ISO 27001:2022

Системот за управување со безбедноста на информациите ISO/IEC 27001 е меѓународниот стандард што им овозможува на организациите да ги заштитат доверливоста, интегритетот и достапноста на своите информациски средства. Актуелната верзија на стандардот е ISO/IEC 27001:2022. CMB Consultancy им нуди услуги за сертификација преку акредитирани сертификациски тела на организациите што сакаат да добијат ISO 27001.

Што е ISO 27001?

ISO/IEC 27001 е меѓународниот стандард за управување со безбедноста на информациите што ги утврдува барањата за робустен систем за управување со безбедноста на информациите.

Денес организациите мора да ги заштитат доверливоста, интегритетот и достапноста на информациите и информациските средства што ги обработуваат, чуваат и управуваат, како за сопствените потреби, така и поради законите и договорите со кои се обврзани.

Со својот пристап заснован на ризик, стандардот за безбедност на информациите ISO/IEC 27001 им помага на организациите да го постигнат целното ниво на безбедност со соодветни човечки ресурси, постапки и инфраструктура на информациската технологија за заштита на информациите и информациските средства. ISO/IEC 27001 е погоден за интегрирање во деловните процеси на компании од секаква големина и во секој сектор.

Сертификатот ISO/IEC 27001 е доказ дека вашата организација на најдобар можен начин ги штити критичните податоци, како финансиските податоци и личните информации на клиентите, користејќи пристап заснован на ризик.

Поради тоа, сертификацијата ISO 27001 сѐ почесто станува задолжителна, поттикната и од законските и од договорните очекувања.

Секоја година настануваат големи финансиски загуби од ситуации што ги загрозуваат информациските средства, како надворешни напади, технички дефекти, шпионажа или злоупотреба на информации. Според ISO 27001, целта на системот за управување со безбедноста на информациите е да ги идентификува корпоративните ризици, да ги анализира и да користи соодветни мерки за нивно ставање под контрола.

ISO 27001 е усогласен со циклусот Планирај–Изврши–Провери–Дејствувај (PDCA), пристап добро познат од ISO 9001. Затоа системот за управување со безбедноста на информациите лесно може да се интегрира во постоечки систем за управување.

Што се промени со ревизијата ISO 27001:2022?

Актуелната верзија на ISO/IEC 27001 беше објавена во октомври 2022 година. Преодниот период за претходната верзија, ISO/IEC 27001:2013, заврши на 31 октомври 2025 година; од тој датум сертификатите издадени според верзијата од 2013 година повеќе не важат.

• Бројот на контроли во Анекс А е намален од 114 на 93, а контролите се групирани во четири теми: организациски, кадровски, физички и технолошки контроли.
• Додадени се 11 нови контроли, како разузнавање за закани, безбедност на информациите при користење услуги во облак, маскирање на податоци, спречување на истекување податоци и безбедно програмирање.
• Со Amd 1:2024, објавен во февруари 2024 година, климатските промени се додадени меѓу прашањата што треба да се земат предвид при оценувањето на контекстот на организацијата.

Зошто е потребен ISO 27001?

Општо е прифатено дека една организација не може да ги заштити безбедноста на информациите и континуитетот на работењето само со технички мерки и дека мора да има и збир мерки и контроли како СУБИ (систем за управување со безбедноста на информациите). Највисокото раководство и сите вработени треба да ги поддржуваат безбедносните политики создадени во рамките на СУБИ и ефективно да ги применуваат. Освен тоа, безбедноста се зголемува кога и сите лица и организации со кои соработува компанијата постапуваат во согласност со овие политики.

На кого се однесува ISO 27001?

ISO 27001 е погоден за сите организации, големи и мали, без оглед на земјата или секторот. Стандардот е особено потребен во секторите каде што безбедноста на информациите е од големо значење, како финансиите, здравството, јавниот сектор и информациската технологија. ISO 27001 е многу важен и за организациите што управуваат со информации во име на други, како подизведувачите во ИТ. Може да се користи за да им се гарантира на клиентите дека нивните информации се заштитени.

Во Турција, ISO 27001 е задолжителен за следниве сектори:

• компании што склучуваат договори за овластување,
• компании што склучуваат договори за концесија,
• компании што нудат услуги за сателитска комуникација,
• компании што нудат услуги за управување со инфраструктура,
• компании што нудат услуги за фиксна телефонија,
• компании што нудат услуги за мобилна телефонија GMPCS,
• компании што нудат услуги на виртуелна мобилна мрежа,
• даватели на интернет-услуги,
• компании што нудат услуги за мобилна телефонија GSM 1800 во авиони,
• компании што бараат овластување како специјални интегратори за е-фактура,
• извозни компании што бараат статус на овластен субјект за царински олеснувања,
• компании што нудат и управуваат со мрежи и инфраструктура за електронски комуникации,
• софтверски и хардверски компании и интегратори во ИТ-секторот што учествуваат на јавни тендери.

Прописи што го прават ISO 27001 задолжителен во Турција

Компании во енергетскиот сектор

Со измените објавени во Службениот весник бр. 29217 од 26.12.2014 година, Регулаторната агенција за енергетскиот пазар на Турција (EPDK) воведе обврска компаниите на пазарите на нафта, електрична енергија и природен гас да поседуваат сертификат за систем за управување со безбедноста на информациите ISO 27001. Имателите на лиценци на овие пазари се должни да добијат сертификат ISO 27001 од акредитирано сертификациско тело почнувајќи од 01.03.2016 година.

Царински компании

Статусот на Овластен економски оператор, воведен од турското Министерство за царини и трговија со Правилникот за поедноставување на царинските постапки објавен во Службениот весник на 10 јануари 2013 година, им се доделува на компаниите што ги исполнуваат царинските обврски и имаат финансиска солвентност и безбедносни стандарди (ISO 27001 и ISO 9001). Првата предност за производителите и извозниците со овој статус е царинењето на лице место: царинските постапки за извоз лесно се спроведуваат во просториите на самата компанија. Без да мора да оди или да чека на царина, компанијата безбедно ги завршува своите постапки во сопствениот објект, заштедувајќи и време и оперативни трошоци. Сертификацијата го зголемува и угледот на овие компании на пазарот.

Специјални интегратори што нудат услуги за е-фактура

Водичот за специјална интеграција за примена на е-фактурата од април 2015 година, на Управата за приходи – Одделот за ревизија и управување со усогласеноста, наведува дека специјалните интегратори што нудат услуги за е-фактура мора да добијат сертификати ISO 27001, ISO 22301 и ISO 20000.

Специјалните интегратори мора да имаат:

• сертификати TS ISO IEC 27001 или ISO 27001 за безбедност на информациите,
• сертификат ISO 22301 за континуитет на работењето (Societal security – Business continuity),
• сертификати TS ISO IEC 20000 или ISO 20000 за управување со ИТ-услуги.

Поими и концепти во ISO/IEC 27001

Систем за управување со безбедноста на информациите (СУБИ): Делот од целокупниот систем за управување, заснован на пристап кон деловниот ризик, за воспоставување, примена, работа, следење, преиспитување, одржување и подобрување на безбедноста на информациите.

Анализа на ризик: Систематска употреба на информации за идентификување на изворите и за проценка на ризикот.

Проценка на ризик: Целокупниот процес на анализа на ризикот и негово вреднување.

Вреднување на ризикот: Процес на споредување на проценетиот ризик со дадените критериуми за ризик за да се утврди неговата значајност.

Управување со ризик: Координирани активности за насочување и контрола на организацијата во однос на ризикот.

Третман на ризикот: Процес на избор и примена на мерки за менување на ризикот.

Изјава за применливост: Документирана изјава што ги опишува контролните цели и контролите што се релевантни и применливи за СУБИ на организацијата.

Придобивки од воспоставување систем за управување со безбедноста на информациите ISO 27001

• Свесност за информациските средства: Организацијата станува свесна какви информациски средства има и колку тие вредат.
• Способност за заштита на средствата: Ги утврдува методите на заштита преку контролите што ги воспоставува и ги штити средствата со нивна примена.
• Континуитет на работењето: Го обезбедува своето работење за многу години и е способна да продолжи со дејноста во случај на катастрофа.
• Однос на доверба со заинтересираните страни: Ја стекнува довербата на заинтересираните страни, особено на добавувачите, бидејќи нивните информации се заштитени.
• Ги штити информациите преку систем, наместо да ги остави на случајноста.
• Клиентите ја оценуваат подобро од нејзините конкуренти.
• Ја зголемува мотивацијата на вработените.
• Спречува судски постапки.
• Носи висок углед.