ISO 27001 nima va kompaniyangizga sertifikatsiya kerakmi

Qisqa javob

ISO/IEC 27001 — axborot xavfsizligini boshqarish tizimini (ISMS, Information Security Management System) qanday qurish va qo‘llab-quvvatlashni tavsiflovchi xalqaro standart. Standart aniq dasturlar yoki sozlamalarni talab qilmaydi. U kompaniyadan o‘z xavflarini tushunishni, himoya choralarini ongli tanlashni, ularni hujjatlashtirishni va ishlayotganini muntazam tekshirishni talab qiladi.

Sertifikat mustaqil auditor bu tizimni tekshirganini tasdiqlaydi. U birinchi navbatda mijozlar, tenderlar yoki regulyatorlar talab qilganda kerak. Bunday talablar bo‘lmasa, yengil siyosat va amaliyotlar to‘plamidan boshlash, so‘rov paydo bo‘lganda sertifikatsiyaga qaytish oqilona.

ISMS nima

ISMS — bu dastur ham, bo‘lim ham emas, balki jarayonlar va qoidalar to‘plami:

• kompaniyada qanday axborot aktivlari bor va ular uchun kim javobgar;
• ularga qanday xavflar tahdid soladi va ular qanday baholanadi;
• xavflarni kamaytirish uchun qanday choralar tanlangan va nima uchun;
• xodimlar qanday o‘qitiladi, insidentlarga qanday javob beriladi;
• rahbariyat bularning barchasi ishlayotgani va yaxshilanayotganini qanday nazorat qiladi.

Asosiy g‘oya — Plan-Do-Check-Act sikli: rejalashtirish, joriy qilish, tekshirish, yaxshilash. Xavfsizlik bir martalik loyiha emas, muntazam jarayonga aylanadi.

Standart qanday tuzilgan

Standart ikki qismdan iborat.

Asosiy bo‘limlar (clauses 4-10) — boshqaruv tizimining o‘ziga majburiy talablar:

A ilovasi (Annex A) — himoya choralari (controls) katalogi. Amaldagi tahrirda ular to‘rtta mavzuga guruhlangan: tashkiliy, kadrlar, jismoniy va texnologik. Bunga kirishni boshqarish, zaxira nusxalash, xavfsiz dasturlash, yetkazib beruvchilar bilan ishlash va boshqalar kiradi.

Muhim hujjat — Statement of Applicability (SoA): unda kompaniya Annex A’dagi barcha choralarni sanab, qaysilarini qo‘llashini va qolganlarini nega chiqarib tashlaganini tushuntiradi. Bu standartni moslashuvchan qiladi: o‘z server xonasi bo‘lmagan kichik kompaniya data-markaz choralarini joriy qilishga majbur emas.

Sertifikatsiya qanday o‘tadi

1. Chegaralarni belgilash. ISMSga nima kiradi: butun kompaniya, bitta mahsulot yoki bitta filial.
2. Xavflarni baholash va choralarni tanlash. Xavflar reyestri va SoA tuziladi.
3. Joriy qilish va hujjatlashtirish. Siyosatlar, tartiblar, texnik choralar.
4. Tizimning ishlashi. Auditdan oldin ISMS ma’lum vaqt haqiqatan ishlashi kerak: yozuvlar to‘planadi, ichki audit va rahbariyat tahlili o‘tkaziladi.
5. Stage 1 audit. Akkreditatsiyalangan sertifikatlash organi hujjatlar va tayyorgarlikni tekshiradi.
6. Stage 2 audit. Jarayonlar haqiqatan bajarilayotganini tekshirish: suhbatlar, yozuvlar, choralarni tanlab tekshirish.
7. Sertifikat va nazorat. Sertifikat odatda uch yil amal qiladi, bu davrda har yili nazorat auditlari o‘tadi, so‘ng qayta sertifikatsiya.

Muddatlar nimaga bog‘liq

Aniq muddat yo‘q, ammo bu haftalar emas, oylar davom etadigan loyiha. Davomiylikni belgilaydi:

• ISMS chegaralari hajmi: bitta mahsulot butun kompaniyadan oddiyroq;
• joriy amaliyotlar yetukligi: kirishni boshqarish, zaxira nusxalar, loglash allaqachon bormi;
• resurslar: alohida mas’ul va rahbariyat qo‘llovi bormi;
• dalillar to‘planishi uchun auditgacha tizimning ishlash davri;
• sertifikatlash organining bandligi.

Sertifikat qachon haqiqatan kerak

• Korporativ yoki xalqaro mijozlar uni shartnomada yoki yetkazib beruvchi anketasida talab qiladi.
• Sertifikatni aniq talab qiladigan tenderlar.
• Siz pudratchi sifatida mijozlarning maxfiy ma’lumotlariga ishlov berasiz: SaaS, hosting, fintex, autsorsing dasturlash.
• Soha regulyatori yoki hamkor rasmiy tasdiqni kutadi.

Qachon yengil siyosatlar to‘plami yetarli

Sertifikatni hech kim talab qilmasa, standartni yo‘riqnoma sifatida olib, asosni joriy qiling:

• majburiy 2FA bilan kirish va parollar siyosati;
• oddiy jadvaldagi aktivlar va xavflar reyestri;
• tiklash testlari bilan zaxira nusxalash tartibi;
• xodimlarni qabul qilish va ishdan bo‘shatish tartibi;
• insidentlarga javob berish rejasi;
• pudratchilarga talablar.

Bu mijozlarning xavfsizlik anketalaridagi ko‘pchilik savollarni yopadi va kelajakdagi sertifikatsiyani osonlashtiradi.

Ko‘p uchraydigan xatolar

• Hech kim bajarmaydigan hujjat shablonlarini sotib olish: auditor faqat qog‘ozlarni emas, amaliyotni tekshiradi.
• Birinchi safardayoq juda keng chegaralar belgilash.
• Hammasini rahbariyat ishtirokisiz bitta mutaxassisga yuklash.