ISO 27001 - 5 стъпки за ефективно управление на риска
Организациите от всякакъв вид и големина са изправени пред вътрешни и външни фактори и влияния, които създават неувереност дали и кога ще постигнат своите цели.
Оценката на рисковете за информационните активи на организацията е в основата на разработката и внедряването на ефективна система за управление сигурността на информацията. Това е достатъчно отговорен процес, изискващ отлично познание на методиките за оценка на риска и спецификата на конкретната дейност. Нашите експерти благодарение на своя опит в разработването, консултирането и одитирането на системи за управление съумяват да направят този процес значително по-сигурен и ефективен.
Управлението на риска е постоянно повтарящо се действие и подпомага организациите при определянето на стратегията, постигането на целите и вземането на решения. Управляването на риска е част от висшето управление и лидерството и е от основно значение за това как се ръководи организацията на всички нива. То допринася за подобряването на системите за управление.
Оценката на риска е без съмнение най-фундаменталният и понякога сложен етап на ISO 27001. Получаването на право на оценка на риска ще даде възможност за правилна идентификация на рисковете, което от своя страна ще доведе до ефективно управление на риска и в крайна сметка до работеща, ефективна информационна система за управление на сигурността (ISMS- information security management system).
И така, коя методика за оценка на риска е подходяща за ISO 27001? Трябва ли да използвате конкретна методология? Трябва ли да използвате други стандарти за управление на риска като ISO 27005 или сте свободни да избирате коя методология е най-добра?
Както бе споменато по-горе, оценката на риска е наложителен, ключов етап от установяването на ефективна информационна сигурност система за управление. Идентифицирането и третиране (treatment) на рисковете е основната концепция на системата за управление на информационната сигурност - и всички сертифицирани по ISO 27001 системи за управление на информационната сигурност трябва да имат работен процес на идентификация и обработка на риска, за да бъдат успешни. Имайки това предвид, нека разгледаме основните изисквания на методологията за оценка на риска.
Последователни, повтарящи се, съпоставими резултати
Методологията за оценка на риска трябва да бъде последователен, повтарящ се процес, който дава сравними резултати във времето. Причината за това е да се гарантира, че рисковете се идентифицират с помощта на последователни критерии и че резултатите не се различават драстично във времето. Използването на методология, която не е последователна, т.е. дава широко разнообразни резултати от време на време, не предоставя точно представяне на рисковете за бизнеса и не може да се разчита на него. Помнете причината, поради която извършвате оценки на риска, не е да удовлетворите одитора, а да идентифицира рисковете за вашия бизнес и да ги смекчи. Ако резултатите от този процес не са полезни, няма смисъл да го правите.
Планирани интервали
Оценките на риска трябва да се извършват през планирани интервали или когато настъпят значителни промени в бизнеса или околната среда. Обикновено е добра практика да се зададе планиран интервал, напр. ежегодно да провежда оценка на риска за целита Система за управление на информационната сигурност (ISMS). Ако има големи промени в средата, т.е. препроектиране на мрежата, преместване на помещения, в ръководстовото/мениджмънта на нови отдели, и т.н., тогава трябва да се извърши оценка на риска, за да се определят рисковете, които тези промени могат да имат за бизнеса.
Документирана информация
Методологията за оценка на риска трябва да е налична като документирана информация и да съдържа или да бъде подкрепена от работна процедура за обяснение на процеса. Това гарантира, че всеки персонал, назначен за провеждане или преглед на оценката на риска, е наясно как работи методологията и може да се запознае с процеса. Освен документирането на методологията и процедурата, резултатите от оценката на риска трябва да бъдат достъпни като документирана информация. Освен че демонстрира пред одиторите и вътрешните / външни заинтересовани страни, че са извършени оценки на риска, това също дава възможност на организацията да преглежда, проследява и управлява рисковете, идентифицирани във всеки момент. Обичайно е рисковете дадени критерии да се съдържат в регистъра на риска и да се преглеждат като част от срещите за управление на риска. Ако ще сертифицирате ISO 27001, трябва да документирате всичко, което трябва да предоставите субективни доказателства на одитора.
Коя методология за оценка на риска за ISO 27001?
Съгласно ISO 27001: 2005 беше изискване методологиите за оценка на риска да използват подход, базиран на активи. Това означава, че организацията трябва да идентифицира своите активи и да оцени рисковете срещу тези активи. Например идентифициране на HR базата данни като актив и идентифициране на рискове за HR базата данни.
Въпреки, че вече не е уточнено изискване във версията на стандарта ISO 27001: 2013, все пак се препоръчва да се възприема подход, базиран на активи, тъй като това поддържа други изисквания, като управление на активи. Други подходи обаче могат да бъдат предприети и това не трябва да засяга сертифицирането по ISO 27001, ако възприетият подход не е методология, основана на активи.
Привеждане в съответствие с други стандарти?
Други стандарти като ISO 27005 Стандарт за управление на риска за сигурност на информацията могат да се използват за привеждане в съответствие с най-добрите
практикуват. ISO 27005 предоставя насоки за управление на риска от информационна сигурност и се счита за добра практика като международен стандарт. Въпреки че се препоръчва да се разгледа най-добрата практика, това не е задължително изискване, така че ако вашата методология не е в съответствие със стандартите като тези, това не е несъответствие.
В обобщение, по ISO 27001: 2013 не съществува задължителна методология за оценка на риска, която трябва да се използва. Въпреки че се препоръчва да се извършват оценки на риска въз основа на активите и да се приведат в съответствие с други стандарти за най-добри практики, организацията зависи от това да определи методиката, която им е най-подходяща. Каквато и методология да се използва, тя трябва да доведе до последователни, повтарящи се и съпоставими резултати. Оценките на риска трябва да се извършват на определени интервали от подходящ компетентен персонал и резултатите трябва да се предприемат като част от план за третиране на риска. Най-важното нещо, което трябва да запомните при оценката на риска, е, че те се провеждат в полза на бизнеса, а не за да удовлетворят одитор. Ако имате предвид, че искате да идентифицирате рисковете за бизнеса и да ги лекувате, тогава всяка методология (при условие че е дефинирана, последователна и повтаряема) трябва да е достатъчна. Тъй като познавате бизнеса си по-добре от всеки, резултатите от първата оценка на риска трябва да се окажат полезна идея за това дали методологията е подходяща или не и дали дава точни резултати.
Благодарение на своя опит като одитори към различни сертифициращи организации нашите експерти ще ви помогнат методически при подготовка за сертификационните одити, както и по време на самите одити.