ISO 27001 | ניהול אבטחת מידע

כל מה שרציתם לדעת על ISO 27001 ולא היה לכם את מי לשאול:

כמה יעלה לנו לעבור הסמכה לתקן ISO 27001?

עלות תהליך ההסמכה לתקן מתחלקת לשניים:

1. תשלום אגרה למכון התעדה שנבחר על ידכם עבור מבדק הסמכה לתקן.
2. תשלום עבור שירותי הליווי והייעוץ שלנו בנקסטפ. התשלום משתנה בהתאם להיקף שעות העבודה הנדרשות, גודל הארגון, מספר אתרים, מספר עובדים, תהליכי עבודה, מורכבות הפרויקט ועוד.

כמה זמן ייקח לנו לעבור הסמכה לתקן ISO 27001?

התהליך משתנה בין ארגון לארגון ותלוי באופיו של הארגון, מורכבותו, תהליכיו והטכנולוגיות הנוספות שצריכות להירכש ולהיטמע בארגון.

אורך ההסמכה מושפע בין היתר ממעורבות הגורמים הרלוונטיים לאבטחת מידע ותשתיות. מידת המוכנות להשקיע ולהטמיע תהליכים מקצרת את תהליך ההסמכה. עם ההכנה הנכונה, מרבית הארגונים הקטנים והבינוניים יכולים לצפות להשיג תעודת הסמכה תוך 6-12 חודשים, תלוי בגודל ובמורכבות היקף מערכת הניהול.

ככלל, הסוקר ממכון ההתעדה יבדוק את הטמעת התהליכים בארגון שלושה חודשים אחורה ולכן הטווח של תהליך ההסמכה יכול לקחת מספר חודשים.

חשוב לדעת, כי במידה והארגון משתתף במכרז/קיבל דרישת לקוח, הן היועץ והן מכון ההתעדה יודעים לקצר את זמני ההטמעה בכדי לעמוד בלוחות זמנים.

האם צריך להטמיע את תקן ISO 27001 בכל הארגון?

כן, בכדי לסגור הרמטית גם מהצד האנושי והטכנולוגי ולאבטח את המידע בארגון ולמנוע את זליגתו מחוץ לארגון.

חשוב לדעת, במקרים חריגים אפשר להסמיך חלק מפעילות הארגון ולצמצם את תחום פעילות ההסמכה (Scope התעודה) למחלקות הרלוונטיות.

יש לנו תעודת הסמכה לתקן ISO 9001, האם נוכל להטמיע גם את תקן ISO 27001?

כן, תקן ISO 9001 מתמקד בניהול איכות ותקן ISO 27001 מתמקד באבטחת מידע.

הרבה מהמנגנונים שנמצאים ב-ISO 9001 נדרשים ב-ISO 27001 וניתן להשתמש בהם בסקרי סיכונים וסקרי הנהלה. ניתן להקים מערכת משולבת של איכות ואבטחת מידע כך שהארגון מכוסה מבחינת תהליכי עבודה מול לקוחות ובו זמנית שומר על המידע האישי ומונע זליגת מידע מחוץ לארגון.

האם כדאי לעבור הסמכה ל-SOC2 או ל-ISO 27001?

SOC 2 הינה רגולציה אמריקאית שנדרשת לארגונים שרוצים לחדור לשוק האמריקאי שלא מסתפקים רק ב-ISO 27001.

במקביל, יש את רגולציית GDPR שגם היא לא תמיד מסתפקת ב-ISO 27001, אבל עבור ארגון שיש לו הסמכה ל-ISO 27001, קל יותר לבצע את ההתאמות והשיפורים מכיוון שיש להם מערכת לניהול אבטחת מידע קיימת בארגון.

ב-SOC 2 מבוצעת ביקורת על ידי משרד רואי חשבון אמריקאי ומופק דו"ח  SOC 2 על ידם, לעומת זאת, בהסמכה לתקן ISO 27001 מבוצעת ביקורת על ידי מכון התעדה מקומי וב-GDPR אין הסמכה כלל.

ההמלצה שלנו לארגונים שמתכננים באסטרטגיה שלהם לחדור לשוק באמריקאי/אירופאי היא לבצע תהליך משולב מראש. זה יאפשר לארגון מוכנות מלאה לרגולציות השונות ויסייע לביצוע תהליך מחודש בכל פעם.

האם תקן ISO 27001 מצריך CISO – מנהל אבטחת מידע בארגון?

אמנם התקן אינו דורש CISO, אבל הוא כן דורש אחראי מטעם ההנהלה לנושא אבטחת המידע בארגון.

ככל שהארגון גדול יותר כך גם היקף הפעילות גדל, לכן הרבה מהארגונים משתמשים באיש אבטחת מידע חיצוני/פנימי ייעודי לכך. ארגונים רבים מוצאים ערך בקבלת שירותי ממונה אבטחת מידע ב-Outsourcing לצורך פיקוח ובקרה על נושא אבטחת המידע בארגון.

במידה ואנחנו מוסמכים ל-ISO 27001, האם אנחנו מכוסים מבחינת תקנות הגנת הפרטיות הישראליות?

באופן חלקי. הסמכה ל-ISO 27001 שמבוצעת נכון מכסה כ-80% מדרישות תקנות הגנת הפרטיות הישראליות. רצוי לומר מראש ליועץ המלווה לכסות את הפערים הנדרשים, כגון: רישום מאגרי מידע, כתיבת מדיניות פרטיות וכו'.

במידה ואנחנו מוסמכים ל-ISO 27001, האם אנחנו מכוסים מבחינת רגולציית GDPR?

לא, ISO 27001 נותן מענה להרבה מהדרישות של GDPR מבחינת ניהול מערכת הגנת המידע, אבל הוא לא נותן מענה לרבדים המשפטיים כמו הצהרות פרטיות מול לקוחות, הסכמי התקשרות מול ספקים ועוד.

מהם היתרונות בהטמעת תקן לאבטחת מידע בארגון?

התקן מסייע לארגון במגוון רחב של נושאים:

• ארגון וסידור של המידע בארגון, מצד אחד מקל על איתורו והשימוש בו מאידך מונע גישה מגורמים לא מורשים.
• מסייע במניעת פרצות אבטחת מידע.
• מגביר את מודעות העובדים לאבטחת המידע והפרטיות בארגון.
• מגן על העסק פיזית ולוגית.
• מאפשר עמידה בדרישות חקיקה מקומיות וחיצוניות (GDPR, HIPAA).
• זיהוי סיכונים והזדמנויות המאפשרות לתת מענה לסכנות ולהזדמנויות.
• מונע חשיפה להונאות רשת שונות.
• מצמצם נזקים הקשורים באובדן מידע או חוסר יכולת לשחזרו.
• מאפשר המשכיות עסקית מהירה בעקבות פגיעה או נזק רציני לארגון.
• מאפשר שמירה על פרטיות המידע בהתאם לדרישות חוק הפרטיות הישראלי.
• הגברת האפקטיביות ושיפור תהליכי עבודה לצמצום עלויות.
• התקן מעניק יתרון עסקי בעבודה מול לקוחות הדורשים עמידה בדרישות אבטחת מידע מתקדמות.
• התקן מספק מענה יעיל לבעלי עניין הפנימים והחיצוניים.

עמידה בתקן ISO 27001 וחוק הפרטיות הישראלי:

בתאריך 26.04.2018 הרשות להגנת הפרטיות פרסמה הנחיית רשם מאגרי מידע בעניין תחולת תקנות הגנת הפרטיות הישראליות (אבטחת מידע) התשע"ז – 2017.

הרשות מבהירה, כי רק ארגון אשר מחזיק בתעודת הסמכה לתקן ומקיים בפועל את הוראות התקן  – ייחשב כעומד גם בתקנות הגנת הפרטיות. ההנחיה והפטור החלקי מהוראות התקנות לא יחולו על ארגון אשר הרשות תמצא שאינו מקיים בפועל את הוראות התקן, גם אם הוא מחזיק בתעודת ההסמכה.

תוכלו למצוא את ההודעה המקורית בלחיצה כאן

לקריאה אודות רשות להגנת הפרטיות ומחלקת האכיפה

לכל המאמרים על תקנות הגנת הפרטיות

לכל המאמרים על רגולציית הגנת הפרטיות האירופאית GDPR

Nextep מעניקה ללקוחותיה שירות יעיל ומקצועי לעמידה בדרישות אבטחת המידע החלות על הארגון, תוך שמירה על רמת מוכנות והגנה גבוהה מפני איומים מבית ומבחוץ.

השאירו פרטים כאן לקבלת מידע טלפוני אודות תקן ISO 27001 או התקשרו ל- 03-9550222