این گواهی چیست؟
ISO/IEC 27001 الزامات سیستم مدیریت امنیت اطلاعات (ISMS) را برای محافظت از محرمانه بودن، یکپارچگی و در دسترس بودن اطلاعات تعریف می کند. مبتنی بر ریسک است: سازمان دارایی‌ها و تهدیدات خود را ارزیابی می‌کند و اسنادی را که از ضمیمه A اعمال می‌کند، همراه با منطق، در یک بیانیه کاربردی (SoA) ارزیابی می‌کند. نسخه فعلی ISO/IEC 27001:2022 است و پیوست A شامل 93 کنترل تحت چهار موضوع است.
برای چه کسانی لازم است؟
- نرم افزار، SaaS و ارائه دهندگان خدمات ابری
- سازمان های مالی، مراقبت های بهداشتی و تجارت الکترونیکی که داده های مشتریان را پردازش می کنند
- تامین کنندگان مورد نیاز برای پاسخ به پرسشنامه های امنیتی مشتریان سازمانی (ارزیابی فروشنده)
- سازمان هایی که زیرساخت های حیاتی و خدمات عمومی را ارائه می دهند
- کنترلرهای داده باید اقدامات فنی و سازمانی خود را تحت KVKK/GDPR اثبات کنند
آیا اجباری است؟
به طور کلی اجباری نیست؛ استثنائات بخش وجود دارد. محرک اصلی در عمل قراردادی است: خریداران بزرگ سازمانی نیاز به گواهی ISO/IEC 27001 از تامین کنندگان خود دارند. KVKK و GDPR الزامی برای صدور گواهینامه ندارند، اما به اقدامات فنی و سازمانی مناسب نیاز دارند. گواهی به عنوان شاهد این اقدامات استفاده می شود.
دامنه استاندارد
- بندهای 4-10 — الزامات ISMS: زمینه، رهبری، برنامه ریزی، پشتیبانی، عملیات، ارزیابی عملکرد، بهبود
- فرآیند ارزیابی ریسک و درمان ریسک؛ بیانیه کاربرد (SoA)
- پیوست A / موضوع 1 — کنترل های سازمانی (37 کنترل): سیاست ها، نقش ها، مدیریت دارایی، روابط تامین کننده، مدیریت رویداد، تداوم، انطباق
- ضمیمه A / موضوع 2 — کنترل افراد (8 کنترل): غربالگری، شرایط استخدام، آگاهی و آموزش، فرآیند انضباطی، کار از راه دور
- پیوست A / موضوع 3 — کنترل های فیزیکی (14 کنترل): مناطق امن، کنترل ورود، امنیت تجهیزات، میز پاک
- ضمیمه A / موضوع 4 — کنترل های فناورانه (34 کنترل): امنیت نقطه پایانی، دسترسی ممتاز، رمزنگاری، ورود به سیستم، مدیریت آسیب پذیری، امنیت شبکه، توسعه ایمن، جلوگیری از نشت داده ها
فرآیند صدور گواهی
- 1درخواستحوزه فعالیت، تعداد کارمندان، تعداد سایت ها و محدوده محدوده سازمان تعیین می شود. تعداد روزهای حسابرسی از این اطلاعات محاسبه می شود.
- 2بررسی سند (مرحله 1)مستندات سیستم مدیریت، تعریف محدوده، ارزیابی ریسک و سوابق ممیزی داخلی/مدیریت بررسی می شود. آمادگی برای ممیزی در محل ارزیابی می شود.
- 3ممیزی گواهینامه (مرحله 2)در سایت تأیید می شود که سیستم پیاده سازی و مؤثر است. یافته ها به عنوان عدم انطباق یا مشاهده عمده/ جزئی طبقه بندی می شوند.
- 4بستن موارد عدم انطباقسازمان یک تجزیه و تحلیل ریشه ای و برنامه اقدام اصلاحی ارائه می دهد. تا زمانی که عدم انطباق های عمده بسته نشود، گواهی صادر نمی شود.
- 5صدور گواهینامهگواهی پس از بررسی توسط یک تصمیم گیرنده مستقل صادر می شود. تیم حسابرسی نمی تواند تصمیم گیری برای صدور گواهینامه بگیرد.
- 6ممیزی های نظارتیممیزی نظارت حداقل یک بار در سال در طول مدت اعتبار گواهی انجام می شود. اولین نظارت نمی تواند از 12 ماه از آخرین روز مرحله 2 تجاوز کند.
- 7صدور گواهینامه مجدددر پایان سه سال، کل سیستم دوباره ممیزی می شود. باید قبل از انقضای گواهی تکمیل شود.
مدت اعتبار
گواهینامه های سیستم مدیریت به مدت سه سال معتبر است. حداقل یک ممیزی نظارتی در سال در این دوره انجام می شود. در صورت عدم نظارت، گواهی تعلیق می شود. ممیزی صدور گواهینامه مجدد در پایان سال سوم تکمیل می شود.
مدارک لازم
- سوابق ثبت تجارت و پروانه بهره برداری
- نمودار سازمانی و تعداد کارکنان سازمان
- لیست سایت ها/شاخه های موجود در محدوده
- کتابچه راهنمای سیستم مدیریت یا مستندات فرآیند
- سوابق ممیزی داخلی و بازنگری مدیریت
- مجوزهای قانونی، مجوزها و اسناد بهره برداری در صورت وجود
هزینه صدور گواهی
قیمت فهرست ثابتی وجود ندارد؛ هزینه بر اساس متغیرهای زیر محاسبه و به‌صورت مکتوب در پیش‌فاکتور ارائه می‌شود.
- تعداد کارمندان در محدوده (مستقیماً تعداد روزهای حسابرسی را تعیین می کند)
- تعداد سایت ها و شعبه ها؛ آیا نمونه برداری چند سایتی اعمال می شود
- سطح ریسک فعالیت و پیچیدگی فرآیند
- تعداد استانداردهایی که باید تایید شوند — ممیزی یکپارچه تعداد روزها را کاهش می دهد
- چرخه سه ساله: صدور گواهینامه + دو ممیزی نظارتی
اعتباربخشی
صدور گواهینامه سیستم مدیریت در محدوده ISO/IEC 17021-1 انجام می شود. نهاد صدور گواهینامه توسط یک نهاد تأیید صلاحیت طرف قرارداد شناسایی چندجانبه IAF (IAF MLA) معتبر است. این توافق نامه زنجیره ای از به رسمیت شناختن بین المللی را ایجاد می کند که تضمین می کند سند صادر شده در یک کشور در کشورهای دیگر پذیرفته می شود. EUROLAB دارای اعتبار بین المللی شناخته شده از نهادهای اعتباربخشی اعضای IAF در محدوده ISO/IEC 17021-1 است.
دامنه‌ای که این طرح می‌تواند در آن ارائه شود بسته به محصول و فعالیت شما متفاوت است؛ در مرحله پیش‌فاکتور به‌صورت مکتوب تأیید می‌شود.
محدوده و مجوزهاگواهینامههای مرتبط
پرسش‌های متداول
آیا من موظف به اعمال تمام کنترل های 93 هستم؟
شماره. پیوست A مجموعه ای مرجع از کنترل ها است. این که کدام یک از آنها استفاده می شود با نتیجه ارزیابی ریسک تعیین می شود. منطق هر کنترلی که اعمال نمی شود در بیانیه کاربرد نوشته شده است، و این منطق در طول حسابرسی مورد بررسی قرار می گیرد.
آیا گواهی ISO/IEC 27001 به این معنی است که من با KVKK مطابقت دارم؟
نه مستقیم. KVKK یک چارچوب انطباق قانونی است. ISO/IEC 27001 یک سیستم مدیریت امنیتی است. این گواهی شواهد قوی برای انجام اقدامات فنی و سازمانی است، اما جایگزین تعهدات مربوط به حفظ حریم خصوصی، رضایت، و کنترل کننده داده نمی شود. ISO/IEC 27701 توسعه مستقیم تری برای بخش حریم خصوصی است.
آیا باید از نسخه 2013 به 2022 منتقل شوم؟
بله، انتقال اجباری است و گواهینامه های صادر شده بر خلاف نسخه 2013 اعتبار خود را از دست داده اند. از آنجا که ساختار ضمیمه A تغییر کرده است، بیانیه کاربردی باید در طول انتقال مجدد ترسیم شود.