ISMS: sustav upravljanja informacijskom sigurnošću

ISMS, od engleskog Information Security Management System, sustav je upravljanja informacijskom sigurnošću. To je okvir politika, procesa i odgovornosti koji sigurnost pretvara iz nasumičnog niza alata u upravljiv, ponovljiv sustav. ISMS je srce norme ISO 27001: certifikat se zapravo dodjeljuje za ispravno postavljen i održavan ISMS, ne za pojedinačne alate. Ovaj tekst objašnjava što ISMS jest, na čemu počiva i kako se gradi.

Ovo je dio našeg pregleda sigurnosnog programa. Uspostavu ISMS-a vodimo kroz upravljanje, rizik i usklađenost.

Što ISMS rješava

Mnoge tvrtke imaju sigurnosne alate, ali nemaju sustav. Kupe vatrozid, antivirus i sigurnosne kopije, ali nitko ne zna postoji li politika, tko je odgovoran i pokriva li to stvarne rizike. ISMS rješava upravo taj nered: daje strukturu u kojoj se zna što se štiti, zašto, tko je odgovoran i kako se provjerava da kontrole djeluju.

Na čemu ISMS počiva

ISMS nije zbirka dokumenata radi revizije, nego sustav s nekoliko temeljnih elemenata.¹

• Opseg, dakle jasna granica što ISMS pokriva u tvrtki.
• Procjenu rizika kao temelj svih odluka o kontrolama.
• Politike i procese koji propisuju kako se sigurnost provodi.
• Jasne uloge i odgovornosti, uključujući podršku uprave.
• Mjerenje i interni audit koji provjeravaju djeluje li sustav.
• Stalno poboljšanje na temelju nalaza i promjena.

Ciklus stalnog poboljšanja

ISMS se temelji na ciklusu planiraj-provedi-provjeri-poboljšaj. To znači da sigurnost nije projekt s krajem, nego proces koji se ponavlja: planiraju se kontrole, provode, provjerava se djeluju li i na temelju toga poboljšava. Upravo zato certifikat nije trajan: održava se redovitim provjerama.

1. 01
   Planiraj

   Odredi opseg, procijeni rizike i odaberi kontrole koje ih smanjuju.
2. 02
   Provedi

   Uvedi politike, procese i kontrole te dodijeli odgovornosti.
3. 03
   Provjeri

   Mjeri učinkovitost i provedi interni audit.
4. 04
   Poboljšaj

   Ukloni nedostatke i prilagodi sustav promjenama.

ISMS i ISO 27001

ISO 27001 je norma koja propisuje zahtjeve za ISMS. Drugim riječima, ISMS je sadržaj, a ISO 27001 je standard prema kojem se taj sadržaj ocjenjuje. Tvrtka može imati ISMS bez certifikata, ali ne može dobiti certifikat bez ISMS-a. Detaljan put do certifikata opisujemo u vodiču za ISO 27001.

Kako Raptoric pomaže

Pomažemo uspostaviti ISMS koji stvarno smanjuje rizik i izdrži reviziju, utemeljen na procjeni rizika i prilagođen vašoj tvrtki, kroz upravljanje, rizik i usklađenost. Dogovorite uvodni razgovor.