ISO/IEC 27001: ako pripravíme vašu organizáciu na certifikáciu

Firmy si myslia, že ISO 27001 znamená dokumentáciu.

Začnú:

• písať politiky

• kopírovať šablóny

• kupovať „ISO balíčky“

Výsledok je množstvo dokumentácie bez reálneho dopadu.

Pri prvom incidente sa ukáže, že systém v skutočnosti nefunguje.

Ako vyzerá zvládanie bezpečnostných incidentov v praxi a čo robiť, keď už k nim dôjde, rozoberám podrobnejšie v článku Incident response: čo robiť, keď už je neskoro.

Ako k tomu pristupujem ja

ISO 27001 implementujem ako architektúru riadenia bezpečnosti, nie ako papierový projekt.

Postup je vždy rovnaký – a funguje.

1. Realita pred auditom (Gap analýza)

Začíname tým, že si povieme pravdu.

Pozeráme sa na:

• infraštruktúru

• procesy

• prístupy

• dodávateľov

• existujúce politiky

Nie „čo je napísané“, ale čo reálne funguje.

Veľmi často zistíme:

• zdieľané účty bez kontroly

• chýbajúci logging

• neexistujúce riadenie prístupov

• shadow IT

Toto je moment, kde sa láme celý projekt.

2. Riadenie rizík (kľúč ISO 27001)

ISO 27001 bez riadenia rizík nedáva zmysel.

Používam prístupy z:

• ISO 27005

• ISO 31000

• COBIT

Každé aktívum hodnotíme z pohľadu dopadu a pravdepodobnosti.

Kľúčové je, aby boli riziká pochopiteľné pre manažment, nie len pre auditora.

Ako vyzerá riadenie kybernetických rizík v praxi a nie len na úrovni dokumentácie, rozoberám podrobnejšie v článku Riadenie kybernetických rizík efektívne: prečo potrebujete nástroje ako Asign.

3. Návrh bezpečnostnej architektúry

Tu sa láme rozdiel medzi juniorom a seniorom.

Neimplementujeme všetky kontroly.
Implementujeme tie, ktoré dávajú zmysel.

Príklady z praxe:

• segmentácia siete namiesto „flat network“

• PAM riešenie namiesto zdieľaných účtov

• SIEM a logging pre auditovateľnosť

• MFA ako základ, nie doplnok

Každé opatrenie musí znižovať reálne riziko a byť dlhodobo udržateľné.

4. Dokumentácia (až teraz)

Dokumentácia prichádza až po implementácii.

Nie opačne.

Vytvárame:

• bezpečnostné politiky

• smernice

• procesy

• evidencie

Platí jednoduché pravidlo:

čo je napísané, musí byť vykonateľné v praxi.

5. Príprava na audit

Audit (napr. TÜV) nie je strašiak.
Ak je systém nastavený správne, je to potvrdenie reality.

Pripravujeme klienta na:

• interný audit

• management review

• externý audit

Simulujeme otázky a kontrolujeme dôkazy.

Slovenská realita (z praxe)

Bez konkrétnych názvov, ale typické situácie:

Organizácia mala ISO certifikát, ale:

• všetci admini používali jeden účet

• logy sa neuchovávali

• incident response neexistoval

Iná firma mala výbornú dokumentáciu, ale:

• risk assessment bol len formálny

A často sa stretávam s prístupom:
„ISO robíme, lebo to chce zákazník“

Bez reálneho pochopenia bezpečnosti.

ISO 27001 vs. NIS2 vs. DORA

ISO 27001 dnes nie je izolovaná norma.

Je základom pre:

• NIS2

• DORA

• regulácie vo finančnom sektore

Ak máte dobre nastavené ISO:

• výrazne si zjednodušíte compliance

Ak nie:

• budete riešiť každú reguláciu zvlášť

Čo tým klientom vždy hovorím

ISO 27001 nie je projekt.
Je to systém.

A systém musí:

• fungovať aj bez konzultanta

• byť pochopený ľuďmi

• byť dlhodobo udržateľný

Ako vám vieme pomôcť

Našou úlohou nie je „spraviť ISO“.

Našou úlohou je nastaviť bezpečnosť tak, aby fungovala v praxi.

Pomáhame s:

• analýzou stavu

• riadením rizík

• návrhom architektúry

• implementáciou opatrení

• prípravou na certifikáciu

Certifikáciu následne realizuje nezávislá autorita (napr. TÜV).

Záver

Certifikát ISO 27001 je dnes štandard.
Skutočná hodnota je však inde.

V tom, že:

• viete, čo chránite

• viete, kde máte riziká

• viete reagovať

A to je rozdiel medzi firmou, ktorá má ISO, a firmou, ktorá má bezpečnosť pod kontrolou.