Sikeres NIS2-audit után egy vevő azért kérhet ISO 27001-tanúsítványt a vállalattól, mert szeretne meggyőződni róla, hogy a saját beszállítói követelményeit is teljesíti. Egy nemzetközi vállalat több országban is ugyanazt az igazolást kérheti partnereitől, mivel az ISO 27001 közös, ismert viszonyítási alap: azt mutatja, hogy a tanúsításban meghatározott területen független szervezet ellenőrizte az információbiztonsági irányítás megfelelőségét. Ha a tanúsítvány egy beszállítói előminősítés feltétele, akkor hiánya miatt egy egyébként jó ajánlat el sem jut az érdemi versenyig. Megszerzése önmagában persze nem hoz megrendelést a vállalatnak, megléte azonban konkrét üzleti akadályt háríthat el.
– A hazai szabályozás a kötelező védelmi intézkedések terén az ISO 27001 általános követelményeinél részletesebb, kötöttebb elvárásokat fogalmaz meg többek között a hozzáférésekre, a naplózásra vagy az incidenskezelésre nézve – mondta Kayser Péter. – Egy ISO-tanúsítvány önmagában nem ezek teljesítését igazolja, hanem teljesítésükhöz ad bevált irányítási keretet. Az információbiztonsági irányítási rendszer, röviden IBIR működését fogja össze, a minőségirányításból is ismert szemlélettel: legyen cél, felelős, ellenőrzés, és a tapasztalatok alapján javuljon a működés.
A védelem folyamatos fenntartása a NIS2-ben is elvárás, az ISO ennek megszervezéséhez kínál nemzetközi szabvány szerint tanúsítható rendszert.
Hozzáértő tervezéssel csökkenthetők az auditokkal járó ismétlések
Jó esetben a vállalat a NIS2 miatt már elvégzett munka jelentős részére építhet, az eszköznyilvántartás, a kockázatértékelés, a hozzáférések felülvizsgálata vagy a biztonsági oktatások dokumentációja az ISO-tanúsításnál is hasznos lehet. Ráadásul az audit után még frissek a tapasztalatok, a munkatársak tudják, hol vannak a bizonyítékok, és mely folyamatokon kellett változtatni.
A meglévő működést ezt követően össze kell vetni az ISO követelményeivel, és meghatározni, mely tevékenységekre terjedjen ki a tanúsítás. Érdemes ezt a vevői igényhez igazítani, például annak a szolgáltatásnak is benne kell lennie, amelyet az ügyfél meg akar vásárolni. Mindez megmutatja, mit kell még kiegészíteni, szükség lehet például arra, hogy a vállalat kialakítsa a biztonsági célok mérését, a belső audit vagy a vezetőségi átvizsgálás rendjét.
– Egy helyreállítási próba eredménye a vezetőségi átvizsgálásnak is fontos bemenete lehet – mondta Kayser Péter. – Tegyük fel, hogy a vállalat kipróbálja, hogyan tudná helyreállítani a rendelési rendszerét egy incidens után. A teszt nyolc órát mutat, miközben az üzleti igények alapján négyórás helyreállítási célt határoztak meg. Ilyenkor fel kell tárni az eltérés okát, és meg kell határozni a szükséges változtatásokat. A vezetésnek gondoskodnia kell arról, hogy a javításhoz rendelkezésre álljanak az erőforrások. Az ISO 27001 szerinti működésben a feladatnak felelőse és határideje lesz, az újabb próba pedig megmutatja, sikerült-e elérni a célt. A vezető így képet kap arról, hol tart a felkészültség, és mire érdemes költeni. A próba megfelelően dokumentált eredménye több auditban is felhasználható lehet, ha az adott vizsgálatok követelményeihez és hatóköréhez is illeszkedik.
Minthogy ugyanazt a működést vizsgálják, megfelelő tervezéssel az auditokkal járó ismétlések csökkenthetők. A VantaSec több megfelelőségi területen végez vizsgálatokat, a megegyező részeket így össze tudja hangolni.
Ahol ezt a vizsgálatok szabályai lehetővé teszik, közös adatbekéréssel, interjúkkal és bizonyítékokkal dolgozik. Az egyes követelményrendszerek szerinti értékelést természetesen el kell végezni, de az integrált megközelítés jelentősen könnyítheti az auditált szervezet munkáját.
Fotó: DepositPhotos.com
Törvényi megfelelésén felül a vállalat üzleti előnyt nyerhet
Különösen megéri a vállalatnak az ISO-tanúsítás, ha erősíteni szeretné üzleti kapcsolatait, vagy új ügyfeleket kíván megszólítani. Napjainkban egyre nagyobb figyelem irányul a beszállítói lánc megbízhatóságára. A partnereiket minősítő cégek az ár, illetve a szakmai teljesítmény mellett az adatbiztonságot és a működés megbízhatóságát is vizsgálják.
– Az ISO 27001-tanúsítvány kézzelfogható módon jelzi a megbízhatóságot, igazolja, hogy a vállalat információbiztonsági működése nemzetközi szabványra épül, és megfelelőségét független szervezet ellenőrizte, ami komolyan növelheti minden cég szakmai hitelét – mondta Kayser Péter.
– Amikor saját beszállítóinkat értékeljük, mi is a felkészültséget és a kiszámíthatóságot keressük, és vevőink ugyanezt várják tőlünk.
A NIS2-felkészülés után ezért különösen érdemes felmérni, mekkora további ráfordítással szerezhető meg és tartható fenn az ISO 27001-tanúsítvány. A kialakított működés és az összegyűjtött bizonyítékok jó alapot adhatnak hozzá, a VantaSec-nél pedig integráltan is végezhető a két audit. Így a már elvégzett munka nemzetközileg ismert igazolással egészülhet ki, amely egy partneri minősítésnél vagy a következő üzleti tárgyaláson is előnyt jelenthet.
