradigan, muvaffaqiyat darajasini keltiradigan yoki mustaqil qaror qiladigan sertifikatlash organi bilan aloqasini ko'rsatadigan har qanday xizmat ko'rsatuvchi savdo ustunligi emas, ogohlantiruvchi belgi sifatida baholanishi kerak. Mustaqillik — xizmatning asosiy qiymatidir.

Sertifikatlash auditiga tayyorgarlik

Baholashning haqiqiy qiymati undan keyingi sertifikatlash loyihasida ko'rinadi. Ularning bog'lanishi quyidagicha:

1-bosqich hujjatlar va doirani tekshiradi: ISMS doirasi bayonoti, xatarlarni baholash va ularga ishlov berish, siyosatlar, Muvofiqlik bayonoti, ichki audit qaydlari va rahbariyat ko'rib chiqishi qaydlari. 1-bosqichdagi xulosalarning aksariyati yetishmayotgan yoki eskirgan hujjatlardir; aynan ularni baholashdagi hujjatlarni ko'rib chiqish va SoA loyihasi tayyorlaydi.

2-bosqich joriy etish va amaliyotni tekshiradi: doira bo'ylab namuna olish orqali nazoratlar hujjatlarda yozilganidek ishlayaptimi. Baholashdagi suhbatlar va texnik tekshiruvlar bunga tayyorgarlik vazifasini bajaradi — kirishlarni ko'rib chiqish va hodisalarni boshqarish haqida avval savollarga javob bergan jamoa audit paytida xotirjamroq ishlaydi.

Kuzatuv va takroriy tekshiruvlar sertifikatlashdan keyin davom etadi, shuning uchun yo'l xaritasi hujjatlar to'plamini emas, ishlaydigan tizimni yaratishi kerak: muntazam takrorlanadigan kirishlar ko'rib chiqilishi, qayd etiladigan hodisalar, jurnalga tushiriladigan treninglar, tiklanadigan va sinovdan o'tkaziladigan zaxiralar. Bitta auditdan o'tish uchun qurilgan ISMS birinchi kuzatuv auditidayoq izdan chiqadi.

Baholash odatda ko'rsatib beradigan amaliy tayyorgarlik masalalari: har bir nazorat sohasiga tashkilot ichida kim mas'ul ekani, rahbariyat ko'rib chiqishi haqiqiy yig'ilishmi yoki shunchaki imzomi, ichki auditorlar audit qilayotgan faoliyatdan mustaqilmi va auditlar oralig'ida qaydlar qanday saqlanishi. Buni birinchi marta qilayotgan kompaniya uchun hamroh IT masalalari — jurnallash, kirishni boshqarish va zaxiralash intizomi — raqamli infratuzilma sahifasida, yetkazib beruvchi va ma'lumotlar bilan ishlash majburiyatlari esa IT autsorsing sahifasida ko'rib chiqiladi.

Odatdagi bo'shliqlar

Kichik va o'rta kompaniyalarda ko'p takrorlanadigan xulosalar, taxminan uchrashish tezligi bo'yicha:

Aktivlar ro'yxati. Tizimlar, qurilmalar va ma'lumotlarning mas'ullari ko'rsatilgan yangilangan ro'yxati yo'q. Deyarli barcha boshqa nazoratlar nima mavjudligini bilishga bog'liq, shuning uchun bu odatda yo'l xaritasidagi birinchi band bo'ladi.

Xatarlarni baholash usuli. U umuman yo'q yoki tashkilotga xos asoslantirishsiz tayyor shablondan olingan; sertifikatlash auditori xatarlar qanday aniqlangani va ularga qanday ishlov berilganini so'raydi, "buni maslahatchi yozgan" esa qabul qilinadigan javob emas.

Yetkazib beruvchilarni boshqarish. Qaysi yetkazib beruvchilar kompaniya ma'lumotlariga tegishi ko'rsatilgan reyestr yo'q, yetkazib beruvchi shartnomalarida xavfsizlik talablari yo'q, ko'rib chiqish davriyligi belgilanmagan. Ishlab chiqish hamkorlari bilan ishlaydigan kompaniyalarda bu bo'shliq IT autsorsing sahifasida ko'rib chiqiladigan shartnoma masalalariga bevosita bog'liq.

Kirishlarni ko'rib chiqish. Hisoblar xodim ishga kirganda berilib, keyin hech qachon tekshirilmaydi; ishdan ketganlar kirish ro'yxatida qoladi; administrator huquqlari lavozimidan ketgan xodimlarda saqlanadi. Qog'ozda mavjud, ammo qaydlari yo'q ko'rib chiqishlar xulosaning yarmigina hisoblanadi.

Hodisalarni boshqarish. Belgilangan jarayon, aloqa ro'yxati va sodir bo'lgan hodisalarni qayd etish tartibi yo'q. Kompaniya bo'lganini unutgan hodisalar auditda xulosaga aylanishi mumkin.

Xabardorlik treningi. Qaydlar bilan yuritiladigan takroriy dastur o'rniga ishga qabul paytida bir marta ko'rsatiladigan slayd. Standart xodimlar o'z majburiyatlarini biladimi, deb so'raydi; sanasi ko'rsatilgan qatnashuv ro'yxati bunga javob beradi.

Zaxiralarni sinash. Zaxira nusxalari sozlangan, ammo hech qachon tiklanmagan. Biror marta ham urinib ko'rilmagan tiklash sinovdan o'tmagan nazoratdir; baholashdagi texnik tekshiruv odatda jadval skrinshotini emas, tiklash bajarilganini tasdiqlovchi dalilni so'raydi.

Xizmat ko'rsatuvchini qanday tanlash kerak

Uchta savol puxta baholashni qimmat ko'rib chiqishdan ajratadi:

Mustaqillik. Baholovchi sertifikatlash qaroridan manfaatdor bo'lmasligi kerak — baholovchilar sertifikat bermaydi, buni sertifikatlash organlari bajaradi, ikkala xizmatni va'da qilayotgan provayder esa xizmatni emas, manfaatlar to'qnashuvini tasvirlamoqda. Mustaqillik baholovchining keyin sotadigan mahsuloti yo'qligini ham anglatadi: platformangizni tavsiya qiladigan baholash xulosalar ilova qilingan savdo hujjatidir.

Usul. Taklifdan oldin usulni so'rang: doira qanday kelishiladi, xulosalar qanday baholanadi, har bir nazorat sohasi bo'yicha qanday dalillar kerak va qanday natijalar topshiriladi. Oldindan yozib qo'yilgan usul keyinchalik sertifikatlash auditori oldida xulosalarni asoslashga yordam beradi.

Namuna hisobot. Eng yaxshi sinov shu. Tahrirlangan bo'shliqlar reyestri va hisobot aynan nimani olishingizni ko'rsatadi: xulosalar dalillar bilan bandlarga bog'langanmi, jiddiyliklar asoslanganmi va yo'l xaritasi ketma-ket reja yoki shunchaki istaklar ro'yxatimi.

Turkiyadagi kompaniyalar uchun ikkita amaliy qo'shimcha bor: baholovchi maqsadli bozordagi mijozlarga tanish standartlar va sertifikatlash organlari bilan ishlashini tasdiqlang, chunki mijoz talablari ko'pincha muayyan sxemalarni ko'rsatadi; suhbatlar va hujjatlar uchun ish tilini ham aniqlang, chunki xulosalar ularni tuzatadigan jamoalar uchun tushunarli bo'lishi kerak. Yetkazib beruvchilar uchun RFP ro'yxati bunday xaridni baholashning umumiy usulini beradi, IT auditi va konsalting sahifasi esa kengroq maslahat kontekstini yoritadi.

Tez-tez beriladigan savollar

Bo'shliqlarni baholash qancha vaqt oladi?

Bu doiraga bog'liq; doira belgilanmasdan muddat aytgan har kim taxmin qilmoqda. Asosiy omillar — doira hajmi, ya'ni chegaraga kiradigan manzillar, tizimlar va jarayonlar soni, hujjatlarning holati hamda suhbatdan o'tishi kerak bo'lgan xodimlar soni. Mavjud siyosatlarga ega bitta bo'lim doirasi noldan boshlanadigan bir nechta manzilli doiradan butunlay boshqa xizmatdir; halol javob doirani aniqlash suhbatidan keyin yozma ravishda beriladi.

Sotish uchun ISO 27001 kerakmi?

Odatda bu huquqiy talab emas, balki mijoz talabi: tenderlar, yirik hisoblar va tartibga solinadigan xaridorlar, ayniqsa dasturiy ta'minot va xizmatlar sohasida, sertifikatlashni tobora ko'proq so'ramoqda. Amaliy javob — o'z savdo imkoniyatlaringizni tekshirish: agar ikkita jiddiy istiqbolli mijoz so'ragan bo'lsa, biznes asosi mavjud; hech kim so'ramagan bo'lsa, asos daromaddan ko'ra xatarlarni kamaytirishga tayanadi. Standart butun tashkilotni sertifikatlashni talab qilmaydi, shuning uchun doirasi belgilangan sertifikatlash avval biznesning mijozlar bilan ishlaydigan qismini qamrab olishi mumkin.

Muvofiqlik bayonoti nima?

Bu har bir Annex A nazoratini sanab o'tadigan, uning doirangizga tegishli yoki tegishli emasligini va sababini ko'rsatadigan hamda qanday joriy etilganini tushuntiradigan hujjatdir. U standart bo'yicha talab qilinadi va sertifikatlash organi tomonidan ko'rib chiqiladi; shuningdek, uni erta tayyorlash eng samarali yo'ldir, chunki nazoratlar bo'yicha qarorlarni audit bosimi ostida emas, bir marta yozma shaklga keltirishga majbur qiladi. SoA loyihasi yuqoridagi to'rtta baholash natijasidan biridir.

Bo'shliqlar qanday baholanadi?

Jiddiylik va ustuvorlik bo'yicha, jiddiylik esa standartdagi nazorat o'rniga emas, tashkilot uchun xatarga bog'lanadi. Foydali reyting o'zini o'zi tushuntiradi: bo'shliq yopilmasa nima sodir bo'lishi mumkin, kim yoki nima xavf ostida qoladi va uni yopish uchun nimalar kerak. Sababsiz faqat "yuqori/o'rta/past" deb ajratilgan reytinglar keyinchalik bahs keltirib chiqaradi; yozma asosga ega reytinglar esa odamlar amal qiladigan yo'l xaritasini yaratadi.

Bo'shliqlarni baholash auditning o'rnini bosa oladimi?

Yo'q. Ichki audit va rahbariyat ko'rib chiqishi ISMS ichidagi majburiyatlardir, sertifikatlash auditi esa akkreditatsiyadan o'tgan sertifikatlash organiga tegishli. Bo'shliqlarni baholash ikkalasidan oldin o'tkaziladi va ikkalasiga ham yordam beradi, biroq audit maqomiga ega emas — yuqoridagi "sertifikat emas" degan izoh shuni anglatadi; buni xiralashtiradigan har qanday xizmat ko'rsatuvchidan yozma tushuntirish so'rash kerak.

U KVKK yoki GDPRni qamrab oladimi?

Qisman kesishadi, ammo bir xil emas. ISO 27001 axborot xavfsizligi bo'yicha boshqaruv tizimi standartidir va xavfsizlik nazoratlari shaxsiy ma'lumotlarni himoyalagan joydagina ma'lumotlarni himoya qilishga tegadi; KVKK va GDPR esa huquqiy majburiyatlarni — qonuniy asos, ma'lumot subyekti huquqlari, buzilish haqida xabar berish va uzatish qoidalarini — belgilaydi. ISMS ularni qo'llab-quvvatlashi mumkin, ammo o'z-o'zidan ularning o'rnini bosa olmaydi. Ko'plab kompaniyalar umumiy artefaktlardan foydalanib ikkala dasturni yuritadi, huquqiy masalalar esa malakali maslahatchi zimmasida qoladi; yetkazib beruvchilar va hosting bo'yicha KVKK/GDPR majburiyatlari IT autsorsing sahifasida ko'rib chiqiladi.

Manbalar va standartlar

Standartning o'zi ISO/IE 27001 bo'lib, ISO tomonidan nashr etilgan (https://www.iso.org); baholanadigan talablar 4-10-bandlar va Annex A nazoratlar to'plamidir, 2022-yilgi versiyada unda 93 ta namunaviy nazorat bor. Sertifikatlash ISO/IEC 17021 asosida ishlaydigan akkreditatsiyadan o'tgan sertifikatlash organlari tomonidan amalga oshiriladi; ushbu sahifada hech qanday sertifikatlash da'vosi yo'q.
Jarayon, natijalar va odatiy bo'shliqlar haqidagi bayonotlar bo'shliqlarni baholash bo'yicha umumiy amaliyotga (doirani belgilash, hujjatlarni ko'rib chiqish, suhbatlar, texnik namuna olish, jiddiylik bo'yicha baholangan bo'shliqlar reyestri, tuzatishlar yo'l xaritasi, Muvofiqlik bayonoti loyihasi) asoslanadi; ushbu sahifada muddat, xarajat yoki muvaffaqiyat darajasi keltirilmagan.
Sertifikatlash jarayoni haqidagi bayonotlar (1-bosqich hujjatlar auditi, 2-bosqich joriy etish auditi, kuzatuv) standartning e'lon qilingan sertifikatlash tizimiga asoslanadi; amaldagi qoidalarni tanlagan sertifikatlash organi bilan tasdiqlang.
WorldwideTradeX ISO 27001 sertifikatiga ega yoki akkreditatsiyadan o'tgan degan da'vo, shuningdek sertifikatlash kafolati ushbu sahifaning hech bir joyida keltirilmagan; ma'lumotlarni himoya qilish majburiyatlari nomlangan, talqin qilinmagan — tegishli tartibni malakali maslahatchi bilan tasdiqlang.

Tegishli sahifalar

IT auditi va konsalting · Raqamli infratuzilma · Turkiyadan IT autsorsing · Yetkazib beruvchilar uchun RFP ro'yxati · Narx so'rash