ISO/IEC 27001. РАЗРАБОТКА, ВНЕДРЕНИЕ И СЕРТИФИКАЦИЯ

Это может показаться довольно очевидным, и Вы можете посчитать это несерьезным. Но основной причиной, по которой проекты ISO 27001 терпят неудачу – руководство предоставляет недостаточно людей для работы над проектом и/или недостаточно денег.

Внедрение ISO 27001 – это сложный процесс длительностью от нескольких месяцев до года, включающий в себя набор мероприятий и вовлеченность части сотрудников. Потому необходимо четко определить: что должно быть сделано, кем и в какие сроки (т.е. использовать управление проектами), иначе Вы можете никогда не закончить работу.

Если Вы являетесь крупной организацией, необходимо определить на какую область деятельности Вы хотите распространить систему ISO 27001, что значительно сократит издержки по внедрению.

Политики системы менеджмента информационной безопасности – это документы самого высокого уровня в Вашей компании, которые должны определить основные проблемы информационной безопасности в Вашей организации.

Оценка рисков является наиболее сложной задачей в проекте внедрения ISO 27001: необходимо определить правила идентификации уязвимостей, угроз, воздействий и вероятности их возникновения, а также определить приемлемый уровень риска для активов.

Здесь Вы должны получить полное представление об опасности для информации Вашей организации. Цель процесса обработки рисков состоит в том, чтобы уменьшить риски, которые являются неприемлемыми – это обычно делается путем планирования использования средств контроля из Приложения A ISO/IEC 27001. На этом этапе должны быть написаны: отчет об оценке рисков, в котором документируются все шаги, предпринятые в процессе оценки и обработки рисков, и одобрение остаточных рисков.

После обработки рисков Вы сможете определиться с необходимыми элементами управления из Приложения А. Получившийся документ (SoA) будет содержать перечень всех элементов управления и определять, какие из них применимы, а какие нет (с указанием причины такого решения, целей, которые должны быть достигнуты с помощью элементов управления, и описанием того, как они реализуются).

В нем будет точно определено, как должны быть реализованы средства управления из SoA – кто будет это делать, когда, с каким бюджетом и т. д. Этот документ фактически является планом реализации, ориентированным на Ваши элементы управления, без которых Вы не смогли бы координировать дальнейшие шаги в проекте внедрения.

Еще одна задача, которую обычно недооценивают. Дело в том, что если Вы не можете измерить то, что сделали, как Вы можете быть уверены, что выполнили свои цели? Поэтому обязательно определите, как Вы собираетесь измерять выполнение целей, которые Вы установили как для всех СМИБ, так и для каждого применимого контроля в заявлении о применимости.

Реализация обязательных процедур и применимых элементов управления из Приложения A обычно означает использование новой технологии и внедрение новой модели поведения в Вашей организации.

Чтобы Ваш персонал применял все новые политики и процедуры, необходимо объяснить им причины и обучить своих людей, чтобы они могли выполнять предписания. Отсутствие этих мероприятий является третьей наиболее распространенной причиной неудачи проекта ISO 27001.

Здесь ISO 27001 становится повседневной рутиной в Вашей организации. Ключевое слово тут «записи» (логи), которые любят аудиторы: без них Вам будет очень трудно доказать, что действительно было что-то сделано. Но записи - это не только рутина, но и помощь в отслеживании выполнения Вашими сотрудниками (и поставщиками) своих задач по мере их возникновения.

Что происходит в Вашей системе менеджмента информационной безопасности? Сколько у Вас бывает инцидентов и какого они типа? Все ли процедуры выполняются правильно? Именно здесь цели Вашего управления и методологии измерения объединяются – Вы должны проверить, достигают ли полученные результаты того, что Вы установили в своих целях. Если нет и что-то не так, то Вы должны выполнить корректирующие и/или улучшающие действия.

Очень часто люди не осознают, что они делают что-то неправильно, или понимают, но не хотят, чтобы кто-то узнал об этом. А неосведомленность о существующих или потенциальных проблемах может нанести вред Вашей организации – вот почему проводится внутренний аудит, чтобы выявить проблемы такого рода. Речь здесь идет не о принятии дисциплинарных мер, а о корректирующих действиях по управлению рисками.

Руководство не должно настраивать программные средства, но оно должно знать, что происходит в системе менеджмента информационной безопасности, т. е. каждый ли выполнил свои обязанности, достигает ли СМИБ желаемых результатов и т. д. На основе этих данных руководство должно принимать оперативные и стратегические решения.

Цель системы управления состоит в том, чтобы гарантировать, что все, что неправильно - исправлено, а лучше предотвращено. Поэтому ISO 27001 требует, чтобы действия по управлению рисками проводились систематически, что означает, что первопричина несоответствия должна быть выявлена, а затем устранена и проверена.