ISO 27001 və NIS-2: şirkətlər informasiya təhlükəsizliyini auditə davamlı necə qurur

Giriş: kibertəhlükəsizlik rəhbərliyin işinə çevrilib

Ransomware hücumları, pozulmuş təchizat zəncirləri və gündəlik fişinq dalğaları: rəqəmsal məkanda təhdid səviyyəsi tarixi zirvəyə çatıb. Eyni zamanda qanunverici tələbləri sərtləşdirir. Avropa NIS-2 direktivi ilə kibertəhlükəsizlik öhdəlikləri kəskin şəkildə genişləndirilib və indi özünü indiyədək “kritik infrastruktur” saymayan on minlərlə şirkətə şamil olunur.

Xüsusilə kəskin məqam budur: öhdəliklərin pozulması halında baş direktorlar gələcəkdə qismən şəxsi əmlakları ilə şəxsən məsuliyyət daşıyacaqlar.

Bu fonda beynəlxalq ISO/IEC 27001 standartı bir çox təşkilat üçün sadəcə İT status simvolundan varlığın sığortasına çevrilib. Bəs ISO 27001 və NIS-2 bir-birinə necə bağlanır? Və yalnız kağız üzərində mövcud olmayan, həm auditə, həm də reallığa tab gətirən informasiya təhlükəsizliyi idarəetmə sistemini (ISMS) necə qurmaq olar?

ISO/IEC 27001 nəyi tənzimləyir?

ISO/IEC 27001 informasiya təhlükəsizliyi idarəetmə sistemləri üzrə dünyanın aparıcı standartıdır. Standartın məqsədi informasiya təhlükəsizliyinin üç əsas dəyərini (sözügedən CIA triadası) qorumaqdır:

• Confidentiality (məxfilik): Həssas məlumatlara yalnız səlahiyyətli şəxslər daxil olur.
• Integrity (bütövlük): Məlumatlar düzgün, tamdır və icazəsiz dəyişdirilmədən qorunur.
• Availability (əlçatanlıq): Sistemlər və informasiya lazım olan anda əlçatandır.

Həlledici məqam budur: ISO 27001 sırf İT standartı deyil. O, informasiya təhlükəsizliyinə bütöv yanaşır. Buraya fiziki təhlükəsizlik (girişə nəzarət), təşkilati proseslər (fövqəladə hallar üzrə təlimatlar, əməkdaşların işdən çıxarılması) və kadr tədbirləri (maarifləndirmə təlimləri, təhlükəsizlik qaydaları) daxildir.

ISO 27001 və NIS-2 birbaşa müqayisədə

Bir çox şirkət bu sualı verir: “ISO 27001 üzrə sertifikatlaşdırılmışıqsa, NIS-2-ni də avtomatik yerinə yetirmişikmi?”

Dürüst cavab belədir: 80–90 faiz həddində bəli.

NIS-2 direktivi bu sahələrdə məcburi minimum tələblər müəyyən edir:

• İnformasiya sistemləri üçün risk təhlili və təhlükəsizlik
• Təhlükəsizlik insidentlərinin idarə edilməsi (Incident Handling), o cümlədən sərt bildiriş müddətləri (məsələn, 24 saatlıq erkən xəbərdarlıq)
• Fəaliyyətin davam etdirilməsi (Business Continuity və ehtiyat nüsxələrin idarə edilməsi)
• Təchizat zəncirində təhlükəsizlik (Supply Chain Security)
• Şifrələmə və girişə nəzarət

Məhz bu sahələr ISO/IEC 27001-in Annex A-sı ilə (cari redaksiyada 4 mövzu sahəsində 93 nəzarət tədbiri) strukturlaşdırılmış şəkildə əhatə olunur. ISO 27001 üzrə yaşayan ISMS təqdim edən hər kəs NIS-2 üçün texniki və təşkilati tədbirləri artıq sənədləşdirib, əməliyyata çevirib və auditdən keçirib. Yalnız milli orqanlara xüsusi qanuni bildiriş yolları əməliyyat baxımından əlavə edilməlidir.

Effektiv ISMS-in 5 addımda qurulması

Uğurlu ISMS bir gecədə yaranmır, lakin aydın fokusla səmərəli şəkildə tətbiq oluna bilər:

1. Əhatə dairəsini (Scope) müəyyən etmək

ISMS-in hansı şirkət sahələrini, məkanları, məhsul və ya xidmətləri əhatə edəcəyini dəqiq müəyyən edin. Bir çox İT xidmət təminatçısı üçün bu, əvvəlcə bulud infrastrukturunu və əsas tətbiqləri əhatə edir.

2. Risklərin qiymətləndirilməsi və risklərin idarə edilməsi

Ən vacib dəyərlərinizi (Information Assets) müəyyən edin: müştəri məlumatları, mənbə kodu, istehsal planları. Hansı təhdidlər və zəifliklər mövcuddur? Hansı risklər texniki tədbirlərlə (məsələn, çoxfaktorlu autentifikasiya, seqmentləşdirmə) azaldılır, hansılar qəbul edilir və ya sığortalanır?

3. Tətbiq olunma bəyanatı (Statement of Applicability – SoA)

SoA-da 93 Annex A nəzarət tədbirindən hansılarının şirkətiniz üçün uyğun olduğunu və onların necə tətbiq edildiyini sənədləşdirirsiniz. Nəzarət tədbirləri istisna edilirsə, bu, inandırıcı şəkildə əsaslandırılmalıdır.

4. Siyasətlər və əməkdaş maarifləndirməsi

Təhlükəsizlik ən çox insan amilində uğursuz olur. Anlaşılan siyasətlər (təmiz masa, parol qaydaları, mobil cihazlarla davranış) müəyyən edin və müntəzəm təlimlər, həmçinin simulyasiya edilmiş fişinq testləri keçirin.

5. Daxili audit və idarəetmənin təhlili

Xarici auditor gəlməzdən əvvəl daxili auditorlar sistemi hərtərəfli yoxlayır. Rəhbərlik göstəriciləri qiymətləndirir və düzəlişlər üçün resurs ayırır.

Müştərilər və tərəfdaşlar qarşısında sertifikatlaşdırmanın üstünlükləri

Qanuni öhdəliklərdən kənarda ISO 27001-in böyük kommersiya təsiri var:

• Satış dövrlərinin sürətlənməsi: Korporativ müştərilər müqavilədən əvvəl səhifələrlə təhlükəsizlik anketləri tələb edir. Tanınmış ISO 27001 sertifikatı ilə bu yük adətən tamamilə aradan qalxır.
• Tenderlərdə rəqabət üstünlüyü: Dövlət sifarişçiləri və tənzimlənən sahələr (banklar, sığorta, avtomobil sənayesi) sertifikatsız təchizatçıları çox vaxt təqdimata belə buraxmır.
• Kiber dayanıqlığın güclənməsi: Strukturlaşdırılmış proses təhlükəsizlik boşluqlarının hücumçular onlardan istifadə etməzdən əvvəl bağlanmasını təmin edir.

Nəticə

ISO 27001 bu gün rəqəmsal dəyər yaradan hər bir şirkət üçün təməldir. O, qeyri-müəyyən təhlükəsizlik qorxularını ölçülə bilən proseslərə çevirir və rəhbərliyi məsuliyyət risklərindən qoruyur.

ISO 27001 sertifikatlaşdırmanızı planlaşdırırsınız?
cert-authority.com ünvanında sizi təcrübəli sahə auditorları ilə şəffaf və tərəfdaşlıq ruhunda audit prosesindən keçiririk. Qiymətlər və paketlərimiz haqqında ümumi təsəvvür əldə edin.