תקינה והסמכות · אבטחה ופרטיות
אבטחת מידע - ממערכת ניהול ועד המסגרות שהלקוחות שלכם דורשים
שתי סיבות שונות מביאות ארגונים לקבל הסמכה באבטחת מידע: רגולציה, או לקוח ששלח שאלון ודורש תשובה. שתיהן לגיטימיות, והן מובילות לעבודה שונה.
אני בונה את מערכת הניהול שמשרתת את שתיהן - כך שהתשובה לשאלון הבא לא תדרוש פרויקט חדש.
ISO 27001 - התקן המרכזי
התקן אינו רשימת בקרות טכניות אלא מערכת ניהול: הקשר הארגון, הערכת סיכונים, בחירת בקרות מנומקת, הטמעה, מדידה ושיפור.
החלק שנופל הכי הרבה הוא הצהרת הישימות - המסמך שמסביר למה כל בקרה נבחרה או נדחתה. ארגון שממלא אותו כטבלה טכנית מגלה במבדק שהוא לא יכול להסביר את ההיגיון מאחורי הבחירות.
הערכת הסיכונים שעומדת בבסיס הבחירה נבנית לפי ISO 27005, ומתחברת למודל הסיכונים הארגוני הכולל ולא יושבת בצד כמסמך נפרד.
משפחת התקנים הנלווית
| תקן / מסגרת | למי הוא רלוונטי |
|---|---|
| ISO 27002 | קטלוג הבקרות עצמן - ההסבר המפורט מאחורי הרשימה שב-27001 |
| ISO 27017 | ארגונים שצורכים או מספקים שירותי ענן - בקרות ייעודיות לענן |
| ISO 27018 | מעבדי מידע אישי בענן - הגנה על מידע מזהה |
| ISO 27032 | היבטי אבטחת סייבר שחורגים מגבולות הארגון |
| ISO 27701 | הרחבת דרישות לניהול מערכת הפרטיות - מחבר בין אבטחה לתיקון 13 |
| ISO 27799 | אבטחת מידע בריאות - בקרות ייעודיות לארגונים שמחזיקים מידע רפואי |
| ISO 27035 | ניהול אירועי אבטחת מידע - התשתית שמאחורי ה-Playbook |
| NIST CSF 2.0 | מסגרת הניהול האמריקאית. נפוצה מאוד בשאלוני לקוחות - מיושמת כמסגרת עבודה ולא כתקן שמסמיכים אליו |
| NIST SP 800-53 | קטלוג הבקרות המפורט שמאחורי המסגרת, שימושי במיוחד מול ספקים וקבלני משנה |
SOC 2 ו-C5 - מה הן באמת
שתי מסגרות שחשוב להבין נכון: הן אינן תקני הסמכה אלא מסגרות אטסטציה.
SOC 2 הוא דוח שרואה חשבון מבצע לפי קריטריונים מוגדרים, ו-C5 הוא קטלוג בקרות ענן גרמני שנבדק באותו אופן. התוצאה אינה תעודת הסמכה לתקן אלא דוח שמאשר שהארגון עובד לפי הבקרות - וזה בדיוק מה שהלקוח שביקש אותן מצפה לראות.
מה שכן אפשר, וזה מה שאני עושה: לסגור את הפערים מול הקריטריונים, לבנות את התיעוד והראיות שהבודק ידרוש, ולהביא את הארגון למצב שבו הבדיקה עוברת חלק. ההיערכות הזו חופפת ברובה למערכת ניהול לפי ISO 27001 - ולכן ארגון שכבר מוסמך נמצא בחלק גדול מהדרך.
רגולציה אירופית שנכנסת לתמונה
שתי מסגרות אירופיות שמתחילות להגיע לארגונים ישראליים דרך שרשרת האספקה:
- NIS2 - מרחיבה חובות אבטחה לסקטורים חיוניים ולספקים שלהם. ארגון ישראלי שמספק לגוף מפוקח באירופה יתבקש להוכיח עמידה, גם אם הוא עצמו אינו מפוקח.
- Cyber Resilience Act - דרישות אבטחה למוצרים עם רכיב דיגיטלי. רלוונטי לכל יצרן שמוכר לשוק האירופי, כולל מוצרים שאיש לא חשב עליהם כעל מוצרי סייבר.
בשני המקרים הדרישה מגיעה בדרך כלל לא מהרגולטור אלא מהלקוח - וזה משנה את לוח הזמנים. כשלקוח דורש, אין תקופת היערכות.
מה כולל הליווי
- סקר פערים מול התקן או המסגרת הרלוונטית
- הערכת סיכוני אבטחת מידע וניהול נכסי המידע והמחשוב
- בניית מערכת הניהול: מדיניות, נהלים, הצהרת ישימות ותיעוד
- הטמעת שיטה לניהול אירועי אבטחת מידע, כולל Playbook מבוסס סיכונים ורגולציה
- הדרכות מודעות אבטחת מידע לעובדים, מותאמות לתפקידים
- מבדק פנימי והכנה למבדק ההסמכה או לבדיקת האטסטציה
- ליווי מול ספקים ומענה לשאלוני אבטחה של לקוחות
שאלות נפוצות
מה ההבדל בין ISO 27001 ל-SOC 2?
ISO 27001 הוא תקן שמסמיכים אליו ויש לו תעודה. SOC 2 הוא דוח של רואה חשבון על בקרות בתקופה נתונה. לקוחות אמריקאיים נוטים לבקש SOC 2; לקוחות אירופיים ומכרזים בישראל נוטים לבקש ISO 27001.
יש לנו ISO 27001 - זה מספיק לתיקון 13?
לא. יש חפיפה משמעותית אבל לא זהות. תיקון 13 מוסיף חובות שאינן בתקן, בראשן מינוי ממונה הגנת פרטיות וזכויות נושאי מידע.
כמה זמן לוקחת הסמכה ל-ISO 27001?
בארגון בינוני, בדרך כלל שישה עד שנים-עשר חודשים, תלוי בעיקר בנקודת הפתיחה ובכמה בקרות כבר קיימות בפועל.
אנחנו קטנים. התקן לא כבד מדי עבורנו?
היקף המערכת נקבע לפי הארגון. תקן שמוטמע נכון בארגון קטן הוא קצר ומעשי, ולא העתק של מערכת ארגונית גדולה.
שלחו את השאלון
אם הגעתם לכאן בגלל שאלון של לקוח - שלחו אותו אליי. אפשר להבין ממנו תוך זמן קצר מה באמת נדרש, ומה אפשר לענות כבר היום.