ליווי להסמכת ISO 27001 לעסקים וארגונים
מסקר הפערים הראשון ועד מבדק ההסמכה. בונים איתכם מערכת ניהול אבטחת מידע שעובדת ביום יום, ולא קלסר נהלים שנשאר על המדף.
אלעד מלווה כל תהליך באופן אישי, מהשיחה הראשונה ועד מבדק ההסמכה.
מה זה ISO 27001, ולמי זה מיועד
ISO/IEC 27001 הוא התקן הבינלאומי המוביל לניהול אבטחת מידע. התקן לא מכתיב מוצר או טכנולוגיה מסוימת. הוא מגדיר איך ארגון מזהה את הסיכונים למידע שלו, מחליט אילו בקרות ליישם, ומוודא לאורך זמן שהן באמת פועלות. המסגרת הזו נקראת מערכת ניהול אבטחת מידע (ISMS). הגרסה העדכנית של התקן, משנת 2022, כוללת בנספח A רשימה של 93 בקרות בארבעה תחומים: ארגוני, אנושי, פיזי וטכנולוגי.
ההסמכה עצמה ניתנת על ידי גוף התעדה חיצוני ומוסמך, ולא על ידי היועץ, והתשלום לגוף ההתעדה נפרד מעלות הליווי. התפקיד שלנו הוא להביא אתכם למבדק מוכנים: עם מערכת ניהול שמתאימה לגודל הארגון, עם תיעוד שמשקף את מה שקורה בפועל, ועם צוות שמבין מה נדרש ממנו. בדרך כלל הצורך מגיע מבחוץ, מלקוח גדול, ממכרז או משאלון ספקים. ארגון שעושה את התהליך נכון מקבל גם סדר פנימי שנשאר הרבה אחרי שהתעודה נתלתה על הקיר.
מתי ארגון צריך ISO 27001
אם אחד מהמצבים האלה מוכר לכם, זה הזמן לבדוק את הנושא ברצינות.
לקוח או מכרז דורשים תעודה
לקוח אסטרטגי, חברה בינלאומית או מכרז מציבים את ISO 27001 כתנאי סף, ופתאום יש תאריך יעד.
שאלוני אבטחה שחוזרים על עצמם
כל לקוח חדש שולח שאלון ספקים ארוך. הסמכה מוכרת עונה על חלק גדול מהשאלות מראש וחוסכת זמן בכל עסקה.
רוצים סדר, לא רק תעודה
הארגון גדל, והאבטחה מתנהלת לפי זיכרון של אנשים. התקן נותן מסגרת מסודרת לניהול סיכונים, הרשאות, ספקים ואירועים.
ליווי מלא, משלב הפערים ועד המבדק
אפשר לקחת את התהליך כולו, או רק את השלבים שחסרים לכם.
סקר פערים (Gap Analysis)
בדיקת המצב הקיים מול דרישות התקן ובקרות נספח A, כדי לדעת בדיוק מה כבר קיים ומה חסר.
תוצר: דוח פערים ותוכנית עבודההגדרת תחולה וניהול סיכונים
קביעת גבולות ה-ISMS, מיפוי נכסי המידע, הערכת סיכונים ותוכנית טיפול מתועדפת.
תוצר: מרשם סיכונים ותוכנית טיפולמדיניות, נהלים והצהרת ישימות
כתיבת המסמכים שהתקן דורש, בהתאמה לאופן שבו הארגון עובד בפועל, כולל הצהרת הישימות (SoA).
תוצר: ערכת תיעוד מלאהיישום הבקרות בפועל
ליווי מעשי ביישום: הרשאות, גיבויים, ניהול ספקים, אבטחה פיזית, תגובה לאירועים והקשחת מערכות.
תוצר: בקרות פועלות ומתועדותהדרכת עובדים והנהלה
הדרכות מודעות לעובדים, והכנת ההנהלה לתפקיד שהתקן מטיל עליה, כולל סקר הנהלה.
תוצר: הדרכות מתועדותמבדק פנימי וליווי במבדק ההסמכה
ביצוע מבדק פנימי כנדרש בתקן, סגירת ממצאים, וליווי שלכם מול גוף ההתעדה בשני שלבי המבדק.
תוצר: מוכנות מלאה למבדקאיך נראה התהליך
ארבעה שלבים, עם אבני דרך שאתם רואים לאורך כל הדרך.
1. היכרות וסקר פערים
מבינים את הארגון, את הדרישה העסקית ואת לוח הזמנים, ומודדים את המצב הקיים מול התקן.
2. תכנון ובניית ה-ISMS
מגדירים תחולה, מבצעים הערכת סיכונים, וכותבים מדיניות ונהלים שמתאימים לארגון.
3. יישום והטמעה
מיישמים את הבקרות, מדריכים את העובדים, ואוספים ראיות לכך שהדברים פועלים.
4. מבדק פנימי ומבדק הסמכה
מבדק פנימי, סקר הנהלה, סגירת ממצאים, ואז מבדק ההסמכה מול גוף ההתעדה.
מה נשאר אצלכם בסוף התהליך
כל התוצרים שייכים לארגון, כתובים בעברית או באנגלית לפי הצורך, וניתנים לתחזוקה עצמאית.
- מערכת ניהול אבטחת מידע (ISMS) מתועדת, עם תחולה מוגדרת ובעלי תפקידים ברורים.
- מרשם סיכונים, תוכנית טיפול בסיכונים והצהרת ישימות (SoA) מעודכנים.
- ערכת מדיניות ונהלים שנכתבה עבורכם, ולא תבנית גנרית עם שם הארגון בכותרת.
- דוח מבדק פנימי, סיכום סקר הנהלה, ותוכנית עבודה שנתית לשמירה על ההסמכה.
ליווי ISO של אנשי אבטחה, לא רק של אנשי נהלים
אלעד אלימלך, מייסד מרום סייבר, בעל 20 שנות ניסיון טכנולוגי, רובן בתפקידי ניהול. הוביל ארגונים בתהליכי הסמכה ל-ISO 27001, וממשיך ללוות אותם במבדקי המעקב השנתיים. בשנים האחרונות הוביל אסטרטגיה טכנולוגית בנושאי אבטחת מידע וניהול בחברות שמשרתות מאות ארגונים בהייטק, בפיננסים ובבריאות. הגדיר סטנדרטים של אבטחת מידע ברמה הגבוהה ביותר והיה הכתובת לאתגרים הטכנולוגיים המורכבים ביותר בארגונים השונים. כשהפתרונות הסטנדרטיים לא הספיקו, הוא הוביל את הפתרון.
ליווי אישי לאורך כל הדרך
אתם עובדים ישירות מול אלעד, מהשיחה הראשונה ועד מבדק ההסמכה ואחריו. אדם אחד שמכיר את הארגון שלכם לעומק, ולא נציג שמתחלף.
גם כותבים וגם מיישמים
כשבקרה דורשת הקשחה, MFA או גיבוי, אנחנו יודעים ליישם אותה בפועל ולא רק לתאר אותה במסמך.
מותאם לגודל הארגון
ארגון של 30 עובדים לא צריך מערך נהלים של בנק. בונים מערכת שעומדת בדרישות התקן, ושאפשר באמת לתחזק.
ממשיכים גם אחרי התעודה
ההסמכה מחייבת מבדקי מעקב שנתיים. אפשר להמשיך איתנו בליווי שוטף: מבדקים פנימיים, עדכון סיכונים והכנה למבדקים.
שאלות נפוצות על ISO 27001
אם משהו לא ברור, תמיד אפשר לשאול אותנו ישירות.
משלימים את התמונה
מאמרים שמתחברים באופן טבעי לתהליך ההסמכה.
נדרשתם להציג ISO 27001, או שוקלים להתחיל?
בשיחת היכרות קצרה עם אלעד נבין מה הדרישה, מה המצב הקיים ומה לוח הזמנים הריאלי. ללא עלות וללא התחייבות.
קבעו שיחת היכרות ←