NIS2 után ISO 27001: újabb audit vagy versenyelőny?

Sikeres NIS2-audit után egy vevő azért kérhet ISO 27001-tanúsítványt a vállalattól, mert szeretne meggyőződni róla, hogy a saját beszállítói követelményeit is teljesíti. Egy nemzetközi vállalat több országban is ugyanazt az igazolást kérheti partnereitől, mivel az ISO 27001 közös, ismert viszonyítási alap: azt mutatja, hogy a tanúsításban meghatározott területen független szervezet ellenőrizte az információbiztonsági irányítás megfelelőségét. Ha a tanúsítvány egy beszállítói előminősítés feltétele, akkor hiánya miatt egy egyébként jó ajánlat el sem jut az érdemi versenyig. Megszerzése önmagában persze nem hoz megrendelést a vállalatnak, megléte azonban konkrét üzleti akadályt háríthat el.

A hazai szabályozás a kötelező védelmi intézkedések terén az ISO 27001 általános követelményeinél részletesebb, kötöttebb elvárásokat fogalmaz meg többek között a hozzáférésekre, a naplózásra vagy az incidenskezelésre nézve – mondta Kayser Péter. Egy ISO-tanúsítvány önmagában nem ezek teljesítését igazolja, hanem teljesítésükhöz ad bevált irányítási keretet. Az információbiztonsági irányítási rendszer, röviden IBIR működését fogja össze, a minőségirányításból is ismert szemlélettel: legyen cél, felelős, ellenőrzés, és a tapasztalatok alapján javuljon a működés.

Hozzáértő tervezéssel csökkenthetők az auditokkal járó ismétlések

Jó esetben a vállalat a NIS2 miatt már elvégzett munka jelentős részére építhet, az eszköznyilvántartás, a kockázatértékelés, a hozzáférések felülvizsgálata vagy a biztonsági oktatások dokumentációja az ISO-tanúsításnál is hasznos lehet. Ráadásul az audit után még frissek a tapasztalatok, a munkatársak tudják, hol vannak a bizonyítékok, és mely folyamatokon kellett változtatni.

A meglévő működést ezt követően össze kell vetni az ISO követelményeivel, és meghatározni, mely tevékenységekre terjedjen ki a tanúsítás. Érdemes ezt a vevői igényhez igazítani, például annak a szolgáltatásnak is benne kell lennie, amelyet az ügyfél meg akar vásárolni. Mindez megmutatja, mit kell még kiegészíteni, szükség lehet például arra, hogy a vállalat kialakítsa a biztonsági célok mérését, a belső audit vagy a vezetőségi átvizsgálás rendjét.

Egy helyreállítási próba eredménye a vezetőségi átvizsgálásnak is fontos bemenete lehet – mondta Kayser Péter. Hozzátette: tegyük fel, hogy a vállalat kipróbálja, hogyan tudná helyreállítani a rendelési rendszerét egy incidens után. A teszt nyolc órát mutat, miközben az üzleti igények alapján négyórás helyreállítási célt határoztak meg. Ilyenkor fel kell tárni az eltérés okát, és meg kell határozni a szükséges változtatásokat. A vezetésnek gondoskodnia kell arról, hogy a javításhoz rendelkezésre álljanak az erőforrások. Az ISO 27001 szerinti működésben a feladatnak felelőse és határideje lesz, az újabb próba pedig megmutatja, sikerült-e elérni a célt. A vezető így képet kap arról, hol tart a felkészültség, és mire érdemes költeni. A próba megfelelően dokumentált eredménye több auditban is felhasználható lehet, ha az adott vizsgálatok követelményeihez és hatóköréhez is illeszkedik.

Ahol ezt a vizsgálatok szabályai lehetővé teszik, közös adatbekéréssel, interjúkkal és bizonyítékokkal dolgozik. Az egyes követelményrendszerek szerinti értékelést természetesen el kell végezni, de az integrált megközelítés jelentősen könnyítheti az auditált szervezet munkáját.

Törvényi megfelelésén felül a vállalat üzleti előnyt nyerhet

Különösen megéri a vállalatnak az ISO-tanúsítás, ha erősíteni szeretné üzleti kapcsolatait, vagy új ügyfeleket kíván megszólítani. Napjainkban egyre nagyobb figyelem irányul a beszállítói lánc megbízhatóságára. A partnereiket minősítő cégek az ár, illetve a szakmai teljesítmény mellett az adatbiztonságot és a működés megbízhatóságát is vizsgálják.

Az ISO 27001-tanúsítvány kézzelfogható módon jelzi a megbízhatóságot, igazolja, hogy a vállalat információbiztonsági működése nemzetközi szabványra épül, és megfelelőségét független szervezet ellenőrizte, ami komolyan növelheti minden cég szakmai hitelét – emelte ki Kayser Péter.

A NIS2-felkészülés után ezért különösen érdemes felmérni, mekkora további ráfordítással szerezhető meg és tartható fenn az ISO 27001-tanúsítvány. A kialakított működés és az összegyűjtött bizonyítékok jó alapot adhatnak hozzá, a VantaSec-nél pedig integráltan is végezhető a két audit. Így a már elvégzett munka nemzetközileg ismert igazolással egészülhet ki, amely egy partneri minősítésnél vagy a következő üzleti tárgyaláson is előnyt jelenthet.