Infoturbe juhtimissüsteemi arendamine ISO 27001 alusel
ISO/IEC 27001 on rahvusvaheline standard, mis määrab kindlaks nõuded organisatsiooni infoturbe juhtimissüsteemile. Eesti keelde tõlgitud standardis on kasutatud ka terminit infoturbe halduse süsteem, kuid kuna tegemist on klassikalise juhtimissüsteemiga (inglise keeles management system), siis meie kasutame teiste juhtimissüsteemidega sarnaselt infoturbe juhtimissüsteemi terminit. Kuna tegemist on suhteliselt pika nimetusega, kasutatakse rahvusvaheliselt sageli lühendit ISMS (Information Security Management System).
ISO 27001 standard koosneb juhtimissüsteemile esitatavatest üldnõuetest ning neist tulenevatest turvameetmetest (kokku umbes 100 erinevat nõuet-valdkonda infoturbe tagamiseks organisatsioonis). Omame kogemusi infoturbe juhtimissüsteemide arendamise nõustamisel ja koolituste läbiviimisel nii IT-sektori kui ka muude valdkondade organisatsioonidega.
Kuna standardist anti 2022. a oktoobris välja uus versioon (ISO/IEC 27001:2022). siis on alguses võimalik valida, kumma versiooni alusel sertifitseerimist taotleda. Uue versiooni käsitlus on natuke laiem – enam ei viidata pelgalt infotehnoloogiale, vaid info- ja küberturbele ning privaatsuse kaitsele.
Eesmärk
Juhtimissüsteemi konsultatsiooniprojekti eesmärgiks on:
- muuta organisatsiooni infoturbe alane töökorraldus efektiivsemaks ja läbipaistavamaks;
- viia juhtimissüsteem vastavusse ISO/IEC 27001 standardis toodud nõuetega;
- valmistada organisatsioon ette sertifitseerimiseks rahvusvaheliselt tunnustatud sertifitseerimisorgani poolt.
Konkreetsed eesmärgid lepitakse enne konsultatsiooniprojekti algust kliendiga kokku.
Sisu ja tegevused
Meie kogemuste põhjal annab parimaid tulemusi juhtimissüsteemi väljaarendamisel väljaõppe, nõustamise ja auditite kombinatsiooni kasutamine. Me töötame sisulises partnerluses kliendi meeskonnaliikmetega ning usume kindlalt, et juhtimissüsteemi rakendamine õnnestub edukalt siis, kui organisatsioon pühendab end projektile ning rakendamine hõlmab organisatsioonisiseselt kõiki juhtimistasandeid. Koolitame töötajaid standardi nõuete osas ning arutame organisatsiooni töökorralduse erinevad aspektid läbi väiksemates töögruppides.
Konsultant on eelkõige sisuliseks moderaatoriks, kes aitab mõista ja tõlgendada ISO/IEC 27001 nõuete sisu ja leida optimaalsed lahendused teie organisatsiooni jaoks, kuid tema rolliks on tavaliselt ka juhtimissüsteemi asjakohane ning lihtne dokumenteerimine. Dokumentatsiooni loomisel lähtume kuldsest põhimõttest – “NII PALJU KUI VAJALIK, KUID NII VÄHE, KUI VÕIMALIK”. Tulevikus on alati võimalik teatud juhtimissüsteemi valdkondi ja elemente täiustada ning täpsustada.
Infoturbe juhtimissüsteemide nõustamisprojekt on reeglina jaotatud neljaks etapiks:
Tulemus
Projekti lõppresultaadiks on välja arendatud ISO/IEC 27001 standardi nõuetele vastav infoturbe juhtimissüsteem, mis on valmis sertifitseerimiseks sertifitseerimisorgani poolt.
Ajagraafik
Projekti kestvus sõltub organisatsiooni suurusest ja olemasoleva juhtimissüsteemi korrastatuse astmest. Tavaliselt on ISMSi arendusprojekti kestuseks ca 6 kuud, suuremate organisatsioonide puhul võib perioodi olla pikem.