ISO 27001:2022

Sistemi i menaxhimit të sigurisë së informacionit ISO/IEC 27001 është standardi ndërkombëtar që u mundëson organizatave të mbrojnë konfidencialitetin, integritetin dhe disponueshmërinë e aseteve të tyre të informacionit. Versioni aktual i standardit është ISO/IEC 27001:2022. CMB Consultancy u ofron shërbime certifikimi përmes organeve të akredituara të certifikimit organizatave që duan të marrin ISO 27001.

Çfarë është ISO 27001?

ISO/IEC 27001 është standardi ndërkombëtar i menaxhimit të sigurisë së informacionit që përcakton kërkesat për një sistem të fortë të menaxhimit të sigurisë së informacionit.

Sot organizatat duhet të mbrojnë konfidencialitetin, integritetin dhe disponueshmërinë e informacionit dhe të aseteve të informacionit që përpunojnë, ruajnë dhe menaxhojnë, si për nevojat e veta, ashtu edhe për shkak të ligjeve dhe kontratave me të cilat janë të lidhura.

Me qasjen e tij të bazuar te rreziku, standardi i sigurisë së informacionit ISO/IEC 27001 i ndihmon organizatat të arrijnë nivelin e synuar të sigurisë me burimet njerëzore, procedurat dhe infrastrukturën e duhur të teknologjisë së informacionit për mbrojtjen e informacionit dhe të aseteve të informacionit. ISO/IEC 27001 është i përshtatshëm për t’u integruar në proceset e biznesit të kompanive të çdo madhësie dhe në çdo sektor.

Certifikata ISO/IEC 27001 është prova se organizata juaj i mbron në mënyrën më të mirë të mundshme të dhënat kritike, si të dhënat financiare dhe informacionin personal të klientëve, duke përdorur një qasje të bazuar te rreziku.

Për këtë arsye, certifikimi ISO 27001 po bëhet gjithnjë e më shpesh i detyrueshëm, i nxitur si nga pritshmëritë ligjore, ashtu edhe nga ato kontraktuale.

Çdo vit lindin humbje të mëdha financiare nga situata që dëmtojnë asetet e informacionit, si sulmet e jashtme, defektet teknike, spiunazhi ose keqpërdorimi i informacionit. Sipas ISO 27001, qëllimi i një sistemi të menaxhimit të sigurisë së informacionit është të identifikojë rreziqet e korporatës, t’i analizojë dhe të përdorë masa të përshtatshme për t’i vënë nën kontroll.

ISO 27001 është në përputhje me ciklin Planifiko-Zbato-Kontrollo-Vepro (PDCA), një qasje e njohur mirë nga ISO 9001. Prandaj sistemi i menaxhimit të sigurisë së informacionit mund të integrohet lehtësisht në një sistem menaxhimi ekzistues.

Çfarë ndryshoi me rishikimin ISO 27001:2022?

Versioni aktual i ISO/IEC 27001 u botua në tetor 2022. Periudha e tranzicionit për versionin e mëparshëm, ISO/IEC 27001:2013, përfundoi më 31 tetor 2025; që nga ajo datë, certifikatat e lëshuara sipas versionit të vitit 2013 nuk janë më të vlefshme.

• Numri i kontrolleve në Shtojcën A u ul nga 114 në 93, dhe kontrollet u grupuan në katër tema: kontrolle organizative, të personelit, fizike dhe teknologjike.
• U shtuan 11 kontrolle të reja, si inteligjenca për kërcënimet, siguria e informacionit për përdorimin e shërbimeve cloud, maskimi i të dhënave, parandalimi i rrjedhjes së të dhënave dhe kodimi i sigurt.
• Me Amd 1:2024, të botuar në shkurt 2024, ndryshimet klimatike janë shtuar ndër çështjet që duhen marrë parasysh gjatë vlerësimit të kontekstit të organizatës.

Pse është i nevojshëm ISO 27001?

Pranohet në mbarë botën se një organizatë nuk mund ta mbrojë sigurinë e informacionit dhe vazhdimësinë e biznesit vetëm me masa teknike, dhe se duhet të ketë edhe një sërë masash dhe kontrollesh si një SMSI (Sistem i menaxhimit të sigurisë së informacionit). Drejtimi i lartë dhe të gjithë punonjësit duhet t’i mbështesin politikat e sigurisë të krijuara brenda SMSI-së dhe t’i zbatojnë ato në mënyrë efektive. Përveç kësaj, siguria rritet kur edhe të gjithë personat dhe organizatat me të cilat punon kompania veprojnë në përputhje me këto politika.

Kë e prek ISO 27001?

ISO 27001 është i përshtatshëm për të gjitha organizatat, të mëdha dhe të vogla, pavarësisht nga vendi ose sektori. Standardi është veçanërisht i nevojshëm në sektorët ku siguria e informacionit ka rëndësi të madhe, si financat, shëndetësia, sektori publik dhe teknologjia e informacionit. ISO 27001 është shumë i rëndësishëm edhe për organizatat që menaxhojnë informacion në emër të të tjerëve, si nënkontraktorët e TI-së. Ai mund të përdoret për t’i siguruar klientët se informacioni i tyre është i mbrojtur.

Në Turqi, ISO 27001 është i detyrueshëm për sektorët e mëposhtëm:

• kompanitë që nënshkruajnë marrëveshje detyre,
• kompanitë që nënshkruajnë marrëveshje koncesioni,
• kompanitë që ofrojnë shërbime komunikimi satelitor,
• kompanitë që ofrojnë shërbime të operimit të infrastrukturës,
• kompanitë që ofrojnë shërbime telefonie fikse,
• kompanitë që ofrojnë shërbime telefonie mobile GMPCS,
• kompanitë që ofrojnë shërbime të rrjetit virtual mobil,
• ofruesit e shërbimit të internetit,
• kompanitë që ofrojnë shërbime telefonie mobile GSM 1800 në avionë,
• kompanitë që kërkojnë autorizim si integrues special për faturën elektronike,
• kompanitë eksportuese që kërkojnë statusin e autorizuar për lehtësimin doganor,
• kompanitë që ofrojnë dhe operojnë rrjete dhe infrastrukturë komunikimi elektronik,
• kompanitë e softuerit, harduerit dhe integruesit në sektorin e TI-së që marrin pjesë në tenderë publikë.

Rregulloret që e bëjnë ISO 27001 të detyrueshëm në Turqi

Kompanitë në sektorin e energjisë

Me ndryshimet e botuara në Fletoren Zyrtare nr. 29217, datë 26.12.2014, Autoriteti Rregullator i Tregut të Energjisë së Turqisë (EPDK) e bëri të detyrueshme që kompanitë në tregjet e naftës, energjisë elektrike dhe gazit natyror të kenë certifikatën e sistemit të menaxhimit të sigurisë së informacionit ISO 27001. Mbajtësit e licencave në këto tregje janë të detyruar të marrin certifikatë ISO 27001 nga një organ i akredituar certifikimi që nga data 01.03.2016.

Kompanitë doganore

Statusi i Detyruesit të Autorizuar, i futur nga Ministria Turke e Doganave dhe Tregtisë sipas Rregullores për lehtësimin e procedurave doganore të botuar në Fletoren Zyrtare më 10 janar 2013, u jepet kompanive që përmbushin detyrimet doganore dhe kanë mjaftueshmëri financiare dhe standarde sigurie (ISO 27001 dhe ISO 9001). Përparësia e parë për prodhuesit dhe eksportuesit me këtë status është zhdoganimi në vend: procedurat doganore për eksportet kryhen lehtësisht në ambientet e vetë kompanisë. Pa pasur nevojë të shkojë ose të presë në doganë, kompania i përfundon procedurat e saj në mënyrë të sigurt në objektin e vet, duke kursyer si kohë, ashtu edhe kosto operative. Certifikimi rrit gjithashtu prestigjin e këtyre kompanive në treg.

Kompanitë integruese speciale që ofrojnë shërbime të faturës elektronike

Udhëzuesi i integrimit special për aplikimin e faturës elektronike, i prillit 2015, i Administratës së të Ardhurave – Departamenti i Auditimit dhe Menaxhimit të Përputhshmërisë, thotë se kompanitë integruese speciale që ofrojnë shërbime të faturës elektronike duhet të marrin certifikatat ISO 27001, ISO 22301 dhe ISO 20000.

Kompanitë integruese speciale duhet të kenë:

• certifikatat TS ISO IEC 27001 ose ISO 27001 për sigurinë e informacionit,
• certifikatën ISO 22301 për vazhdimësinë e biznesit (Societal security – Business continuity),
• certifikatat TS ISO IEC 20000 ose ISO 20000 për menaxhimin e shërbimeve të TI-së.

Termat dhe konceptet e ISO/IEC 27001

Sistemi i menaxhimit të sigurisë së informacionit (SMSI): Pjesa e sistemit të përgjithshëm të menaxhimit, e bazuar në një qasje ndaj rrezikut të biznesit, për të ngritur, zbatuar, operuar, monitoruar, rishikuar, ruajtur dhe përmirësuar sigurinë e informacionit.

Analiza e rrezikut: Përdorimi sistematik i informacionit për të identifikuar burimet dhe për të vlerësuar rrezikun.

Vlerësimi i rrezikut: Procesi i përgjithshëm i analizës së rrezikut dhe i vlerësimit të tij.

Vlerësimi i rëndësisë së rrezikut: Procesi i krahasimit të rrezikut të vlerësuar me kriteret e dhëna të rrezikut për të përcaktuar rëndësinë e tij.

Menaxhimi i rrezikut: Veprimtari të koordinuara për të drejtuar dhe kontrolluar një organizatë në lidhje me rrezikun.

Trajtimi i rrezikut: Procesi i përzgjedhjes dhe i zbatimit të masave për të modifikuar rrezikun.

Deklarata e zbatueshmërisë: Një deklaratë e dokumentuar që përshkruan objektivat e kontrollit dhe kontrollet që janë të rëndësishme dhe të zbatueshme për SMSI-në e organizatës.

Përfitimet e ngritjes së një sistemi të menaxhimit të sigurisë së informacionit ISO 27001

• Ndërgjegjësimi për asetet e informacionit: Organizata bëhet e vetëdijshme se cilat asete informacioni ka dhe sa vlejnë ato.
• Aftësia për të mbrojtur asetet: Përcakton metodat e mbrojtjes përmes kontrolleve që ngre dhe i mbron asetet duke i zbatuar ato.
• Vazhdimësia e biznesit: E siguron biznesin e vet për shumë vite dhe është në gjendje të vazhdojë veprimtarinë në rast fatkeqësie.
• Marrëdhënie besimi me palët e interesuara: Fiton besimin e palëve të interesuara, veçanërisht të furnitorëve, sepse informacioni i tyre mbrohet.
• E mbron informacionin përmes një sistemi, në vend që ta lërë në dorën e rastit.
• Klientët e vlerësojnë më mirë se konkurrentët e saj.
• Rrit motivimin e punonjësve.
• Parandalon procedurat ligjore.
• Sjell prestigj të lartë.