ISO 27001

תיאום שיחת זום לאיפיון הארגון בשלושה ורטיקלים: רגולטורי, טכנולוגי וארגון ושיטות עבודה.

מיפוי כלל החברה בשלושה ורטיקליים עיקריים: כתיבת דו"ח פערים ומתן המלצות לשיפור בהתאמה למשאבי החברה.

כתיבת תכנית עבודה בהתאם לפערים ביחס לדרישות התקן והחוק.

הטמעת הדרישות בשלושת ורטיקליים: רגולטורי-משפטי, טכנולוגי וארגון ושיטות עבודה, הכולל הדרכות עובדים, כתיבת נהלים והוראות עבודה בהתאם לדרישות האבטחה של הארגון והמשאבים הנדרשים לתחזוקתם.

זיהוי והערכת סיכוני אבטחת מידע וסייבר בארגון, תיעודם בטבלה הכוללת שיטות להערכת היקף הסיכון והדרך לצמצומו.

ההכנה כוללת ביצוע והכנת סקר הנהלה וביצוע מבדקים פנימיים בכל הארגון, מיפוי הפערים החסרים ותיקונים לפני המבדק.

המבדק החיצוני ייערך ע"י גוף בעל הסמכה לנושא ISO 27001, בנוכחות מלאה של יועץ Hermeticon, הכולל מענה לשאלות הסוקרים והשלמות מקצועיות ומענה לפעולות המתקנות מהמבדק.

הנפקת תעודות הכוללת את תחום פעילות החברה, ב-2 שפות (אנגלית ועברית).

עלות תהליך ההסמכה מתחלקת לשניים:

החלק הראשון הוא תשלום אגרה למכון התעדה שנבחר על ידכם עבור מבדק ההסמכה. החלק השני, תשלום עבור שירותי הליווי וייעוץ מהמומחים בתחום אצלנו ב-Hermeticon.

לאחר שנכיר את הארגון שלכם ונראה מה הצורך מבחינת שעות עבודה, גודל הארגון, מורכבות הפרויקט, תהליכי העבודה ועוד – נבנה תכנית מסודרת ובה תקבלו את התמחור המלא.

משך זמן התהליך תלוי במספר גורמים כמו אופי וגודל הארגון, יועץ איכות מומחה התחום אבטחת מידע שילווה אתכם מ-Hermeticon, יידע להטמיע כלים שיעלו לכם פחות כסף בזמן קצר יותר.

הזמן יהיה תלוי גם ברמת מעורבות הארגון ועד כמה הוא יהיה מוכן להשקיע במשאבים, זמן ושיתוף פעולה לצורך כך.

רוב הארגונים הקטנים והבינוניים יקבלו תעודת הסמכה תוך 6-12 חודשים במידה ויעשו הכנה נכונה לתהליך.

כדאי לדעת, כי הבוחן ממכון ההתעדה יבדוק את הטמעת התהליכים 3 חודשים אחורה מהבדיקה, כך שסביר שהתהליך ימשך כמספר חודשים.

במידה ויש לחץ של זמן בעקבות מכרז מתקרב או דרישת לקוח, יידע הסוקר לקצר את זמני ההטמעה.

בהחלט כן, התקן יאפשר סגירה הרמטית ואבטחת המידע לצורך מניעת זליגת מידע מחוץ לארגון.

כן, תקן ISO 9001 מתמקד בניהול איכות ותקן ISO 27001 מתמקד באבטחת מידע.

רבים מהצעדים הנדרשים להטמעת ISO 9001 נדרשים גם בתקן ISO 27001. ניתן לכסות את הארגון מבחינת תהליכי עבודה ושמירת מידע אישי על ידי הקמת מערכת משולבת של אבטחת מידע.

ברגולציה האמריקאית SOC 2 מבוצעת הביקורת ע"י משרד רו"ח אמריקאי, בהסמכה לתקן ISO 27001 זה יבוצע ע"י מכון התעדה מקומי וברגולציית GDPR אין הסמכה כלל.

לעיתים כאשר רוצים לחדור לשוק האמריקאי, עמידה בתקן ISO 27001 לבדו לא תספיק, אך לארגון שהוא כבר בעל הסמכה של ISO 27001 יהיה פשוט הרבה יותר לעמוד ברגולציה כיוון שמערכות ניהול המידע כבר קיימות בארגון.

אנו ב-Hermeticon ממליצים לכל ארגון שבמטרותיו העתידיות לחדור לשוק האירופאי ו/או האמריקאי לבצע בעזרתנו תהליך מקיף ומשולב שיבטיח את המוכנות שלו להסמכות השונות וכן ליווי בתהליך מחודש לכשיצטרך.

לא, כיוון ש-ISO 27001 לא נותן מענה לפן המשפטי הנדרש ב-GDPR כמו הסכמי התקשרות מול ספקים ועוד.

התשובה היא לא, אך כן ישנה דרישה לאחראי לנושא אבטחת מידע מטעם הנהלת הארגון. בהתאם לגודל הארגון והיקף הפעילות שלו, רבים הארגונים המעסיקים איש אבטחת מידע חיצוני/ פנימי.

ישנם ארגונים המעדיפים חברה ארגונית לצורך פיקוח תהליכים כיוון שעובד פנימי מתקשה לבדוק את עצמו.