Pytanie o ISO 27001 w małej firmie zwykle pada z zewnątrz, a nie z wewnątrz. Duży klient przysyła kwestionariusz dostawcy z pytaniem „Czy macie certyfikat ISO 27001?”. Albo wymóg pojawia się w warunkach przetargu publicznego, a oferta, która go nie spełnia, nie jest nawet oceniana. Wtedy prezes zaczyna liczyć: czy warto, ile to zajmie i czy nie ma łatwiejszej drogi?
Odpowiedź zależy od tego, kto potrzebuje certyfikatu i czego klient naprawdę oczekuje. Dla jednych firm certyfikat otwiera rynki, które inaczej pozostałyby zamknięte. Dla innych wystarczy uporządkować bezpieczeństwo zgodnie z normą i wykazać to bez pieczęci jednostki certyfikującej.
W tym artykule wyjaśniamy, czym naprawdę jest ISO 27001, kiedy certyfikat jest konieczny, jakie etapy czekają firmę i ile realnie trwają dla firmy zatrudniającej od 20 do 100 osób.
Czym jest ISO 27001 i co oznacza ISMS
ISO 27001 to międzynarodowa norma zarządzania bezpieczeństwem informacji. Nie wymaga konkretnej technologii ani oprogramowania. Wymaga, aby firma miała działający system zarządzania bezpieczeństwem informacji (ISMS).
ISMS to nie program ani teczka z politykami. To sposób, w jaki firma stale odpowiada na cztery pytania: jakie informacje chronimy, co im zagraża, co robimy, żeby zagrożenia się nie zmaterializowały, i skąd wiemy, że to działa. Norma określa, jak ten cykl ma być zorganizowany, a załącznik z listą zabezpieczeń (organizacyjnych, dotyczących ludzi, fizycznych i technologicznych) daje menu konkretnych środków, z którego firma wybiera zależnie od swoich ryzyk.
Ważne dla małej firmy: norma jest proporcjonalna. ISMS dziesięcioosobowej firmy programistycznej może zmieścić się w kilkunastu dokumentach i jednym rejestrze ryzyk. Nikt nie wymaga osobnego działu bezpieczeństwa.
Kiedy certyfikat jest naprawdę potrzebny
Certyfikat to potwierdzenie przez niezależną jednostkę certyfikującą, że Twój ISMS spełnia wymagania normy. Jest potrzebny wtedy, gdy ktoś z zewnątrz żąda właśnie tego, a nie Twojego słowa.
- Wymagania klientów. Duże firmy, zwłaszcza z sektora finansowego, telekomunikacji i grup międzynarodowych, coraz częściej wymagają certyfikatu od dostawców, którzy przetwarzają ich dane lub łączą się z ich systemami. Bez niego ocena dostawcy trwa miesiącami albo w ogóle się nie odbywa.
- Przetargi. W przetargach publicznych i prywatnych certyfikat bywa wymogiem kwalifikacyjnym. Bez niego oferta jest odrzucana bez oceny.
- Eksport. Przy sprzedaży usług IT lub oprogramowania do Skandynawii, Niemiec czy Wielkiej Brytanii certyfikat jest często pierwszym pytaniem zespołu bezpieczeństwa kupującego.
- Klienci regulowani. Jeśli Twoi klienci podlegają NIS2 lub DORA, muszą oceniać bezpieczeństwo swoich dostawców, a certyfikat znacznie upraszcza tę ocenę.
Jeśli żaden z tych przypadków Cię nie dotyczy, certyfikat może być drogą odznaką, o którą nikt nie pyta.
Kiedy wystarczy praca „zgodnie z wymaganiami”
Spora część firm wybiera drogę pośrednią: wdraża ISMS zgodnie z normą, ale go nie certyfikuje. Ma to sens, gdy klienci pytają nie o certyfikat, lecz o dowody, że bezpieczeństwo jest zarządzane: polityki, ocenę ryzyka, procedurę incydentów, testy kopii zapasowych.
Ta droga jest tańsza i szybsza, bo odpadają audyt certyfikujący i coroczne audyty nadzoru. Firma uzyskuje prawie całą korzyść: porządek, jasne odpowiedzialności, mniej incydentów i gotowość do certyfikacji w przyszłości, jeśli zajdzie potrzeba. MDP CLOUD sam świadczy usługi zgodnie z wymaganiami ISO 27001, więc kwestionariusze klientów wypełniamy z istniejących dokumentów, a nie piszemy odpowiedzi od zera.
Ważne, by się nie oszukiwać: „zgodnie z wymaganiami” oznacza, że ISMS naprawdę działa. Jeśli to tylko zestaw polityk, których nikt nie przestrzega, pierwszy poważny audyt klienta to ujawni.
Dobrym kompromisem jest wdrożenie ISMS w taki sposób, aby certyfikacja była możliwa w ciągu kilku miesięcy, gdyby pojawił się klient, który jej potrzebuje. Wtedy decyzja o certyfikacji staje się projektem handlowym, a nie pilnym.
Etapy i realistyczny harmonogram
Dla małej firmy zaczynającej od zera droga do certyfikatu zajmuje zwykle od sześciu do dwunastu miesięcy. Oto etapy i ich przybliżony czas trwania z naszego doświadczenia.
Określenie zakresu i analiza luk (2 do 4 tygodni)
Określasz, co wchodzi w zakres ISMS: cała firma czy tylko jedna usługa, które biura, systemy i dostawcy. Następnie obecny stan porównuje się z wymaganiami normy. Wynikiem jest czytelna lista tego, czego brakuje.
Ocena ryzyka i wybór zabezpieczeń (4 do 6 tygodni)
Powstaje rejestr zasobów, oceniane są ryzyka, wybierane zabezpieczenia i przygotowywane oświadczenie o stosowaniu. To najważniejszy etap, bo decyduje o tym, ile dokumentów i środków technicznych będzie potrzebnych. Ocenę ryzyka często wykonujemy jako odrębną pracę, nawet gdy firma nie zdecydowała jeszcze o certyfikacji.
Dokumentacja i wdrożenie środków (2 do 4 miesięcy)
Pisze się polityki i procedury oraz wdraża środki techniczne: uwierzytelnianie wieloskładnikowe, ochronę stanowisk, rozdzielenie kopii zapasowych, przeglądy uprawnień, zbieranie dzienników. Większość pracy przypada tu dostawcy IT.
Okres działania (co najmniej 2 do 3 miesięcy)
Audytor certyfikujący sprawdzi zapisy: rejestr incydentów, przeglądy uprawnień, zapisy ze szkoleń, wyniki przeglądu zarządzania. Zapisy muszą się nagromadzić, więc ISMS musi działać jakiś czas przed audytem. Tego etapu nie da się skrócić.
Audyt wewnętrzny, przegląd zarządzania i audyt certyfikujący (1 do 2 miesięcy)
Przeprowadza się audyt wewnętrzny, kierownictwo dokonuje przeglądu systemu i podejmuje decyzje, a następnie odbywa się dwuetapowy audyt certyfikujący: dokumentacji i działania. Po pomyślnym audycie certyfikat wydawany jest na trzy lata z corocznymi audytami nadzoru.
Najczęstsze błędy
Po pierwsze, kupuje się szablony dokumentów i po prostu zmienia nazwę firmy. Po pół godzinie audytor widzi, że polityka wspomina działy, których firma nie ma. Po drugie, zakres jest wybrany zbyt szeroko. Jeśli certyfikat jest potrzebny dla jednej usługi, nie trzeba obejmować ISMS całej firmy. Po trzecie, kierownictwo uczestniczy tylko przez podpisanie. Norma wymaga przeglądu zarządzania z prawdziwymi decyzjami, a audytor będzie wypytywał zwłaszcza prezesa. Po czwarte, część techniczną zostawia się na ostatni miesiąc, choć rozdzielenie kopii zapasowych czy uporządkowanie dostępów może trwać dłużej niż dokumenty.
Co robi dostawca IT, a co firma
Jasny podział pracy oszczędza najwięcej czasu.
Dostawca IT: wdrażanie zabezpieczeń technicznych i dowodów ich działania, kopie zapasowe i testy odtwarzania, zarządzanie podatnościami, administrowanie dostępami, zbieranie dzienników, polityki i procedury techniczne, przygotowanie do technicznej części audytu. Jeśli wsparcie IT jest już zlecone na zewnątrz, większość z tego powinna wchodzić w zakres usługi wsparcia IT.
Sama firma: decyzje o zakresie i skłonności do ryzyka, wyznaczenie właścicieli informacji, szkolenia pracowników i ich zapisy, procedury kadrowe (zatrudnienie, odejście, poufność), umowy z dostawcami, przegląd zarządzania. Dostawca nie może zrobić tego za Ciebie, bo audytor sprawdzi, czy firma sama zarządza swoim bezpieczeństwem.
Od czego zacząć
- Zadaj sobie pytanie, kto potrzebuje certyfikatu. Jeśli jest konkretny klient lub przetarg, zanotuj jego termin: od niego policzysz wstecz.
- Ustal zakres jak najwęższy, a jednocześnie sensowny dla klienta.
- Zamów analizę luk i ocenę ryzyka. Dostaniesz realną listę zadań i czas trwania zamiast domysłów.
- Od razu popraw podstawy techniczne, nie czekając na dokumenty: uwierzytelnianie, ochronę, kopie zapasowe.
- Wyznacz osobę odpowiedzialną w firmie. Jeśli nikogo nie ma, CISO jako usługa zapewni ISMS właściciela bez dodatkowego etatu.
Nasz zespół z aktualnymi certyfikatami ISACA pomaga zarówno w certyfikacji, jak i w samym uporządkowaniu bezpieczeństwa zgodnie z wymaganiami. W pierwszej rozmowie uczciwie powiemy, która droga ma w Twoim przypadku więcej sensu.
