Implementace a certifikace ISO/IEC 27001

Službu v České republice dodává a smlouvu s vámi uzavírá člen skupiny IOSEC se sídlem v České republice. Metodika, šablony i výstupy jsou v celé skupině jednotné.

Certifikát, nebo doložený systém?

To je první otázka a rozhoduje o rozsahu celého projektu. Rozdíl mezi nimi jsou měsíce práce a podstatná část rozpočtu — a stojí za to vědět to dřív, než začnete.

• Certifikát má smysl, pokud jej po vás někdo výslovně žádá do smlouvy nebo do výběrového řízení, nebo pokud jej potřebujete opakovaně dokládat více odběratelům.
• Doložený systém stačí, pokud odběratel chce vidět, že bezpečnost řídíte, a uzná vlastní prohlášení s dokumentací a výsledky interního auditu. Překvapivě často stačí to druhé.

Zeptejte se, co odběratel skutečně potřebuje. Zbytečně široký rozsah projekt nezlevní ani nezrychlí.

Jeden systém, několik povinností

Systém řízení bezpečnosti informací postavený podle normy se dá použít opakovaně. Řízení rizik, řízení aktiv, přístupová oprávnění a řízení dodavatelů jsou společné.

• TISAX. Katalog VDA ISA z velké části vychází ze stejné struktury; doplňuje ochranu prototypů a vyšší nároky na fyzickou bezpečnost.
• GDPR. Technická a organizační opatření podle článku 32 se dokládají právě těmito procesy.
• DORA. Řízení rizik IKT a řízení dodavatelů jsou tytéž procesy v jiném rámci.

Od rozhodnutí po certifikát

1. Rozsah a kontext. Které procesy, lokality a systémy. Příliš široký rozsah prodraží projekt i každou recertifikaci — a nikdo vás k němu nenutí.
2. GAP analýza. Porovnání současného stavu s normou a s přílohou A. Výstupem je seznam odchylek s prioritami a harmonogramem.
3. Řízení rizik. Jádro celé normy. Děláme je tak, aby se dalo použít i pro GDPR, TISAX nebo DORA — včetně prohlášení o aplikovatelnosti.
4. Implementace. Dokumentace, procesy, opatření a školení. Nejdelší fáze — opatření musí před auditem nějakou dobu reálně běžet.
5. Interní audit a přezkoumání. Povinné před certifikací. Zároveň poslední příležitost najít nedostatky dřív, než je najde certifikační orgán.
6. Certifikační audit. Provádí akreditovaný certifikační orgán. Jsme při něm a pomáháme s případnými neshodami.

Implementujeme a připravujeme. Necertifikujeme.

Co děláme my. Rozsah, GAP analýza, řízení rizik, dokumentace, implementace opatření, interní audit, školení a provázení certifikačním auditem včetně řešení neshod.

Co dělá certifikační orgán. Certifikační audit a vydání certifikátu. Vybíráte a platíte jej samostatně. Pomůžeme s výběrem a s přípravou podkladů do nabídky, ale smlouva je vaše — právě proto, aby zůstala zachována nezávislost posouzení.

Norma je jen rámec. Rozhoduje, jestli systém přežije první rok.

Systém, který se postaví kvůli auditu a pak se přestane používat, se při prvním dozorovém auditu pozná. Opatření musí běžet, záznamy vznikat a přezkoumání se opakovat — jinak se před recertifikací opakuje celá práce.

Co určuje cenu

Rozsah, ne velikost firmy. Pracnost zvyšuje zejména další lokalita, další informační systém v rozsahu a stav dokumentace, se kterým se začíná. Rozsah i cenu dohodne člen skupiny při vstupním posouzení a uvede je v nabídce předem.