Kaj kupci dejansko iščejo
Banke, zavarovalnice in večja podjetja želijo zmanjšati tveganje, ki ga prevzamejo z nakupom vaše storitve. Zato jih zanima, kako upravljate dostop, kako zaznate incidente, kako zagotavljate razpoložljivost, kdo ima dostop do podatkov in kako preverjate podizvajalce. Certifikat ali poročilo je dokaz, da te procese neodvisno preverja nekdo drug.
Vendar certifikat ni čarobna palica. Če kupec vidi, da politika obstaja, ekipa pa je ne uporablja, bo to razkril naslednji pregled. Zato je cilj priprave vzpostaviti procese, ki jih lahko dokažete z zapisi, ne pa ustvariti mapo dokumentov za prodajo.
ISO 27001 ni isto kot SOC 2
ISO/IEC 27001:2022 je mednarodni standard za sistem upravljanja informacijske varnosti (ISMS). Organizacija vzpostavi obseg, oceni tveganja, izbere kontrole in vzdržuje sistem. Certificiranje opravi akreditirani certificacijski organ; certifikat velja za določen obseg in obdobje ter se periodično preverja.
SOC 2 je poročilo o zagotovilu, ki ga pripravi neodvisna revizijska oziroma računovodska družba po merilih AICPA Trust Services Criteria. Tip I opisuje stanje na določen datum, tip II pa delovanje skozi obdobje. SOC 2 ni certifikat in ni javno poročilo; kupec ga prejme pod NDA. Za mnoge kupce v ZDA je SOC 2 bolj pričakovan, v Evropi pa je ISO 27001 pogosteje osnova.
Nekatera podjetja potrebujejo oba, druga samo enega. Odločitev je odvisna od kupcev, trgov in tega, kaj vam kupci dejansko omenjajo v vprašalnikih. Za začetek je smiselno narediti obseg in oceno tveganj, ki sta uporabna ne glede na končni standard.
Pot do pripravljenosti
Priprava se začne z obsegom: katere storitve, lokacije, ekipe in podizvajalci so vključeni. Pretiran obseg je najpogostejši razlog za nepotrebno kompleksnost. Sledi ocena tveganj: kateri podatki so občutljivi, kaj bi se lahko zgodilo in katere kontrole zmanjšajo tveganje.
Nato izberete kontrole in jih povežete z vsakodnevnim delom: upravljanje dostopa, varnost razvoja, upravljanje sprememb, odziv na incidente, neprekinjeno poslovanje, upravljanje dobaviteljev, ozaveščanje in notranje preglede. Za vsako kontrolo določite lastnika in dokaz, ki nastane kot stranski produkt dela — ne kot dodatno administrativno breme.
Pred zunanjim pregledom je smiselno narediti notranjo revizijo in vodstveni pregled. Šele ko so ugotovitve zaprte, se dogovorite za certificiranje oziroma revizijo. Čas priprave je odvisen od obsega, zrelosti ekipe in razpoložljivosti dokazov; ne obljubljamo fiksnega roka brez pregleda.
- Obseg in meje ISMS ali sistema kontrol.
- Register sredstev, podatkovnih tokov in dobaviteljev.
- Ocena tveganj in načrt obvladovanja.
- Politike, postopki in lastniki kontrol.
- Dokazi iz vsakodnevnega delovanja.
- Notranja revizija, vodstveni pregled in odpravljanje ugotovitev.
Kaj je smiselno narediti najprej
Če vas kupec pritiska s predprodajnim vprašalnikom, ne začnite s celotnim ISMS. Najprej ugotovite, ali kupec zahteva certifikat, poročilo ali samo odgovore na vprašalnik. Nato pripravite osnovni nabor dokazil: dostop, incidenti, razvoj, dobavitelji in neprekinjeno poslovanje. Šele ko veste, kje ste, se odločite za obseg certificiranja.
Orodja so lahko koristna, vendar ne nadomestijo procesa. Če nimate lastnika za varnost, rednega pregleda dostopov in načina beleženja incidentov, vam nobeno orodje ne bo prineslo skladnosti.
Kje se projekti zataknejo
- Obseg je preširok in vključuje dele organizacije, ki nimajo jasnega lastnika.
- Politike so napisane, ekipa pa jih ne pozna ali ne uporablja.
- Dokazi se zbirajo ročno tik pred revizijo, namesto da nastajajo sproti.
- Podizvajalci in oblačne storitve niso vključeni v oceno tveganja.
- Projekt vodi IT, poslovodstvo pa ne prevzame odgovornosti.
- Certifikat se obravnava kot cilj, ne kot del sistema, ki ga je treba vzdrževati.
Kaj naredimo v pilotnem pregledu
V 20-minutnem pogovoru ugotovimo, kateri standard kupec pričakuje, kakšen je obseg in kje so največje vrzeli. Sledi kratka ocena obstoječih dokazov in predlog prioritet. Ne izdajamo certifikatov in ne trdimo, da boste certificirani; pomagamo pa, da se priprava začne z realnim obsegom in dokazi, ki jih kupec res potrebuje.
Pogosta vprašanja
Ali potrebujemo ISO 27001 ali SOC 2?
Odvisno od kupcev in trgov. ISO 27001 je pogosto pričakovan v Evropi, SOC 2 pa pri strankah v ZDA ali pri ponudnikih, ki poslujejo z ameriškimi podjetji. Nekateri kupci zahtevajo enega, drugi drugega, nekateri sprejmejo tudi druga dokazila. Najprej preverite konkretne zahteve kupca.
Koliko časa traja priprava?
Ni univerzalnega roka. Trajanje je odvisno od obsega, zrelosti procesov, razpoložljivosti dokazov in tega, ali gre za prvo certificiranje ali obnovitev. Po pregledu lahko pripravimo oceno, ne pa fiksnega roka brez poznavanja organizacije.
Ali se lahko certificiramo sami?
Ne. ISO 27001 certifikat izda akreditirani certificacijski organ. SOC 2 poročilo pripravi neodvisna revizijska oziroma računovodska družba. Samoocena je lahko del priprave, ni pa nadomestilo za neodvisno preverjanje.
Kakšna je razlika med SOC 2 Tip I in Tip II?
Tip I opisuje ustreznost kontrol na določen datum. Tip II opisuje delovanje kontrol skozi daljše obdobje in je za kupce pogosto bolj prepričljiv, ker pokaže, da procesi delujejo v praksi, ne le na papirju.
Ali moramo v obseg vključiti vse podizvajalce?
V obseg je treba vključiti storitve in dobavitelje, ki vplivajo na varnost storitve, ki jo prodajate. Kateri podizvajalci so v obsegu, je odvisno od arhitekture in pogodb. Pri oceni je bolje začeti z jasnim popisom podatkovnih tokov in odgovornosti.
Viri in pravna podlaga
Standardi in smernice se lahko spremenijo; pred odločitvijo preverite veljavno različico.