ISO 27001 | ניהול אבטחת מידע

הטמעת התקן נמשכת לרוב 2–6 חודשים, וניתנת לקיצור בעבודה ממוקדת. משך התהליך תלוי בגודל הארגון, שיתוף הפעולה וזמינות מכון ההסמכה. הרמטיקון מנהלת את ההטמעה בהתאם לצרכי הלקוח, לפי מתודולוגיה יעילה שהוכיחה את עצמה.

עלות ליווי להטמעת התקן נעה בין 15,000 ₪ ל-90,000 ₪, בהתאם לפרמטרים, למורכבות הארגון ומערכותיו.
עלות מבדק הסמכה נעה בין 10,000 ₪ ל-30,000 ₪, בהתאם לקריטריונים משתנים

מאוד מומלץ לעבוד עם יועצים מנוסים, לפחות בתהליך ההסמכה הראשון, כיוון שיש המון כשלים פוטנציאלים שצריך להכיר ולהימנע מהם. הסיכון בכישלון במבדק אם מנסים לבד, יכול להיות משמעותי במונחים של כסף (מבדק חוזר) וזמן (להכין הכל מחדש). חשוב שהיועץ יהיה מומחה אבטחת מידע, ולא רק מישהו "שמעביר תקנים".

לא, אין חובה בחוק לעמוד בתקן. עם זאת בענפים מסויימים יש דרישת רגולטור לעמידה בתקן.
הדרישות של תקנות הגנת הפרטיות בישראל מכילות הרבה מהדרישות של ISO27001, והרבה בעלי עסקים מאמצים את התקן ככלי לעמידה בחוק הגנת הפרטיות.

גופי ההסמכה שונים בעלות, מקצועיות ומתודולוגיה – אך התעודה זהה ובינלאומית. במבדק, הסוקר בשלב הראשון ילמד את מדיניות ותהליכי הארגון תוך סריקת נהלים ומסמכים, ראיונות ובדיקת יישום בפועל. בסיום מתקבל דוח, ואם נמצאו פערים, יש לתקנם ולאחר אישור הסוקר תתקבל תעודת ההסמכה.

תקן ISO27001 מתאים לכל ארגון, שכן הוא מגדיר מסגרת עקרונית לניהול אבטחת מידע. יחד עם זאת, ישנם תקנים משלימים המבוססים עליו, אותם מומלץ להטמיע במקביל:

• ISO 27799– עבור ארגונים אשר מנהלים רשומות רפואיות.
• ISO 27032– מספק כלים מעמיקים בתחום הסייבר.
• ISO 27017– עבור ארגונים אשר מספקים שירותים בענן.
• ISO 27018– עבור ארגונים אשר מחזיקים במידע פרטי בענן.
• ISO 27701– עבור ארגונים המחזיקים במידע פרטי (PII).

מדובר על תקן ניהולי, שמחייב הטמעה אפקטיבית של תהליכים, ע"י הגדרת מדיניות ויישום בקרות.
התפיסה שמדובר על צורך בהכנת מסמכים בלבד היא שגוייה ועלולה לסכן את הארגון באי עמידה בתקן. בלב התקן נמצא הצורך בניהול סיכונים, ולכך נדרשת מומחיות בתחום אבטחת המידע.

יש חפיפה רבה בין כלל התקנים והרגולציות בתחום אבטחת המידע, כיוון שכולן מבוססות על תהליכי ניהול דומים. עם זאת לכל רגולציה יש דרישות ייחודיות לה.

הטמעה נכונה ויישום שוטף ע"י בעלי התפקידים הרלוונטיים מקלים על ההיערכות למבדקים. מומלץ למנות גורם חיצוני או פנימי לביצוע בקרות שוטפות. רוב הארגונים נעזרים בשירות CISO as a Service לניהול תחום אבטחת המידע ותחזוקת התקן.

התקן מתמקד בניהול סיכונים ולא ברשימת דרישות קבועה. הסוקר יצפה לראות הגנות בסיסיות ויכולות ניהול מרכזי, אך כלים מתקדמים ייבחרו בהתאם לסיכונים. התקן חל לא רק על IT, אלא גם על תחומי רכש, משאבי אנוש, הנהלה, תפעול ועוד.