Piemērojamības paziņojums: kā sagatavot noderīgu SoA

Ko ietver piemērojamības paziņojums

ISO/IEC 27001 risku apstrādes ietvarā organizācija nosaka nepieciešamās kontroles un salīdzina tās ar A pielikumu. Paziņojumā jāiekļauj nepieciešamās kontroles, to iekļaušanas pamatojums, ieviešanas stāvoklis un A pielikuma kontroļu izslēgšanas pamatojums. Nepieciešamās kontroles var būt arī ārpus A pielikuma.

Šo atšķirību skaidro arī ISO tīmekļvietnē publicētā auditu prakses grupas izglītojošā piezīme par SoA. Tā nav standarta aizstājējs vai formāli apstiprināta standarta interpretācija. Ieviešanas lēmumiem izmantojiet pilno prasību tekstu.

Kā izmantot A pielikumu

A pielikumā ir 93 kontroles četrās tematiskās grupās: organizatoriskās, ar cilvēkiem saistītās, fiziskās un tehnoloģiskās. Šādu struktūru apraksta arī NSAI. Skaits pats par sevi nepasaka, cik kontroles vajadzīgas konkrētai organizācijai.

Sāciet ar saviem riskiem, juridiskajām un līgumu prasībām. Tad salīdzinājums ar pielikumu palīdz pamanīt nepārdomātas jomas. Ja strādājat no gatavas tabulas, katrai rindai pārbaudiet, uz kādu savas organizācijas darbību tā attiecas un vai pamatojums ir faktisks.

Tabulas struktūra, ko var uzturēt

Praktiska SoA darba tabulas struktūra

Lauks	Ko tajā ierakstīt
Kontrole un atsauce	Organizācijas izvēlētais pasākums un saistība ar attiecīgajām A pielikuma kontrolēm, ja tāda ir.
Nepieciešamības pamatojums	Konkrētais risks, piemērojamā prasība vai biznesa vajadzība.
Piemērojamība	Vai kontrole ir nepieciešama noteiktajā tvērumā; izslēgšanai pievienojiet pārbaudāmu pamatojumu.
Ieviešanas stāvoklis	Pašreizējā situācija: piemēram, ieviesta, daļēji ieviesta vai plānota, paskaidrojot atšķirības.
Atbildīgais	Cilvēks vai loma, kas uztur kontroli un var izskaidrot tās darbību.
Pierādījums un saite	Dokumenta, sistēmas ieraksta vai pārbaudes atrašanās vieta.
Turpmākais darbs	Saite uz konkrētu uzdevumu risku apstrādes vai uzlabojumu plānā.

Tabulas apjomu pielāgojiet lietošanai. Ja darbības pierādījumi jau ir atbalsta pieteikumu vai dokumentu sistēmā, pievienojiet kontrolētu saiti. Nepārkopējiet sensitīvus žurnālus visiem pieejamā dokumentā. Skaidri nošķiriet apstiprināto paziņojumu no darba melnraksta.

Iekļaušanas pamatojuma piemērs

Pieņemsim, ka klientu atbalsta darbinieki piekļūst klientu datiem. Izvēlētā kontrole ir piekļuves tiesību pārskatīšana un atsaukšana, mainoties pienākumiem. Pamatojumā norādiet risku, ka darbiniekam saglabājas neatbilstoša piekļuve, un saiti uz reģistra ierakstu. Ja pienākumu nosaka arī līgums, norādiet attiecīgo prasību.

Ieviešanas stāvokli formulējiet precīzi. Piemēram: “Pārskate ieviesta klientu portālā; atbalsta analītikas sistēma vēl jāpievieno. Atbildīgais – klientu atbalsta vadītājs; darbs reģistrēts uzdevumā IDPS-12.” Šis ir izdomāts piemērs, kas parāda, kā atzīmēt nepilnīgu ieviešanu un konkrētu turpinājumu.

Izņēmumiem vajadzīgs pamatojums

“Nav aktuāli” neizskaidro lēmumu. Norādiet, kāda darbība vai riska situācija tvērumā nepastāv, kā to pārbaudījāt un kas varētu mainīt secinājumu. Ja kontrole šķiet nepiemērojama, pārbaudiet arī darbības, ko organizācijas vārdā veic piegādātāji.

Piemēram, “mums nav sava datu centra” vēl neatrisina fizisko risku jautājumu. Organizācijai var būt darbinieku ierīces, telpas un atkarība no mākoņpakalpojuma fiziskās infrastruktūras. Izvērtējiet, kādi pasākumi nepieciešami, kurš tos veic un kā saņemsiet pietiekamu apliecinājumu par piegādātāja daļu.

Kā pārbaudīt paziņojuma kvalitāti

1. Izvēlieties būtisku risku un atrodiet kontroli, kas to apstrādā.
2. No kontroles ieraksta atrodiet atbildīgo un pierādījumu par tās darbību.
3. Pārbaudiet, vai statuss sakrīt ar faktisko ieviešanu visā attiecīgajā tvērumā.
4. Izvēlieties izslēgtu A pielikuma kontroli un pārbaudiet, vai pamatojums joprojām ir spēkā.
5. Pārliecinieties, ka vajadzīgās papildu kontroles nav palikušas tikai risku reģistrā.

Šī izlase ir praktiska pašpārbaude. Tā neaizstāj pilnu prasību izvērtēšanu vai auditu. Ja saites pārtrūkst, precizējiet konkrēto ierakstu un noskaidrojiet, vai problēma atkārtojas citur.

Ja dokumentācija un faktiskā ieviešana vēl nesakrīt, OffSeq ISO 27001 atbalsts var palīdzēt politiku un pierādījumu sagatavošanā un trūkumu izvērtēšanā.

Uzturēšana pēc pirmās versijas

Nosakiet paziņojuma īpašnieku, apstiprināšanas kārtību un izmaiņu vēsturi. Atgriezieties pie tā, kad mainās tvērums, riski, piegādātājs, prasības vai kontroles darbība. Ja statuss mainās, atjaunojiet arī saistīto plānu un saglabājiet lēmuma kontekstu.

Nākamo versiju sāciet ar risku novērtējuma un esošo kontroļu pārskati. Veidne ir darba rīks; tās aizpildīšana vēl nepierāda, ka visi nepieciešamie pasākumi darbojas.