Nordsec: od pritiska klijenata do spremnosti za ISO 27001 audit za četiri nedelje

O klijentu

Nordsec je rastuća SaaS kompanija za sajber bezbednost koja prodaje srednjim i velikim kompanijama. Imali su mnogo poslova u pripremi, ali su bezbednosni upitnici i provere u nabavci počeli da koče poslove u završnoj fazi. Kupci su želeli dokaz o zrelom sistemu menadžmenta bezbednošću informacija, a ne samo dokumente sa politikama.

Izazov

Tim je imao dobre tehničke kontrole, ali mu je nedostajala struktura spremna za sertifikaciju:

• Politike su postojale u različitim alatima i formatima
• Odluke o tretmanu rizika nisu bile dokumentovane na jednom mestu
• Odgovornost za imovinu i tragovi dokaza nisu bili ujednačeni
• Rukovodstvu je bio potreban brz put koji neće poremetiti rokove za izdanja proizvoda

Bilo im je potrebno praktično uvođenje ISO 27001 koje brzo vodi od planiranja do spremnosti za audit.

Šta smo uradili

• Definisali obim ISMS-a oko produkcionih sistema, tokova podataka klijenata i podrške korisnicima
• Mapirali odgovornosti za kontrole iz Aneksa A u inženjeringu, proizvodu i operacijama
• Objedinili politike u jedinstven skup dokumenata usklađen sa ISO 27001
• Napravili kontrolnu listu dokaza po kontrolama, sa jasnim odgovornim osobama i rokovima
• Održali sesije pripreme za audit za rukovodstvo i odgovorne osobe za kontrole
• Pomogli u pripremi konačnih odgovora na pregled pre faze sertifikacije

Tok projekta

• Nedelja 1: Uvodni sastanak, potvrda obima, mapa nedostataka, dodela odgovornih osoba
• Nedelja 2: Objedinjavanje politika, usklađivanje registra rizika i plana tretmana rizika
• Nedelja 3: Prikupljanje dokaza za kontrole i interne provere spremnosti
• Nedelja 4: Radionica pred audit i korektivna podešavanja
• Kraj 4. nedelje: Završni pregled spremnosti za audit i paket za predaju

Rezultat

Za četiri nedelje Nordsec je prešao sa reagovanja na pritisak klijenata na strukturiran način rada, spreman za ISO 27001.

• Dokumentacija i paket dokaza spremni za audit isporučeni za četiri nedelje
• Razgovori o bezbednosti i nabavci postali su brži i predvidljiviji
• Timovi su dobili jasne uloge za dugoročnu brigu o usklađenosti
• Rukovodstvo je dobilo ponovljiv sistem koji može da održava i posle sertifikacije

Sledeći korak

Ako vam bezbednosne provere blokiraju prodajni ciklus, fokusiran ISO 27001 sprint može brzo da pokrene stvari. Ključ nije samo brzina, već i jasne odgovornosti, praktični tokovi rada za dokaze i sigurna priprema za audit.