Подготовка системы информационной безопасности компании к сертификации по стандарту BS ISO/IEC 27001

Подготовка системы информационной безопасности компании к сертификации по стандарту BS ISO/IEC 27001

Проект предназначен для построения полноценно функционирующей Системы управления информационной безопасностью с наиболее полной реализацией процессного подхода, управления рисками, подготовки, осведомленности и вовлеченности персонала организаци.

В программу включены все мероприятия для обеспечения полной готовности организации к прохождению сертификационного аудита СУИБ на соответствие требованиям международного стандарта ISO/IEC 27001:2005* и возможности поддержки и развития (улучшения) системы в дальнейшем.

*Кроме услуг по стандартам серии ISO 27000, ГК ЮСК предлагает обучающие программы и услуги по подготовке по стандартам ISO 9001, ISO 20000 и другим.

На всем протяжении подготовки к сертификации все работы проходят четыре стадии (цикл PDCA – основополагающий для всех стандартов ISO) :

Планирование: анализ текущей ситуации, определение решений для её совершенствования.
Реализация: тестирование решений в малых масштабах для того, чтобы не прерывать критические процессы.
Проверка: проверка, насколько решения дали ожидаемый результат.
Действие: реализация решений в более широком масштабе.

Эти же этапы находят свое отражение и в общей схеме внедрения, мониторинга и аудите СУИБ на основе ISO 27001.

Преимущества от реализации проекта

· Действующая СУИБ, соответствующая требованиям международного стандарта ISO/IEC 27001:2005 и законодательства России.

· Разработанная нормативная документация

· Автоматизированная система поддержки документации СУИБ в актуальном состоянии

· Обученные сотрудники

Решаемые задачи

Внутренние задачи:

o Уменьшение издержек организации за счет своевременного выявления и предупреждения основных угроз безопасности (как внешних так и внутренних) для бизнес-процессов, выработки рекомендаций по повышению текущего уровня защищенности для защиты от обнаруженных угроз и недостатков в системе безопасности и управления.

o Разработанный комплексный план внесения изменений в систему управления информационной безопасностью как для повышения реального уровня защищенности, так и для непосредственного соответствия стандарту

o Повышение ответственности и дисциплинированности персонала, за счет распределения ответственности между сотрудниками, системы регулярного осведомления персонала о внутренних законах ИБ, документально оформленных процедур, которые помогают новым сотрудникам быстрее адаптироваться в рабочей среде организации, снижают риски угроз от действий «новичков»

Внешние задачи:

o Декларирование перед внешним рынком (поставщиками, покупателями, партнерами) наличия действующей сертифицированной системы управления информационной безопасностью

o Организованная в соответствие с законодательством РФ (а так же международными принципами) система защиты персональных данных

o Повышение доверия со стороны кредитных организаций, а так же лояльности со стороны органов государственного управления

o Получение преимущества при участии в конкурсах, тендерах, заключении международных контрактов

Необходимые условия

Со стороны компании:

Осознанное желание руководства внедрить и поддерживать в дальнейшем СУИБ компании, для того чтобы все сотрудники понимали что: во-первых, вся деятельность по обеспечению ИБ инициирована руководством и обязательна для выполнения, во-вторых, руководство компании лично контролирует функционирование системы управления ИБ, в-третьих, само руководство выполняет те же правила по обеспечению ИБ, что и все сотрудники компании.
Готовность выделения сотрудников в состав проектной группы со стороны заказчика
Подготовка и предоставление необходимой информации о деятельности в соответствие с планом проекта
Оперативное согласование планов и графиков работ

Основные этапы проекта:

1. Разработка системы управления информационной безопасностью (и всех необходимых процедур);

1.1. Аудит имеющейся системы информационной безопасности;

1.2. Определение области сертификации;

1.3. Проведение информационно-консультационных семинаров для высшего руководства организации, руководителей структурных подразделений и членов рабочей группы по основным требованиям стандарта ISO 27001:2005, принципам реализации процессного подхода, порядку разработки и внедрения СМК и проведения внутренних проверок;

1.4. Инвентаризация и категорирование активов компании.Данный этап выполняет команда проекта со стороны заказчика с методической и консультативной помощью специалистов ГК ЮСК.

1.5. Анализ информационной системы в части персональных данных – проведение работ по анализу текущей ситуации – определение категорий для всех типов ПД и возможностей по переводу в категории, требующие (с точки зрения законодательства) наименее простых способов защиты.

1.6. Анализ рисков*:

1.6.1. Оценка защищенности информационной системы;

1.6.2. Оценка информационных рисков, расчет рисков;

1.6.3. Обработка информационных рисков

*По результатам этапа составляется отчет, описывающий способы обработки выявленных рисков, с учетом соотношения возможного ущерба от реализации риска и стоимости мер по его обработке. Кроме этого, составляется план снижения рисков, в котором описываются конкретные меры по снижению рисков, сотрудники, ответственные за выполнение каждого положения плана, сроки выполнения плана.

1.7. Разработка пакета документации и (по желанию заказчика) автоматизация документооборота СУИБ.

2. Внедрение системы управления информационной безопасностью, проведение аудита СУИБ специалистами ГК ЮСК совместно с обученными внутренними аудиторами со стороны компании-заказчика.

3. Выбор органа по сертификации

4. Сопровождение сертификационного аудита.

Сроки и стоимость:

Сроки проведения проекта и стоимость предоставляемых услуг определяются в каждом конкретном случае индивидуально и зависят от размера организации, наличия филиалов, текущего состояния системы информационной безопасности, типов обрабатываемой информации и ряда других параметров.

Дополнительные возможности, связанные услуги:

В рамках проекта или отдельно ГК Южная Софтверная Компания предлагает обучение по курсу "Разработка и внедрение систем менеджмента информационной безопасности, основанных на требованиях международного стандарта ИСО 27001:2005"

А также другие курсы по защите информации.

Ключевые преимущества работы с компанией

Большой опыт проведения различных проектов, наличие широкого набора компетенций, сертифицированных специалистов. Для решения сложных задач привлекаются партнеры компании и эксперты в различных отраслях экономики.

Опыт сотрудничества с органами по сертификации.

Возможность проведения комплексного проекта, направленного в первую очередь на получение реальной выгоды для бизнеса организации.

Применение индивидуального подхода к каждому заказчику.

Компания сертифицирована поМС ИСО 9001:2008, в своей деятельности активно использует высокие технологии, которые готова предложить по желанию заказчика для автоматизации управления и поддержки функционирования СУИБ и системы управления в целом.

Клиентами компании являются: