Малі компанії часто вважають, що ISO/IEC 27001 для них заскладний: окремого відділу безпеки немає, ІТ веде одна людина, документи пишуть між іншими справами. Насправді стандарт добре масштабується, і невелика команда може пройти шлях до сертифіката за п’ять-шість місяців, якщо не намагатися зробити все одразу.
Місяць перший: межі та відповідальна людина
Визначте, які продукти, процеси і системи увійдуть у систему управління. Призначте відповідальну людину і дайте їй щонайменше кілька годин на тиждень. Складіть перелік інформаційних активів: де зберігаються дані клієнтів, які хмарні сервіси використовуються, хто має доступ до чого.
Місяць другий: ризики
Оцініть ризики за простою методикою, наприклад ймовірність на наслідки за шкалою від одного до п’яти. Для кожного значного ризику вирішіть, що робити. Підготуйте Декларацію про застосовність для 93 заходів захисту з додатка A, пояснюючи, чому кожен захід застосовується або ні.
Місяць третій: документи під себе
Напишіть політику інформаційної безпеки і процедури, без яких система не працює: контроль доступу, резервне копіювання, реагування на інциденти, робота з постачальниками, управління змінами. Для малої компанії вистачить коротких документів, які люди справді прочитають.
Місяці четвертий і п’ятий: робота і записи
Система має працювати, щоб з’явилися докази. Проведіть навчання персоналу, перегляд доступів, тест відновлення з резервної копії, оцінку ключових постачальників. Фіксуйте інциденти, навіть дрібні. Саме ці записи аудитор попросить показати.
Місяць шостий: перевірка перед сертифікацією
Проведіть внутрішній аудит усіх вимог стандарту і аналіз системи з боку керівництва. Виправте знайдене. Після цього можна планувати перший етап сертифікаційного аудиту.
Де малі компанії втрачають час
Спроба охопити всю компанію одразу. Купівля готового пакета документів, який не відповідає реальним процесам. Відсутність відповідальної людини. Збирання доказів в останній тиждень перед аудитом. Уникнувши цих помилок, мала компанія проходить сертифікацію не довше, ніж велика.
Скільки часу це забирає у команди
Відповідальна людина витрачає кілька годин на тиждень протягом усього періоду, у місяці з документами і внутрішнім аудитом трохи більше. Решта команди залучається точково: навчання на годину, участь в оцінці ризиків, кілька записів про виконані перевірки. Якщо планувати роботу так, система не заважає основній діяльності і поступово стає звичною частиною процесів.
Що дає стандарт компаніям з клієнтами в ЄС і Великій Британії та як іде впровадження ISO 27001 на практиці, пояснює аудиторська компанія BALTUM. Запитання приймаються на [email protected].
Підписуйтесь на Перший Бізнесовий в Telegram і Facebook і читайте найважливіші і найсвіжіші новини першими!
Стрічка новин 
