ÇFARE ESHTE CERTIFIKIMI ISO 27001? 

ISO/IEC 27001 është standardi ndërkombëtar referues i serisë ISO/IEC 27000 për menaxhimin e sigurisë së informacionit. Në mbarë botën, organizatat zbatojnë dhe mirëmbajnë sisteme të menaxhimit të sigurisë së informacionit ISO 27001 (ISMS) për të mbajtur të sigurta informacionet e rëndësishme për kompaninë.

Ky standard përcakton një proces të menaxhimit të rreziqeve që përfshin njerëzit, proceset dhe sistemet IT, duke ofruar kështu një qasje holistike ndaj sigurisë së informacionit.

Botimi 2022 i ISO/IEC 27001 ka sjellë përditësime të rëndësishme për t’u përshtatur më mirë me realitetin aktual të sigurisë së informacionit.

·        Përditësimi i kontrolleve të sigurisë (Annex A): janë riorganizuar dhe reduktuar nga 114 në 93, të ndara në katër kategori kryesore: organizative, njerëz, fizike dhe teknologjike.

·        Futja e kontrolleve të reja: si menaxhimi i cloud-it, siguria e informacionit për punën në distancë dhe parandalimi i mashtrimeve.

·        Theks më i madh mbi qëndrueshmërinë organizative: me vëmendje ndaj vazhdimësisë operacionale dhe aftësisë për t’iu përgjigjur incidenteve.

·        Përputhje me ISO/IEC 27002:2022: e cila ofron udhëzime praktike për zbatimin e kontrolleve.

·        Struktura e nivelit të lartë (HLS): e konfirmuar për të garantuar integrimin me sisteme të tjera të menaxhimit ISO (ISO 9001, ISO 14001, ISO 45001).

Klausola të reja në ISO/IEC 27001:2022

Një nga risitë më të rëndësishme është futja e klausolës së re 6.3 (Planifikimi i ndryshimeve), e cila kërkon që çdo ndryshim në sistemin e menaxhimit të kryhet gjithmonë në mënyrë të planifikuar.

Menaxhimi i ndryshimeve, i cili ishte i nënkuptuar në versionin e mëparshëm, tani është bërë eksplicit:

"Kur organizata përcakton nevojën për të bërë ndryshime në sistemin e menaxhimit të sigurisë së informacionit, ndryshimet duhet të kryhen në mënyrë të planifikuar."

Nevoja për ndryshime mund të lindë nga:

·        procesi i përmirësimit të vazhdueshëm,

·        rreziqe të reja të identifikuara gjatë analizës,

·        incidente të sigurisë të ndodhura gjatë vitit,

·        ose ndryshime më të thella në organizatë, burime dhe procese.

Me këtë klausolë të re, organizata duhet të tregojë se ka një proces të kontrolluar për menaxhimin e ndryshimeve. Kjo përfshin:

·        planifikim të strukturuar dhe vlerësim të ndikimit që ndryshimi mund të ketë mbi sigurinë e informacionit,

·        vlerësim të burimeve të nevojshme për zbatimin efektiv të ndryshimit,

·        një fluks pune për miratimin dhe autorizimin e ndryshimeve,

·        komunikimin e çdo ndryshimi të ri përmes procesit të komunikimit të brendshëm.

Sistemi i menaxhimit konsiderohet vetë si një aset që, gjatë ciklit të tij të jetës, mund të rishikohet, përditësohet dhe modifikohet, por gjithmonë në mënyrë të kontrolluar.

ANEX A DHE KONTROLLET.

Karakteristikat kryesore të edicionit të ri

• Struktura e re: është shumë e ndryshme nga të gjitha edicionet e mëparshme.
• Kontrollet e sigurisë (Annex A) janë riorganizuar në katër “tema”:
  • Kontrolle organizative – 37 kontrolle
  • Kontrolle fizike – 14 kontrolle
  • Kontrolle të personave – 8 kontrolle
  • Kontrolle teknologjike – 34 kontrolle
• Numri i kontrolleve është reduktuar nga 114 në 93.
• 11 kontrolle të reja janë futur, ndërsa disa janë bashkuar për të shmangur përsëritjet.

Shembuj të kontrolleve teknologjike të reja

• Konfigurimi i sigurt i hardware, software, shërbimeve dhe rrjeteve (8.9 Configuration management)
• Zhvillimi i sigurt i kodit (8.28 Secure coding)
• Menaxhimi i aksesit në web (8.23 Web filtering)
• Fshirja e informacionit (8.10 Information deletion)
• Maskimi i të dhënave (8.11 Data masking)
• Parandalimi i humbjes së të dhënave (8.12 Data leakage prevention)

Risi tjetër e rëndësishme

• Për çdo kontroll sigurie janë përcaktuar “atribute” specifike.
• Çdo kontroll ka pesë atribute me vlera të caktuara.
• Kjo u lejon përdoruesve të riorganizojnë dhe grupojnë kontrollet sipas nevojave të tyre specifike.

Ky ndryshim e bën standardin më fleksibël dhe të përshtatshëm për organizatat që duan të menaxhojnë sigurinë në mënyrë të personalizuar.

QELLIMI I STANDARDIT  ISO 27001

ISO/IEC 27001 ka si objektiv kryesor:

·        Mbrojtjen e konfidencialitetit të informacionit, duke siguruar që të dhënat e ndjeshme të mos bien në duar të paautorizuara.

·        Ruajtjen e integritetit të të dhënave të kompanisë, për të garantuar që informacioni mbetet i saktë dhe i plotë.

·        Sigurimin e disponueshmërisë së sistemeve IT, në mënyrë që proceset kritike të mos ndërpriten.

·        Garanci për palët e interesuara dhe klientët, duke treguar respektimin e standardeve më të larta të sigurisë së informacionit.

·        Reduktimin e ndërprerjeve të proceseve kritike dhe humbjeve financiare që mund të lidhen me shkeljet e sigurisë.

Në këtë mënyrë, ISO 27001 ndihmon organizatat të ndërtojnë një sistem të besueshëm dhe të qëndrueshëm për menaxhimin e sigurisë së informacionit.