המתודולוגיה של ISO 27001

הדרך אל התקן – ISO 27001

חברת Nextep הינה החברה הגדולה והמנוסה ביותר ליישום והטמעת תקני אבטחת מידע בחברות וארגונים.

בסיס הידע בחברתנו מבוסס על שילוב של מומחי אבטחת מידע הנותנים פיתרון קל ופשוט ליישום לצורך מתן מענה המותאם לצורכי הארגון, לצפייה בלקוחות החברה לחצו כאן.

תקן 2022:ISO 27001 הינו תקן בינלאומי המציין באופן פורמלי כיצד להקים מערכת לניהול אבטחת מידע – מנא"מ. 

המשמעות הינה הקמת מערכת היררכית שמטרתה לנהל באופן אפקטיבי את מערכת האבטחה על נכסי המידע של הארגון תוך שמירה

על עקרון "השיפור המתמיד".

• אימוץ מערכת ניהול אבטחת מידע היא החלטה אסטרטגית לארגון.
• התמקדות בתהליכים ונכסים עסקיים.
• התמקדות בהפחתת הסיכונים של מידע בעל ערך עבור הארגון.

מטרתו של התקן היא להגן על שלושת העקרונות הבאים בהיבט של נכסי המידע:

סודיות – Confidentiality: נגישות אל המידע רק לבעלי הגישה שהגדיר בעל נכס המידע.

אמינות – Integrity: שמירת הדיוק והשלמות של המידע ושיטות העיבוד.

זמינות – Availability: שמירה על זמינות ויעילות הגישה אל המידע בכל זמן נתון.

ישנם מספר יתרונות ליישום תקן אבטחת המידע בארגון:

• יתרון תחרותי/שיווקי.
• הפחתת הוצאות (השקעה ללא רווח כספי ברור).
• בקרת סיכוני אבטחת מידע (תכנית לניהול סיכונים).
• אופטימיזציה בתהליכי הארגון "שיפור מתמיד".

תהליך השיפור המתמיד PDCA – Plan Do Check Act:

התרשים מדגים כיצד המנא"מ לוקחת כקלט את דרישות אבטחת המידע ואת הציפיות ודרך מחזור PDCA מייצרת תוצאות אבטחת מידע מנוהלות המספקות את הדרישות והציפיות.

תכנן –הקמת מנא"מ: קביעת מדיניות, הגדרת יעדים, תהליכים ונהלים הרלוונטיים לניהול סיכונים ושיפור אבטחת מידע על מנת לספק תוצאות בהתאם למדיניות הכללית של הארגון ולמטרותיו.

עשה– יישום המנא"מ: יישום מדיניות ,בקרות, תהליכים ונהלים.

בדוק –סקירה של המנא"מ: הערכה ומדידה של ביצועי התהליך מול מטרות המנא"מ. תרגול מקרה חירום ודיווח הממצאים להנהלה.

פעל –שימור ושיפור המנא"מ: ביצוע פעולות מתקנות בהתבסס על תוצאות הביקורת הפנימית של המנא"מ כדי להשיג שיפור מתמיד.

הדרך אל התקן:

תמיכת ההנהלה:

תמיכת ההנהלה הכרחית להצלחת הפרויקט

• קביעת מדיניות ומטרות המתאימות לאסטרטגית הארגון.
• שילוב מדיניות אבטחת מידע ומטרותיה בתהליכים העסקיים של הארגון.
• הקצאת משאבים – (תקציב, כוח אדם , זמן).
• הגדרת תפקידים (אחריות, סמכות וכישורים).

תמיכה ניהולית גלויה הופכת את אבטחת המידע ליעילה יותר בכל הארגון.

הגדרת תחום המנא"מ:

 על ההנהלה להגדיר את תחום המנא"מ במונחים של אופי הארגון, מיקומו, נכסי המידע והטכנולוגיות.

• השמטות של דרישות התקן שאינן חלות על הארגון צריכות להיות מוצדקות ומתועדות בהצהרת הישימות (SOA)

חוסר הגדרת התחום  בדרך כלל מקטין את היתרונות העסקיים של המנא"מ.

מיפוי וסיווג נכסי מידע – מיפוי נכסי המידע עוזר לארגון להבין על מה הם רוצים להגן.

המיפוי יכלול בד"כ את הפרטים הבאים:

• סוג הנכס (שרת, תוכנה, מערכת , מדפסות , מחשבים ניידים, תהליכים וכו').
• מיקום.
• לו"ז גיבוי.
• מידע הרישיון.
• ערך עסקי (תהליכים תומכים).
• בעלים/אחראי.
• רמת סיווג ע"פ אמינות, זמינות וסודיות.

הערכת סיכונים – Risk assessment:

ניהול סיכוני אבטחת מידע הוא פתרון המקטין את הסיכון בפגיעה של אבטחת מידע בארגון.

הצהרת ישימות SOA – Statement Of Applicability:

הצהרת הישימות כוללת תקציר של החלטות הנוגעות לטיפול בסיכונים, הנמקה של ויתור על מטרת בקרה או על אמצעי בקרה.

תכנית טיפול בסיכונים RTP – Risk Treatment Plan:

RTP הוא מסמך המפתח המקשר את כל ארבעת השלבים של מחזור PDCA

• גיבוש תוכנית טיפול בסיכונים המזהה את פעולות הניהול, המשאבים, האחריות וסדרי העדיפויות המתאימים לטיפול בסיכוני אבטחת המידע.
• הגדרת תוכנית טיפול בסיכונים בהקשר של מדיניות אבטחת המידע של הארגון.
• התוכנית תגדיר בבירור את הגישה לסיכון ואת הקריטריונים לקבלת הסיכון.