ISO/IEC 27001:2022 informasiya təhlükəsizliyinin idarə edilməsi sistemi (İTİS) üçün beynəlxalq standartdır. O, təşkilatın məlumatlarının məxfiliyini, bütövlüyünü və əlçatanlığını risk əsaslı yanaşma ilə qorumağa imkan verir. Proxima Group ISO/IEC 27001-in tətbiqi və sertifikatlaşdırmaya hazırlıq üzrə məsləhət və dəstək göstərir.
ISO/IEC 27001 standartının strukturu
Standartın əsas hissəsi digər ISO idarəetmə sistemləri kimi Annex SL strukturuna əsaslanır: kontekst, liderlik, planlaşdırma, dəstək, əməliyyatlar, fəaliyyətin qiymətləndirilməsi və təkmilləşdirmə. Mərkəzdə informasiya təhlükəsizliyi risklərinin qiymətləndirilməsi və emalı dayanır.
Standartın A əlavəsində 2022-ci il redaksiyasına görə 93 nəzarət tədbiri dörd qrupa bölünür:
- təşkilati — siyasətlər, rollar, aktivlərin idarə edilməsi, təchizatçılarla münasibətlər, insidentlərin idarə edilməsi;
- insanlarla bağlı — işə qəbul, məlumatlandırma və təlim, məxfilik öhdəlikləri;
- fiziki — binaların, ofislərin və avadanlıqların mühafizəsi;
- texnoloji — giriş hüquqları, kriptoqrafiya, ehtiyat nüsxələr, monitorinq, təhlükəsiz proqram təminatı hazırlanması.
Hansı nəzarət tədbirlərinin tətbiq olunduğu və hansıların istisna edildiyi “Tətbiq olunma bəyannaməsi” (Statement of Applicability) sənədində əsaslandırılır.
Kimlər üçündür?
İT və proqram təminatı şirkətləri, bulud və data mərkəzi xidmətləri təminatçıları, banklar və maliyyə qurumları, telekommunikasiya operatorları, səhiyyə müəssisələri, autsorsinq şirkətləri və şəxsi məlumatlarla işləyən istənilən təşkilat. Beynəlxalq sifarişçilər təchizatçılarından tez-tez ISO/IEC 27001 sertifikatı tələb edir.
Faydaları
- məlumat sızması, kiberhücum və xidmət dayanması risklərinin azalması;
- insidentlərə daha sürətli və planlı reaksiya;
- müştərilər və tərəfdaşlar qarşısında informasiya təhlükəsizliyinin sübutu;
- məlumatların qorunması ilə bağlı qanunvericilik və müqavilə tələblərinə uyğunluğun idarə olunması;
- təhlükəsizlik xərclərinin risklərə uyğun prioritetləşdirilməsi.
Proxima necə dəstək olur?
Sistemin əhatə dairəsini müəyyənləşdirir, informasiya aktivlərinin reyestrini və risklərin qiymətləndirilməsi metodikasını qurmağa kömək edirik. Risklərin emalı planı, Tətbiq olunma bəyannaməsi, siyasət və prosedurlar hazırlanır. Əməkdaşlar üçün məlumatlandırma təlimləri keçir, daxili audit aparır və təşkilatı müstəqil, akkreditə olunmuş sertifikatlaşdırma orqanının auditinə hazırlayırıq. Sertifikatı audit aparan orqan verir.
Standart haqqında ətraflı məlumat üçün “ISO 27001 nədir?” yazısını oxuyun. Fasiləsiz fəaliyyət üçün ISO 22301 səhifəsinə də baxın.
Tez-tez verilən suallar
ISO/IEC 27001:2013 sertifikatımız var. Nə etməliyik?
2013-cü il redaksiyası üzrə sertifikatlar 2022-ci il redaksiyasına keçid müddətində yenilənməli idi. Hələ keçid etməmisinizsə, sisteminizi yeni nəzarət tədbirlərinə uyğunlaşdırmaqda kömək edirik.
Bütün 93 nəzarət tədbirini tətbiq etmək məcburidirmi?
Xeyr. Tədbirlər risklərin qiymətləndirilməsinin nəticəsinə görə seçilir; tətbiq edilməyən tədbirlər əsaslandırılaraq Tətbiq olunma bəyannaməsində göstərilir.
ISO/IEC 27001 yalnız İT şöbəsinin işidirmi?
Xeyr. Sistem rəhbərliyi, kadrlar bölməsini, hüquq xidmətini, satınalmanı və bütün əməkdaşları əhatə edir. Texnoloji tədbirlər onun yalnız bir hissəsidir.
Sistemin əhatə dairəsini məhdudlaşdırmaq olarmı?
Bəli. Əhatə dairəsi bütün təşkilatı və ya yalnız müəyyən xidmətləri, lokasiyaları və sistemləri əhatə edə bilər. Əsas şərt odur ki, sərhədlər aydın müəyyən edilsin və sertifikatda düzgün əks olunsun. Bu qərarı ilk mərhələdə birlikdə veririk.
İnformasiya təhlükəsizliyi sisteminizi qurmaq üçün bizimlə əlaqə saxlayın. Digər standartlar ISO standartları səhifəsindədir.