יישום ISO/IEC 27002 – בקרות אבטחת מידע שעובדות באמת
ממסמך מדיניות לבקרות ישימות, מדידות וניתנות להוכחה בשגרה ובביקורת
ארגונים רבים רוצים לחזק את אבטחת המידע בפועל, אבל נתקעים בין דרישות כלליות לבין יישום שלא מחזיק לאורך זמן. ISO/IEC 27002:2022 מספק “ספר בקרות” מעשי שמתרגם עקרונות אבטחה לבקרות ותהליכים ברורים בתחומי הרשאות, תפעול, ספקים, ניטור ותגובה לאירועים.
באינפוגארד אנו מלווים אתכם בבחירת הבקרות הנכונות לפי סיכון וצרכים עסקיים, בהטמעה בשגרה ובהקמת תיק ראיות (Evidence) שמאפשר להציג שליטה בביקורות ובתהליכי Vendor Risk, ובמידת הצורך, לחבר את היישום למסלול הסמכה מסודר ל-ISO/IEC 27001.
מה זה ISO/IEC 27002?
תקן המלצות והנחיות לבקרות אבטחת מידע, כחלק ממערכת ניהול אבטחת מידע (ISMS).
ISO/IEC 27002 הוא תקן בינלאומי שמספק הנחיות ופרקטיקות מומלצות (Best Practices) לבחירה, יישום ושיפור בקרות אבטחת מידע במסגרת ISMS.
הוא משלים את ISO/IEC 27001 שמגדיר את דרישות ה-ISMS, ומתרגם אותן לבקרות ישימות בתחומים כמו:
- Access Control
- Cryptography
- Human Resource Security
- Incident Response
למי ISO 27002 IEC רלוונטי?
לארגונים שרוצים בגרות בבקרות, וגם למי שמקדם מסלול הסמכה.
- ארגונים שמתכננים הסמכת ISO/IEC 27001 ורוצים לקצר זמן ולצמצם פערים
-
ארגונים שמקבלים דרישות אבטחה מלקוחות (Vendor Risk) ורוצים סט בקרות עקבי
-
חברות SaaS, פינטק, בריאות, תעשייה וארגונים עם מידע רגיש
-
ארגונים שמבקשים להקים ISMS או לשדרג אותו לגרסת 2022
האם קיימת הסמכה ל ISO/IEC 27002 – חשוב להבהיר!
ISO/IEC 27002 אינו תקן להסמכה, הוא תקן הנחיות, ההסמכה מתבצעת מול ISO/IEC 27001.
בפועל, לא ניתן לקבל הסמכה רשמית (Certification) לתקן ISO/IEC 27002, מכיוון שהוא תקן המלצות והנחיות ליישום בקרות.
ההסמכה הפורמלית נעשית מול ISO/IEC 27001, כאשר ISO/IEC 27002 משמש מקור מרכזי לבחירת הבקרות והטמעתן.
מה חדש ב ISO/IEC 27002:2022?
מבנה מודרני של בקרות, שמקל על בעלות, אחריות ודיווח.
בגרסת 2022, סט הבקרות עוגד סביב 4 אשכולות מרכזיים (Themes) שמסייעים להקצות אחריות ולבנות תכנית יישום ברורה:
- Organizational
- People
- Physical
- Technological
בנוסף, גרסת 2022 מתייחסת לשינויים בסביבה המודרנית, כולל דגשים כמו Threat Intelligence ו-Cloud Security.
Key Aspects לפי מבנה 2022
ארבעה אשכולות בקרות, כולל המונחים באנגלית, שמכסים את כל שכבות הארגון.
-
בקרות ארגוניות (Organizational Controls)
ממשל, מדיניות, ניהול סיכונים, ניהול ספקים, ניהול נכסים ותהליכים רוחביים. -
בקרות אנשים (People Controls)
היבטי HR, מודעות והדרכות, אחריות תפקידית, והתנהלות משתמשים. -
בקרות פיזיות (Physical Controls)
הגנות סביב מתקנים, חדרי שרתים, ציוד קצה, בקרת כניסה וניטור פיזי. -
בקרות טכנולוגיות (Technological Controls)
הקשחות, ניהול זהויות והרשאות, הצפנה, אבטחת רשת, לוגים וניטור, Secure Coding ועוד.
כיצד ISO 27002 מתחבר ל ISO/IEC 27001?
ISO/IEC 27001 מגדיר מה צריך להיות ב ISMS, ISO/IEC 27002 מסביר איך ליישם בקרות בפועל.
כאשר ארגון שואף להסמכת ISO/IEC 27001, הוא נדרש להראות מערכת ניהול אבטחת מידע, ניהול סיכונים, בחירת בקרות ויישום עקבי.
ISO/IEC 27002 מספק את ספר הבקרות וההנחיות שמאפשר לתרגם את הדרישות לתהליכים, נהלים ובקרות, ולהציג ראיות תפעוליות לביקורת
מה מה יכול לכולל הליווי של Infoguard ליישום ISO/IEC 27002
מסלול מעשי של 7 שלבים פשוטים, שמתחיל במיפוי סיכונים ונגמר בבקרות מתפקדות ותיק תיעוד.
- Scoping והגדרת גבולות: יחידות, מערכות, ענן, ספקים ונכסים קריטיים
- Gap Analysis מול ISO/IEC 27002:2022, כולל תעדוף לפי סיכון והשפעה
- בחירת בקרות ותכנון יישום לפי צרכים עסקיים, מידע רגיש ודרישות לקוח
- כתיבת מדיניות ונהלים והטמעה בתהליכי עבודה (IAM, Change, Incident, Supplier ועוד)
- בנייה של תיק ראיות: תיעוד, רישומים, דוחות, לוגים, פרוטוקולים ומדדים
- ביקורות פנימיות (Internal Audits) ושיפור מתמיד כחלק מהבשלה
- מוכנות ל ISO/IEC 27001 במידה ונדרש, כולל התאמות לדרישות ההסמכה והכנה לביקורת חיצונית
תוצרים אופייניים בפרויקט
מה תקבלו כדי להפעיל, למדוד ולהציג את הבקרות.
- דו״ח פערים ותכנית עבודה מתועדפת
- סט מדיניות ונהלים מותאם לארגון
- מטריצת בקרות: בעלות, תדירות, ראיות ו KPI
- תיק ראיות (Evidence Pack) לפי בקרות ותהליכים
- תכנית מודעות והדרכות לפי קהלי יעד
- דוח ביקורת פנימית והמלצות לשיפור
האם אפשר “לעמוד ב ISO 27002” בלי ISO 27001?
כן, אפשר ליישם בקרות ISO/IEC 27002 כחלק משיפור אבטחה פנימי או דרישות לקוח, גם בלי ללכת להסמכה. ההסמכה הרשמית מתבצעת מול ISO/IEC 27001.
האם היישום עוזר לרגולציות פרטיות ודרישות חוזיות?
ISO/IEC 27002 מסייע לבנות בקרות שמחזקות ניהול סיכונים, הגנות גישה, ניטור ותגובה, והוא יכול לתמוך בהקשרים של דרישות משפטיות ורגולטוריות בהתאם להקשר הארגוני.
רוצים לבנות בקרות ISO 27002 בצורה ישימה, ולהבין אם נכון להתקדם להסמכת ISO 27001?
נשמח לעשות שיחת מיפוי קצרה כדי להבין את סוגי המידע, המערכות והסיכונים המרכזיים, ולאחר מכן נציע לכם מסלול יישום ברור לפי ISO/IEC 27002:2022. תקבלו תכנית עבודה מתועדפת, תוצרים נדרשים ותמונה ברורה האם וכיצד לחבר את התהליך להסמכת ISO/IEC 27001.
