Müştəri məlumatları, maliyyə hesabatları, müqavilələr, layihə sənədləri və daxili yazışmalar bu gün demək olar ki, hər təşkilatın ən dəyərli aktivləri sırasındadır. Onların itirilməsi, oğurlanması və ya icazəsiz dəyişdirilməsi ciddi maliyyə və nüfuz itkisinə səbəb ola bilər. ISO 27001 məhz bu riskləri sistemli şəkildə idarə etmək üçün hazırlanmış beynəlxalq standartdır. Onun tam adı ISO/IEC 27001-dir, hazırda qüvvədə olan versiyası isə ISO/IEC 27001:2022-dir. Standart informasiya təhlükəsizliyi idarəetmə sisteminin (İTİS) qurulması, tətbiqi, saxlanması və fasiləsiz təkmilləşdirilməsi üçün tələbləri müəyyən edir.
Bu yazıda ISO 27001-in nə olduğunu, hansı prinsiplərə əsaslandığını və təşkilat üçün niyə vacib olduğunu izah edirik.
İnformasiya təhlükəsizliyi nə deməkdir?
İnformasiya təhlükəsizliyi yalnız antivirus proqramı və ya güclü parol deyil. O, informasiyanın üç əsas xüsusiyyətinin qorunmasına əsaslanır:
- Məxfilik — informasiyaya yalnız səlahiyyəti olan şəxslərin çıxışı olmalıdır.
- Bütövlük — informasiya düzgün, tam və icazəsiz dəyişikliklərdən qorunmuş olmalıdır.
- Əlçatanlıq — informasiya lazım olduqda səlahiyyətli istifadəçilər üçün əlçatan olmalıdır.
Bu xüsusiyyətlər həm elektron məlumatlara, həm də kağız sənədlərə, danışıqlara və insanların biliyinə aiddir. Buna görə də ISO 27001 texnologiya ilə yanaşı insanları, prosesləri və fiziki mühiti də əhatə edir.
ISO 27001 standartının quruluşu
ISO/IEC 27001:2022 iki əsas hissədən ibarətdir.
İdarəetmə sistemi tələbləri (4–10-cu bölmələr)
Bu bölmələr Annex SL adlanan vahid yüksək səviyyəli struktura əsaslanır və ISO 9001, ISO 14001, ISO 45001 kimi standartlarla eyni məntiqi izləyir: təşkilatın konteksti, liderlik, planlaşdırma, dəstək, əməliyyat, fəaliyyətin qiymətləndirilməsi və təkmilləşdirmə. Sistemin əsasını informasiya təhlükəsizliyi risklərinin qiymətləndirilməsi və onların idarə edilməsi (risk emalı) təşkil edir.
Əlavə A: nəzarət tədbirləri
Standartın Əlavə A hissəsində 93 nəzarət tədbiri dörd mövzu üzrə qruplaşdırılıb:
| Mövzu | Tədbirlərin sayı | Nümunələr |
|---|---|---|
| Təşkilati tədbirlər | 37 | siyasətlər, aktivlərin idarə edilməsi, təchizatçılarla münasibətlər, insidentlərin idarə edilməsi |
| İnsanlarla bağlı tədbirlər | 8 | işə qəbul zamanı yoxlama, məlumatlandırma və təlim, məxfilik öhdəlikləri |
| Fiziki tədbirlər | 14 | fiziki perimetr, girişə nəzarət, avadanlığın qorunması |
| Texnoloji tədbirlər | 34 | giriş hüquqları, şifrələmə, ehtiyat nüsxələr, loqlama, təhlükəsiz proqram təminatı hazırlanması |
Təşkilat bütün tədbirləri mexaniki şəkildə tətbiq etmək məcburiyyətində deyil. Risk qiymətləndirməsinin nəticələrinə əsasən hansı tədbirlərin tətbiq ediləcəyi seçilir və bu seçim Tətbiqolunma bəyannaməsində (Statement of Applicability) əsaslandırılır. 2022-ci il versiyasına təhlükə kəşfiyyatı, bulud xidmətlərinin istifadəsində informasiya təhlükəsizliyi, məlumatların maskalanması və məlumat sızmasının qarşısının alınması kimi yeni tədbirlər əlavə olunub.
Niyə vacibdir?
Risklərin sistemli idarə edilməsi
Təhlükəsizlik tədbirləri təsadüfi alınmış həllərə deyil, təşkilatın real risklərinə əsaslanır. Bu, resursların ən vacib sahələrə yönəldilməsinə imkan verir.
Müştəri və tərəfdaş etimadı
Məlumatları başqa təşkilatlara həvalə edən müştərilər onların necə qorunduğunu bilmək istəyir. ISO 27001 sertifikatı bu suala tanınmış və müstəqil şəkildə yoxlanmış cavabdır. Bank, sığorta, İT, telekommunikasiya və autsorsinq sahələrində bu xüsusilə önəmlidir.
İnsidentlərə hazırlıq
Heç bir sistem riski sıfıra endirə bilməz. ISO 27001 insidentlərin vaxtında aşkarlanması, onlara reaksiya verilməsi və nəticələrin azaldılması üçün aydın qaydalar tələb edir.
Qanunvericilik və müqavilə tələblərinə uyğunluq
Fərdi məlumatların qorunması və digər hüquqi öhdəliklərin yerinə yetirilməsi sistemin tərkib hissəsinə çevrilir.
ISO 27001 kimlər üçün uyğundur?
Standart sahəsindən və ölçüsündən asılı olmayaraq informasiyanı dəyərli aktiv kimi görən istənilən təşkilata tətbiq oluna bilər. Lakin bəzi hallarda ona ehtiyac daha açıq hiss olunur:
- şirkət müştərilərin fərdi və ya maliyyə məlumatlarını emal edir;
- İT, proqram təminatı, hosting, bulud və ya autsorsinq xidmətləri göstərir;
- iri tərəfdaşlar və ya tender şərtləri informasiya təhlükəsizliyinə dair sübut tələb edir;
- təşkilat uzaqdan iş, mobil cihazlar və bulud xidmətlərindən geniş istifadə edir;
- əvvəllər məlumat itkisi, sızma və ya kiberhücumla bağlı insident yaşanıb.
Kiçik təşkilatlarda sistem daha yığcam qurulur: əhatə dairəsi dar götürülür, sənədlər sadələşdirilir, nəzarət tədbirləri isə real risklərə uyğun seçilir. Əsas odur ki, informasiya təhlükəsizliyi sertifikat üçün deyil, gündəlik iş üçün qurulsun.
ISO 27001 sertifikatına hazırlıq mərhələləri
- Əhatə dairəsinin müəyyən edilməsi — hansı proseslərin, yerlərin və sistemlərin İTİS-ə daxil olduğunun təyini.
- GAP analizi — mövcud vəziyyətin standartın tələbləri ilə müqayisəsi.
- Aktivlərin və risklərin qiymətləndirilməsi — informasiya aktivlərinin, təhdidlərin və zəifliklərin təhlili.
- Risk emalı planı və Tətbiqolunma bəyannaməsi — nəzarət tədbirlərinin seçilməsi və əsaslandırılması.
- Siyasət və prosedurların hazırlanması — informasiya təhlükəsizliyi siyasəti, giriş idarəetməsi, insidentlər, ehtiyat nüsxələr və s.
- Tətbiq və məlumatlandırma — tədbirlərin həyata keçirilməsi və əməkdaşların təlimi.
- Daxili audit və rəhbərlik tərəfindən təhlil — sistemin effektivliyinin yoxlanması.
- Sertifikatlaşdırma auditi — müstəqil, akkreditə olunmuş sertifikatlaşdırma orqanı tərəfindən aparılır və sertifikatı da həmin orqan verir.
ISO/IEC 27001:2013 versiyasından 2022 versiyasına keçid dövrü başa çatıb. Yeni sertifikatlaşdırma və mövcud sertifikatların yenilənməsi 2022 versiyası üzrə aparılır.
Tez-tez yol verilən səhvlər
- İnformasiya təhlükəsizliyini yalnız İT şöbəsinin məsələsi hesab etmək.
- Risk qiymətləndirməsini formal aparmaq və ya hazır şablonlardan olduğu kimi götürmək.
- Əməkdaşların məlumatlandırılmasına az diqqət yetirmək, halbuki insidentlərin xeyli hissəsi insan səhvi ilə bağlıdır.
- Təchizatçıların və bulud xidmətlərinin yaratdığı riskləri nəzərə almamaq.
- Ehtiyat nüsxələri çıxarıb, onlardan bərpanı heç vaxt sınaqdan keçirməmək.
Bu səhvlərin əksəriyyəti sistemin rəhbərlik tərəfindən dəstəklənməsi, risklərin real iş prosesləri əsasında qiymətləndirilməsi və mütəmadi daxili auditlə aradan qaldırılır.
Nəticə
ISO 27001 informasiya təhlükəsizliyini ayrı-ayrı texniki həllərdən idarə olunan, ölçülən və inkişaf edən sistemə çevirir. O, təşkilatın ən dəyərli aktivlərini qorumağa, müştəri etimadını gücləndirməyə və insidentlərə hazırlıqlı olmağa kömək edir. Standartın risk əsaslı yanaşması sayəsində təhlükəsizlik xərcləri də daha məqsədyönlü olur: resurslar ən böyük təhdid yaradan sahələrə yönəldilir, lazımsız və ya təkrarlanan tədbirlərdən isə imtina edilir.
Proxima Group risk qiymətləndirməsi, sənədləşdirmə, əməkdaşların təlimi, daxili audit və sertifikatlaşdırma auditinə hazırlıq üzrə məsləhət və dəstək göstərir; sertifikatlaşdırma qərarını sertifikatlaşdırma qurumu verir. Xidmət haqqında ətraflı məlumat ISO/IEC 27001 səhifəsində təqdim olunub.
