תקן ISO/IEC 27001:2022 הוא תקן בינלאומי למערכת ניהול אבטחת מידע. מטרתו לסייע לארגון לנהל באופן שיטתי את הסיכונים הקשורים למידע ולהגן על המידע בהתאם לצורכי הארגון, פעילותו והסיכונים שאליהם הוא חשוף.
התקן מתאים לארגונים מסוגים וגדלים שונים, ובין היתר לחברות טכנולוגיה, חברות תוכנה ושירותים, ארגונים המחזיקים מידע של לקוחות, ספקים ונותני שירותים וארגונים הנדרשים לעמוד בדרישות אבטחת מידע במסגרת התקשרויות ומכרזים.
מהי מערכת ניהול אבטחת מידע?
מערכת ניהול אבטחת מידע, ISMS – מערכת לניהול אבטחת מידע, היא המסגרת שבאמצעותה הארגון מגדיר כיצד הוא מנהל את אבטחת המידע.
המערכת כוללת, בין היתר, הגדרת תחום מערכת הניהול, זיהוי סיכוני אבטחת מידע, בחירת אמצעי טיפול ובקרות, קביעת אחריות וסמכות, נהלים ותהליכי עבודה, הדרכת עובדים, בקרה ומדידה ושיפור מתמיד.
על מה מגן תקן ISO 27001?
ניהול אבטחת המידע מתייחס לשלושה עקרונות מרכזיים:
סודיות – המידע נגיש רק למי שמורשה לקבל אליו גישה.
שלמות – הגנה על דיוק המידע ושלמותו ומניעת שינוי בלתי מורשה.
זמינות – המידע והמערכות זמינים לגורמים המורשים בהתאם לצורך.
ניהול סיכונים במסגרת ISO 27001
אחד המרכיבים המרכזיים בתקן הוא ניהול סיכוני אבטחת מידע.
הארגון נדרש לזהות את הסיכונים הרלוונטיים לפעילותו ולמידע שהוא מנהל, להעריך את רמת הסיכון ולקבוע כיצד לטפל בו.
בהתאם לתוצאות סקר הסיכונים נקבעות הבקרות המתאימות ונערך מסמך ישימות – SoA (Statement of Applicability), הצהרת הישימות, שבו מתועדות הבקרות הרלוונטיות לארגון וההצדקה להכללתן או לאי הכללתן.
אילו נושאים נבחנים במסגרת ISO 27001?
המערכת מותאמת לפעילות ולסיכונים של כל ארגון. בין היתר נבחנים נושאים כגון ניהול הרשאות וגישה למידע, אבטחת ציוד ותחנות קצה, עבודה בענן, גיבויים, טיפול באירועי אבטחת מידע, ניהול ספקים, המשכיות עסקית, אבטחת משאבי אנוש, פיתוח מאובטח ושימוש בטכנולוגיות ובמערכות מידע.
כיום יש לבחון במסגרת ניהול הסיכונים גם שימוש הארגון בכלי בינה מלאכותית (AI), ככל שנעשה בהם שימוש, לרבות סוגי המידע המועברים לכלים, הרשאות הניתנות להם, שימוש בכלים מאושרים וניהול הסיכונים הנובעים מהשימוש בהם.
מה נדרש לצורך התעדה לתקן ISO 27001?
היערכות להתעדה אינה מסתכמת בכתיבת נהלים. יש להתאים את מערכת ניהול אבטחת המידע לפעילות הארגון וליישם את הדרישות והבקרות שנקבעו בפועל.
התהליך כולל, בין היתר, בחינת המצב הקיים, סקר סיכונים, קביעת תוכנית לטיפול בסיכונים, הכנת מסמך הישימות, כתיבה ועדכון של נהלים ודוחות, יישום בקרות, הדרכת עובדים, ביצוע מבדק פנימי, סקר הנהלה וטיפול בפערים שהתגלו.
לאחר השלמת ההיערכות ניתן לעבור מבדק של גוף התעדה לצורך קבלת תעודת ISO/IEC 27001.
ליווי והכנה למבדק ISO 27001
אני מבצעת עם הארגון את העבודה הנדרשת לצורך ההיערכות לתקן ISO 27001, משלב בחינת המצב הקיים ועד למבדק ההתעדה.
הליווי כולל, בהתאם לצורכי הארגון, סקר סיכונים, מסמך ישימות, נהלים ודוחות, ליווי ביישום הבקרות, מבדק פנימי, הכנה למבדק ההתעדה וליווי במהלך המבדק עד לקבלת התעודה.
המידע והדוגמאות המוצגים במאמר נועדו לספק מידע מקצועי ראשוני והיכרות כללית עם הנושא. המאמר מציג עקרונות ונושאים מרכזיים בלבד ואינו כולל את מלוא דרישות התקנים או את כלל הפעולות הנדרשות לצורך יישומם ועמידה בדרישותיהם. כל ארגון נדרש לבחון ולהתאים את הדרישות ואופן יישומן לסוג פעילותו, לתהליכיו, להיקף פעילותו, לסיכונים שזוהו וכן להוראות הדין ולדרישות אחרות החלות עליו.
שאלות ויצירת קשר
לקבלת מידע נוסף בנושא ISO 27001 ואבטחת מידע ניתן ליצור קשר:
בינה אלכסנדרוב מאור M.A., MBA | מנתחת מערכות מידע
שליחת הודעה ב־WhatsApp: 052-540-0566
טלפון: 052-540-0566
