ISO 27001 ieviešanas plāns: darbi, atbildīgie un pierādījumi

Vispirms vienojieties, kāpēc sistēma vajadzīga

Sagatavojiet īsu vadības lēmumu: ko organizācija vēlas sasniegt, kurš vada darbu, kuri cilvēki piedalās un kā tiks pieņemti lēmumi par resursiem. Ja mērķis ir klienta prasība, iegūstiet tās precīzu formulējumu. Ja paredzēta sertifikācija, noskaidrojiet, uz kuru pakalpojumu un juridisko personu tai jāattiecas.

Ieplānojiet arī procesu īpašnieku laiku. Personāla, iepirkumu, pakalpojumu vadības un IT atbildīgajiem jāspēj gan izskaidrot pašreizējo darbu, gan ieviest izmaiņas. Projekta koordinators apkopo progresu, bet lēmumi par konkrētu risku un budžetu paliek organizācijas pilnvaroto personu ziņā.

Nosakiet tvērumu un salīdziniet ar esošo praksi

Aprakstiet pakalpojumus, informāciju, komandas, vietas, sistēmas un būtiskos piegādātājus. Pārbaudiet robežas ar cilvēkiem, kuri šos pakalpojumus nodrošina. Iekļaujiet atkarības, piemēram, mākoņpakalpojumu administrēšanu, ārpakalpojuma grāmatvedību vai grupas kopīgo personāla sistēmu.

Tad veiciet sākotnējo salīdzinājumu ar pilno ISO/IEC 27001 prasību tekstu. Fiksējiet, kas jau darbojas, kādi pierādījumi ir pieejami un kur ir trūkumi. “Dokuments nav atrasts” un “process nenotiek” ir atšķirīgas situācijas, kurām vajadzīga atšķirīga rīcība.

Lai sākuma plānu balstītu faktiskajos trūkumos, varat izmantot OffSeq ISO 27001 gatavības novērtējumu un ieviešanas atbalstu. Pakalpojuma apjomu pielāgo organizācijas tvērumam un vajadzībām.

Izvērtējiet riskus un izvēlieties pasākumus

Vienojieties par riska ietekmes, iespējamības un pieņemšanas kritērijiem. Aprakstiet konkrētus scenārijus un iesaistiet to cilvēku, kurš saprot iespējamo ietekmi uz pakalpojumu. Risku novērtēšanas ceļvedis palīdz izveidot pirmo ierakstu.

Izvēlētās kontroles sasaistiet ar risku apstrādes plānu un piemērojamības paziņojumu. Plānā norādiet atbildīgo, termiņu, nepieciešamo atbalstu un rezultāta pārbaudi. Ja vajadzīgs vadības lēmums, atzīmējiet to skaidri.

Ieviešanas posmi un pieņemšanas piemēri

Posms	Rezultāts	Kā pārliecināties par izpildi
Tvērums	Apstiprināts darbības un atkarību apraksts	Pakalpojumu īpašnieki apstiprina, ka būtiskās atkarības ir ņemtas vērā.
Risku izvērtēšana	Risku reģistrs un apstrādes plāns	Riska īpašnieks saprot scenāriju, izvēlēto rīcību un atlikušo risku.
Kontroles	Saskaņoti procesi un tehniskie pasākumi	Ir izpildes ieraksti un pārliecība par pasākuma darbību.
Iekšējais audits	Secinājumi un korektīvās darbības	Katram konstatējumam ir pamatojums, atbildīgais un turpmākā rīcība.
Vadības pārskate	Lēmumi par sistēmas darbību un izmaiņām	Apstiprināti resursi, prioritātes un nepieciešamās darbības.

Ieviesiet procesus un uzkrājiet to darbības pierādījumus

Katram procesam sagatavojiet tik daudz dokumentācijas, cik vajadzīgs konsekventai darbībai un tās pārbaudei. Ja piekļuves piešķiršanu vada atbalsta pieteikumu sistēma, tajā var atrasties gan pieprasījums, gan apstiprinājums un izpildes ieraksts. Nav obligāti pārrakstīt tos atsevišķā tabulā.

• Piekļuves pārskatei saglabājiet pārbaudīto kontu kopu, lēmumu pieņēmēju un atsaukto tiesību izpildi.
• Atjaunošanas pārbaudei fiksējiet izvēlētos datus, pārbaudes vidi, iznākumu un neatrisinātās problēmas.
• Darbinieku apmācībai norādiet mērķauditoriju, apskatītos jautājumus un veidu, kā pārbaudīta izpratne.
• Piegādātāju izvērtēšanai saglabājiet izvērtēto pakalpojumu, atbildības sadalījumu un atklāto trūkumu risināšanu.

Pierādījumiem nosakiet īpašnieku, atrašanās vietu, piekļuvi un glabāšanas kārtību. Ieraksts būs maz noderīgs, ja audita dienā vairs nebūs iespējams noteikt tā datumu vai to, uz kuru sistēmu tas attiecas. Ierakstos drīkst būt sensitīva informācija, tāpēc pieeju piešķiriet mērķtiecīgi.

Pārbaudiet sistēmu un pieņemiet vadības lēmumus

Iekšējo auditu plānojiet tā, lai pārbaude būtu objektīva un aptvertu attiecīgās prasības un sistēmas darbību. Personai, kura izstrādājusi konkrēto procesu, nevajadzētu būt vienīgajam tā novērtētājam. Par konstatētu neatbilstību izpētiet cēloni un nosakiet rīcību, kas samazina tās atkārtošanās iespēju.

Vadības pārskatei sagatavojiet saprotamu materiālu: vai mērķi sasniegti, kā mainījušies riski, ko atklāja audits un kādi resursi vajadzīgi. Saglabājiet pieņemtos lēmumus un sekojiet to izpildei. ISO pārskats par pārvaldības sistēmām skaidro audita un pastāvīgas pilnveides lomu.

Plānojiet termiņu pēc darba apjoma

Grafiku veidojiet no reāliem uzdevumiem un atkarībām. Piegādātāja līguma grozīšana, tehniska migrācija vai darbinieku apmācība var prasīt atšķirīgu sagatavošanos. Sertifikācijas datumam jāatstāj laiks konstatējumu risināšanai un pietiekamu darbības pierādījumu iegūšanai.

Budžetā atdaliet komandas darbu, tehniskos uzlabojumus, nepieciešamās konsultācijas un sertifikācijas institūcijas izmaksas. Konsultanta gatavības novērtējums var palīdzēt atrast trūkumus, taču tas neaizstāj institūcijas auditu un sertifikācijas lēmumu.