הסמכת ISO 27001 — תקן אבטחת מידע

לקוח ארגוני גדול שולח אליכם שאלון אבטחת מידע לפני חתימה על חוזה, ואחת השורות הראשונות בו היא: "האם הארגון מחזיק בהסמכת ISO 27001?". במכרזים ציבוריים ובעסקאות מול תאגידים ובנקים זו כבר לא שאלה של יוקרה אלא תנאי סף. בלי התעודה אתם מודרים מהמשחק עוד לפני שהספקתם להציג את הפתרון שלכם. הסמכת ISO 27001 היא הדרך המקובלת בעולם להוכיח, באופן שאינו תלוי בהצהרות שלכם בלבד, שאתם מנהלים את אבטחת המידע בצורה מסודרת ואחראית. ב-Certo אנחנו לוקחים אתכם מהנקודה שבה אתם נמצאים היום ועד קבלת התעודה בפועל.

מה זה ISO 27001 ולמה חשוב להיות מוסמך

ISO/IEC 27001 הוא התקן הבינלאומי לניהול אבטחת מידע. הוא אינו מוצר טכנולוגי ואינו רשימת כלים שצריך להתקין, אלא מסגרת לניהול שיטתי של אבטחת המידע בארגון — מה שמכונה ISMS (Information Security Management System), מערכת לניהול אבטחת מידע. הרעיון המרכזי הוא הגנה על שלושת עמודי התווך של המידע: סודיות (שרק מי שמורשה ייחשף למידע), שלמות (שהמידע אינו משתנה או נפגם ללא היתר) וזמינות (שהמידע נגיש כשצריך אותו).

הכוח של התקן הוא בכך שהוא מבוסס-סיכונים. במקום להטיל על כל ארגון את אותן דרישות נוקשות, הוא מחייב אתכם לזהות את הנכסים והאיומים הרלוונטיים דווקא לכם, ולבחור בקרות מתאימות. תעודה בתוקף מהווה אות אמון חיצוני ואובייקטיבי: היא מסמנת ללקוחות, לשותפים ולרגולטורים שאבטחת המידע אצלכם מנוהלת ברמה בינלאומית מוכרת, ולא נשענת על מזל או על אדם בודד בארגון.

הדרישות והמרכיבים המרכזיים

• הגדרת היקף (Scope) והקשר הארגון: קביעה מדויקת אילו יחידות, מערכות ותהליכים נכללים במערכת ניהול אבטחת המידע, ומיהם הצדדים המעוניינים ודרישותיהם.
• מנהיגות ומדיניות: מחויבות ההנהלה הבכירה, קביעת מדיניות אבטחת מידע ברורה, והקצאת אחריות ותפקידים לאורך הארגון.
• הערכת סיכונים וטיפול בהם: ליבת התקן — זיהוי נכסי מידע, ניתוח האיומים והחשיפות, דירוג הסיכונים ובחירת דרך טיפול לכל אחד מהם.
• בקרות Annex A: מבחר בקרות אבטחה בתחומים ארגוניים, אנושיים, פיזיים וטכנולוגיים — בקרת גישה, ניהול ספקים, הצפנה, גיבוי, ניהול אירועים ועוד — הנבחרות לפי הסיכונים שזוהו ומתועדות במסמך ההצהרה על התאימות (SoA).
• נהלים ותיעוד: כתיבת נהלים, מדיניות ורשומות המשקפים את אופן העבודה בפועל ומהווים בסיס להוכחה במבדק.
• מודעות והדרכה: הטמעת תרבות אבטחת מידע בקרב העובדים, שהם לרוב החוליה החלשה או החזקה ביותר.
• ניטור, מדידה ושיפור מתמיד: מבדקים פנימיים, סקירת הנהלה וטיפול באי-התאמות, כדי שהמערכת תמשיך להיות רלוונטית ותשתפר לאורך זמן.

למי זה רלוונטי ומתי זה הופך להכרחי

ISO 27001 רלוונטי לכל ארגון שמנהל מידע רגיש — ולא רק לחברות הייטק. חברות SaaS ותוכנה, ספקי שירותים מנוהלים, מרכזי מתמחים בעיבוד נתונים, חברות פיננסים וביטוח, מוסדות בריאות וגופים ציבוריים כולם מועמדים טבעיים. הצורך הופך להכרחי בכמה מצבים אופייניים: כאשר לקוח ארגוני (Enterprise) מתנה את ההתקשרות בהסמכה; כאשר אתם ניגשים למכרז ממשלתי או תאגידי שדורש אותה כתנאי סף; כאשר אתם מייצאים שירותים לחו"ל ומולכם עומדות דרישות רגולציה מחמירות; וכאשר עברתם אירוע סייבר או דליפת מידע ואתם צריכים לשקם אמון ולהוכיח בגרות. במקרים רבים התקן גם משתלב היטב עם עמידה בדרישות פרטיות כמו GDPR ותקנות הגנת הפרטיות בישראל.

תהליך ההסמכה עם Certo

אנחנו ב-Certo בנינו תהליך מלווה שמפרק את המשימה הגדולה לשלבים ברורים, כדי שלא תישארו לבד מול תקן מורכב:

• מיפוי ואבחון פערים (Gap Analysis): אנו בוחנים את מצב אבטחת המידע הקיים אצלכם מול דרישות התקן, ומייצרים תמונת פערים ותוכנית עבודה מותאמת.
• הערכת סיכונים ובניית נהלים ותיעוד: אנו מובילים תהליך הערכת סיכונים מסודר, בונים את מסמך ה-SoA וכותבים יחד אתכם את המדיניות והנהלים הנדרשים.
• הדרכה והטמעה: אנו מטמיעים את הבקרות בשטח, מדריכים את הצוותים ומוודאים שהעבודה בפועל תואמת את מה שכתוב.
• מבדק פנימי וסקירת הנהלה: אנו מבצעים מבדק פנימי לאיתור אי-התאמות ומתקנים אותן מבעוד מועד, כדי להגיע למבדק החיצוני מוכנים.
• מבדק הסמכה וקבלת התעודה: אנו מלווים אתכם דרך מבדק ההסמכה מול גוף ההסמכה (בשני שלביו) עד קבלת תעודת ISO 27001 בתוקף.

מה הארגון מרוויח

מעבר לתעודה עצמה, התהליך משאיר אחריו ערך אמיתי. אתם פותחים דלתות עסקיות שהיו סגורות — עמידה בתנאי סף במכרזים ובעסקאות עם לקוחות גדולים, וקיצור מחזורי מכירה שבהם שאלוני האבטחה הפכו לחסם. אתם מפחיתים סיכון ממשי: זיהוי מוקדם של חשיפות ומניעת אירועי סייבר יקרים. אתם משפרים סדר פנימי, אחריות ברורה ותהליכים שאינם תלויים באדם אחד. ולא פחות חשוב — אתם בונים אמון ומוניטין, ומייצרים בידול מול מתחרים שאין להם הסמכה מקבילה.