ISO 27001: הרבה יותר מתעודה על הקיר

לעיתים פרויקט ISO 27001 מתחיל ממשפט פשוט של לקוח: "אנחנו צריכים שתהיו מוסמכים". לפעמים זו דרישה במכרז. לפעמים לקוח גדול מבקש לראות תעודה. ולפעמים ההנהלה מחליטה שהגיע הזמן לעשות סדר.

בכל המקרים האלה קל מאוד להפוך את ISO 27001 לפרויקט שמטרתו אחת: לעבור את המבדק. אבל אם זו המטרה היחידה, הארגון עלול להשקיע מאמץ רב ולקבל רק חלק קטן מהערך האפשרי.

ISO אינו תחרות כתיבת נהלים

אחד הדברים שקל לראות בתהליך תקינה הוא הצטברות מסמכים. מדיניות. נוהל. טופס. טבלה. עוד נוהל. עוד טופס.

אבל מספר המסמכים אינו מדד לאיכות מערכת ניהול אבטחת המידע. נוהל שאף אחד אינו מכיר אינו בהכרח מגן על משהו. טופס שאיש אינו משתמש בו אינו תהליך. וסקר סיכונים שלא משפיע על החלטות הוא רק קובץ.

הערך מתחיל כאשר המסמכים משקפים את הדרך שבה הארגון באמת עובד.

תקן אבטחת מידע הוא קודם כול מערכת ניהול

המילה החשובה היא "ניהול". הארגון צריך:

• להבין את ההקשר שלו.
• לדעת אילו נכסים ותהליכים חשובים.
• להבין סיכונים.
• להגדיר אחריות.
• לבחור בקרות.
• לעקוב, לבדוק ולשפר.

זה שונה מאוד מפרויקט שבו אוספים מסמכים לקראת מבדק פעם בשנה.

למה ההנהלה צריכה להיות חלק מהתהליך?

כי החלטות על סיכון הן החלטות ניהוליות. נניח שנמצא סיכון משמעותי שדורש השקעה. מי מאשר את התקציב? מי מחליט האם לקבל את הסיכון או לצמצם אותו? מי קובע אילו מערכות חשובות יותר?

IT יכול לספק מידע מקצועי. אבל ההנהלה היא זו שנדרשת לקבל החלטות שמשפיעות על העסק. לכן מערכת ISO אפקטיבית מחייבת חיבור אמיתי להנהלה, ולעיתים גם בעל תפקיד כמו CISO חיצוני שמחזיק את התהליך לאורך זמן.

מבחן פשוט: האם מה שכתוב באמת קורה?

• אם הנוהל אומר שהרשאות נבחנות, האם הן באמת נבחנות?
• אם כתוב שספקים עוברים הערכה, האם יש תהליך כזה?
• אם מוגדר לבצע בדיקות שחזור, מתי בוצעה האחרונה?
• אם כתוב שעובדים מקבלים הדרכה, האם ניתן לראות שזה קרה?

זה בדיוק המקום שבו ארגונים מבינים שהפער אינו בהכרח במסמך. הפער נמצא בין המסמך לבין המציאות.

ISO טוב יוצר שגרה

הערך האמיתי של מערכת ניהול מופיע כאשר אבטחת המידע הופכת לחלק מהעבודה:

• עובד חדש מקבל הרשאות מסודרות, ועובד שעוזב מאבד אותן.
• שינוי משמעותי נבחן.
• ספק חדש עובר תהליך.
• ממצאי סקר סיכונים מקבלים בעלים ומועד טיפול.
• אירועים נרשמים ונלמדים.
• ההנהלה מקבלת תמונת מצב.

זו כבר לא "עבודת ISO". זו דרך לנהל את הארגון.

ומה אחרי קבלת התעודה?

דווקא כאן מתחילה העבודה החשובה. העסק ממשיך להשתנות. מערכות חדשות נכנסות. עובדים מצטרפים. איומים משתנים. לקוחות מעלים דרישות חדשות.

מערכת ניהול שלא מתפתחת יחד עם הארגון מאבדת מהר מאוד את הרלוונטיות שלה. לכן תעודה היא נקודת ציון, לא קו הסיום.

ISO 27001 עם מרום סייבר

מרום סייבר מסייעת לארגונים לחבר בין דרישות התקן לבין המציאות בפועל, כך שהתוצאה תהיה לא רק מערכת שעוברת מבדק, אלא מסגרת שעוזרת לנהל סיכונים באופן מסודר. זה חלק משירותי אבטחת המידע וייעוץ הסייבר שלנו.

שאלות נפוצות