ISO 27001 SoA NIS2 ja DORA valmisoleku tõendamiseks

On esmaspäev kell 08.30 ja kiiresti kasvava B2B finantstehnoloogia SaaS-teenusepakkuja infoturbejuht Elena avab juhatuse päringu, millele on märgitud „kiireloomuline“. Ettevõte on äsja saavutanud ISO/IEC 27001:2022 sertifitseerimise, kuid suur EL-i pangandussektori potentsiaalne klient esitab tavapärasest turbeküsimustikust märksa nõudlikumaid küsimusi.

Nad ei küsi üksnes seda, kas ettevõte krüpteerib andmeid, kasutab MFA-d või omab penetratsioonitestimise aruannet. Nad tahavad teada, kas SaaS-platvorm toetab nende DORA kohustusi, kas teenusepakkuja võib IKT-teenuse või digitaalse taristu sõltuvuse tõttu kuuluda NIS2 kohaldamisalasse ning kas ISO 27001 kohaldatavusdeklaratsioon suudab põhjendada iga kaasatud kontrollimeedet, iga välistatud kontrollimeedet ja iga tõendusmaterjali.

Juhatus küsib küsimuse, mida iga infoturbejuht, vastavusjuht ja SaaS-i asutaja kuuleb üha sagedamini:

Kas meie ISO 27001 SoA suudab tõendada NIS2 ja DORA valmisolekut?

Elena teab, et vale vastus oleks käivitada kolm eraldi vastavusprogrammi: üks ISO 27001 jaoks, teine NIS2 jaoks ja kolmas DORA jaoks. See looks dubleeritud tõendusmaterjali, vastuolulised kontrollimeetmete omanikud ja pideva kiirustamise enne iga kliendihindamist. Parem vastus on kasutada olemasolevat ISMS-i vastavuse juhtimise operatsioonisüsteemina ning kohaldatavusdeklaratsiooni ehk SoA-d peamise jälgitavusdokumendina.

SoA ei ole pelgalt ISO sertifitseerimiseks mõeldud tabel. EL-i küberturbe ja tegevuskerksuse keskkonnas on see koht, kus organisatsioon tõendab, miks kontrollimeetmed on olemas, miks välistused on kaitstavad, kes iga kontrollimeetme eest vastutab, milline tõendusmaterjal rakendamist toetab ning kuidas kontrollimeetmete kogum katab NIS2, DORA, GDPR, kliendilepingud ja sisemise riskikäsitluse.

Clarysec’i Enterprise Infoturbepoliitika Infoturbepoliitika sätestab:

ISMS peab hõlmama määratletud kohaldamisala piire, riskihindamise metoodikat, mõõdetavaid eesmärke ja dokumenteeritud kontrollimeetmeid, mis on põhjendatud kohaldatavusdeklaratsioonis (SoA).

See nõue, mis pärineb Infoturbepoliitika punktist 6.1.2, on auditivalmis lähenemise alus. SoA peab toimima sillana kohustuste, riskide, kontrollimeetmete, tõendusmaterjali ja juhtimisotsuste vahel.

Miks NIS2 ja DORA muutsid mõiste „kohaldatav“ tähendust

Traditsiooniline ISO/IEC 27001:2022 SoA algab sageli lihtsa küsimusega: „Millised Lisa A kontrollimeetmed kohalduvad meie riski käsitlemise plaanile?“ See on endiselt õige, kuid SaaS-i, pilve, hallatud teenuste, fintech’i, finantstehnoloogia ja kriitilise tarneahela teenusepakkujate jaoks ei ole see enam piisav.

NIS2 tõstab küberturbe riskijuhtimise baastaset EL-i oluliste ja tähtsate üksuste lõikes. See hõlmab sektoreid, nagu digitaalne taristu, pilveteenuse osutajad, andmekeskusteenuse osutajad, sisuedastusvõrgud, hallatud teenuse osutajad, hallatud turvateenuse osutajad, pangandus ja finantsturu taristud. Liikmesriigid peavad tuvastama olulised ja tähtsad üksused ning domeeninimede registreerimisteenuse osutajad. Paljud tehnoloogiateenuse pakkujad, kes varem käsitlesid küberturbe regulatsiooni kliendi probleemina, on nüüd kas otseselt kohaldamisalas või puutuvad sellega kokku edasikanduvate lepinguliste nõuete kaudu.

NIS2 Article 21 nõuab asjakohaseid ja proportsionaalseid tehnilisi, operatiivseid ja korralduslikke meetmeid riskianalüüsi, turbepoliitikate, intsidentide käsitlemise, talitluspidevuse, tarneahela turbe, turvalise hankimise ja arenduse, kontrollimeetmete tõhususe hindamise, küberhügieeni, koolituse, krüptograafia, personaliturbe, juurdepääsukontrolli, varahalduse ning vajaduse korral autentimise lõikes. NIS2 Article 23 lisab etapiviisilised intsidentidest teatamise ootused, sealhulgas varajase hoiatuse, teate, vahearuanded ja oluliste intsidentide lõpparuande.

DORA ehk Digital Operational Resilience Act kohaldub alates 17. jaanuarist 2025 ning keskendub finantssektori üksustele ja nende IKT-riski ökosüsteemile. See hõlmab IKT-riski juhtimist, IKT-ga seotud intsidentidest teatamist, teatud üksuste operatiivsetest või turvalisusega seotud makseintsidentidest teatamist, digitaalse tegevuskerksuse testimist, küberohuteabe jagamist, IKT kolmanda osapoole riskijuhtimist, lepingulisi kokkuleppeid ja kriitiliste kolmandast isikust IKT-teenuseosutajate järelevalvet.

Finantssektori üksuste puhul, kes on NIS2 alusel samuti olulised või tähtsad üksused, toimib DORA valdkonnaspetsiifilise raamistikuna samaväärsete IKT-riski juhtimise ja intsidentidest teatamise kohustuste jaoks. Kuid SaaS-teenusepakkujate, pilveteenuse osutajate, MSP-de ja MDR-teenusepakkujate jaoks, kes teenindavad finantskliente, jõuavad DORA ootused praktikas kohale hangete, lepingute, auditeerimisõiguste, intsidentide toe kohustuste, väljumisplaanide, alltöövõtjate läbipaistvuse ja toimepidevust tõendava materjali kaudu.

See muudab SoA käsitlust. Küsimus ei ole enam: „Kas Lisa A sisaldab seda kontrollimeedet?“ Parem küsimus on:

Kas suudame tõendada, et kontrollimeetmete valik on riskipõhine, kohustusi arvestav, proportsionaalne, omanikuga kaetud, rakendatud, seiratud, tõendatud ja heaks kiidetud?

ISO 27001 on NIS2 ja DORA universaalne tõlk

ISO/IEC 27001:2022 väärtus seisneb selles, et see on juhtimissüsteemi standard, mitte kitsas kontrollnimekiri. See nõuab, et ISMS oleks integreeritud organisatsiooni protsessidesse ja kohandatud organisatsiooni vajadustele. Seetõttu toimib see tõhusa universaalse tõlgina kattuvate vastavusnõuete vahel.

Punktid 4.1 kuni 4.4 nõuavad, et organisatsioon mõistaks oma konteksti, tuvastaks huvitatud pooled, määraks kindlaks asjakohased nõuded ja määratleks ISMS-i kohaldamisala. Elena ettevõtte sarnase FinTech SaaS-teenusepakkuja puhul võivad sellised huvitatud poolte nõuded hõlmata EL-i kliente, DORA-st mõjutatud finantskliente, NIS2 sektoripõhist kokkupuudet, GDPR-i vastutava töötleja ja volitatud töötleja kohustusi, sisseostetud pilvesõltuvusi, tarnijaliideseid ja juhatuse ootusi.

Punktid 6.1.1 kuni 6.1.3 nõuavad riskide ja võimaluste planeerimist, korratavat infoturbe riskihindamise protsessi, riski käsitlemise protsessi, võrdlust Lisa A-ga ning kohaldatavusdeklaratsiooni, mis tuvastab kaasatud kontrollimeetmed, rakendamise staatuse ja välistuste põhjendused.

Siin muutub SoA kontrollimeetmete otsuste registriks. Kontrollimeede võib olla kaasatud seetõttu, et see käsitleb riski, täidab õiguslikku nõuet, täidab kliendilepingut, toetab ärieesmärki või esindab infoturbe baashügieeni. Kontrollimeetme võib välistada ainult pärast seda, kui organisatsioon on seda teadlikult hinnanud, leidnud, et see ei ole ISMS-i kohaldamisala suhtes asjakohane, dokumenteerinud põhjenduse ja saanud asjakohase heakskiidu.

Clarysec’i Enterprise Riskijuhtimise poliitika Riskijuhtimise poliitika sätestab:

Kohaldatavusdeklaratsioon (SoA) peab kajastama kõiki käsitlusotsuseid ja seda tuleb ajakohastada iga kord, kui kontrollide katvus muutub.

See nõue, mis pärineb Riskijuhtimise poliitika punktist 5.4, on NIS2 ja DORA valmisoleku seisukohalt kriitiline. Uus reguleeritud klient, uus pilvesõltuvus, uus intsidentidest teatamise kohustus või uus tarnija kontsentratsioonirisk võib muuta kontrollimeetmete kohaldatavust.

Alusta vastavusregistrist, mitte kontrollimeetmete loendist

Nõrk SoA algab Lisa A-st ja küsib: „Millised kontrollimeetmed meil juba on?“ Tugev SoA algab organisatsiooni tegelikust toimimismudelist ja küsib: „Milliseid kohustusi, teenuseid, riske, andmeid, tarnijaid ja kliente peab ISMS katma?“

ISO/IEC 27005:2022 toetab seda lähenemist, rõhutades huvitatud poolte nõudeid, riskikriteeriume ning vajadust arvestada standardite, sisereeglite, seaduste, regulatsioonide, lepingute ja olemasolevate kontrollimeetmetega. Samuti rõhutab see, et mittekohaldatavust või mittevastavust tuleb selgitada ja põhjendada.

Clarysec’i SME Õigusnormidele vastavuse poliitika Õigusnormidele vastavuse poliitika - SME kirjeldab sama tööpõhimõtet:

GM peab pidama lihtsat ja struktureeritud vastavusregistrit, milles loetletakse:

See nõue pärineb Õigusnormidele vastavuse poliitika - SME punktist 5.1.1. Väiksema organisatsiooni puhul võib register olla lihtne. Ettevõtte tasemel peab see olema detailsem. Loogika on sama: kohustused peavad olema nähtavad enne, kui neid saab vastendada.

Clarysec’i Enterprise Õigusnormidele vastavuse poliitika Õigusnormidele vastavuse poliitika on selgesõnaline:

Kõik õiguslikud ja regulatiivsed kohustused tuleb infoturbe juhtimissüsteemis (ISMS) vastendada konkreetsete poliitikate, kontrollimeetmete ja omanikega.

See on Õigusnormidele vastavuse poliitika punkt 6.2.1. See on juhtimise selgroog, kui ISO 27001 kohaldatavusdeklaratsiooni kasutatakse NIS2 ja DORA vastavusvalmiduse jaoks.

Koosta riskikriteeriumid, mis kajastavad toimepidevust, privaatsust, tarnijaid ja regulatsiooni

Paljud SoA põhjendused ebaõnnestuvad, sest riskiskoorimise mudel on liiga kitsas. See mõõdab tehnilist tõenäosust ja mõju, kuid ei hõlma regulatiivset kokkupuudet, teenuse kriitilisust, kliendikahju, tarnijasõltuvust, privaatsusmõju ega süsteemset tegevushäiret.

NIS2 ei käsitle üksnes konfidentsiaalsust. See keskendub teenustele ja teenusesaajatele avalduva intsidentide mõju ennetamisele ja minimeerimisele. DORA määratleb kriitilised või olulised funktsioonid selle järgi, kas katkestus kahjustaks oluliselt finantstulemusi, teenuse järjepidevust või regulatiivset vastavust. GDPR lisab vastutuse tõendatavuse, tervikluse, konfidentsiaalsuse, rikkumisvalmiduse ja andmesubjekti kahju.

Clarysec’i SME Riskijuhtimise poliitika Riskijuhtimise poliitika - SME annab praktilise miinimumi:

Iga riskikirje peab sisaldama kirjeldust, tõenäosust, mõju, skoori, omanikku ja riski käsitlemise plaani.

See on Riskijuhtimise poliitika - SME punkt 5.1.2. NIS2 ja DORA valmisoleku jaoks laiendab Clarysec seda miinimumi väljadega, nagu kohustuse allikas, mõjutatud teenus, andmekategooria, tarnijasõltuvus, ärivastutaja, regulatiivne mõju, jääkrisk, käsitlusstaatus ja tõendusmaterjali allikas.

Pane tähele sõnastust. Tugev põhjendus ei ütle üksnes „rakendatud“. See selgitab, miks kontrollimeede on kohaldatav organisatsiooni äri-, regulatiivses ja riskikontekstis.

Vastenda NIS2 ja DORA valdkonnad ISO 27001:2022 kontrollimeetmetega

Kui vastavusregister ja riskikriteeriumid on paigas, on praktiline töö vastendada regulatiivsed valdkonnad Lisa A kontrollimeetmetega. See vastendus ei tõenda iseenesest vastavust, kuid annab audiitoritele ja klientidele selge indeksi tõendusmaterjali testimiseks.

Elena jaoks muutis see vastendus juhatuse arutelu. Selle asemel et esitada NIS2 ja DORA eraldi projektidena, sai ta näidata kattuvust: juhtimine, riskijuhtimine, intsidendid, talitluspidevus, tarnijad, testimine, juurdepääsukontroll ja krüptograafia.

Kolm ISO kontrollimeedet, millest sõltub iga NIS2 ja DORA SoA

Teoses Zenith Controls: The Cross-Compliance Guide Zenith Controls käsitleb Clarysec kolme ISO/IEC 27002:2022 kontrollimeedet NIS2 ja DORA auditivalmis SoA juhtimise kesksete elementidena. Need on ISO kontrollimeetmed, mida Zenith Controls juhendis on rikastatud ristvastavuse atribuutidega.

Need kontrollimeetmed ei ole eraldiseisvad. Need seostuvad otseselt tarnijasuhete kontrollimeetmetega A.5.19 kuni A.5.23, intsidendihalduse kontrollimeetmetega A.5.24 kuni A.5.28, talitluspidevuse kontrollimeetmetega A.5.29 ja A.5.30, privaatsuse kontrollimeetmega A.5.34, haavatavuste haldusega A.8.8, konfiguratsioonihaldusega A.8.9, teabe varundusega A.8.13, logimisega A.8.15, seiretegevustega A.8.16, krüptograafiaga A.8.24, turvalise arenduse kontrollimeetmetega A.8.25 kuni A.8.29 ning muudatuste juhtimisega A.8.32.

Zenith Controls väärtus seisneb selles, et see aitab meeskondadel vältida SoA käsitlemist ühe standardi artefaktina. Kontroll 5.31 toetab õiguslikku ja lepingulist vastendust. Kontroll 5.35 toetab siseauditit, sõltumatut läbivaatamist ja juhtkonna kindlust. Kontroll 5.36 toetab operatiivset vastavust poliitikatele, protseduuridele, standarditele ja kontrollinõuetele.

Kasuta Zenith Blueprinti SoA koostamiseks, testimiseks ja kaitsmiseks

Teoses Zenith Blueprint: An Auditor’s 30-Step Roadmap Zenith Blueprint paigutab Clarysec SoA koostamise riskijuhtimise etappi, samm 13: riski käsitlemise planeerimine ja kohaldatavusdeklaratsioon. Blueprint juhendab organisatsioone kasutama „Risk Register and SoA Builder.xlsx“ mallis olevat SoA lehte, otsustama, kas iga 93 Lisa A kontrollimeedet on kohaldatav, ning tuginema otsuses riskikäsitlusele, õiguslikele ja lepingulistele nõuetele, kohaldamisala asjakohasusele ja organisatsiooni kontekstile.

Blueprint sätestab:

SoA on sisuliselt silddokument: see seob sinu riskihindamise/riskikäsitluse tegelike kontrollimeetmetega, mis sul olemas on.

See lause võtab kokku toimimismudeli. SoA ühendab kohustused, riskid, poliitikad, kontrollimeetmed, tõendusmaterjali ja auditi järeldused.

Zenith Blueprint juhendab meeskondi vajaduse korral lisama SoA märkustesse ristviiteid regulatsioonidele. Kui kontrollimeede on rakendatud GDPR, NIS2 või DORA jaoks, peab see kajastuma riskiregistris või SoA märkustes. Hiljem, sammus 24, juhendab Blueprint organisatsioone ajakohastama SoA-d pärast rakendamist ja ristkontrollima seda riski käsitlemise plaaniga. Sammus 30, sertifitseerimiseks ettevalmistus, lõplik läbivaatamine ja prooviaudit, suunab Blueprint meeskondi kinnitama, et igal kohaldataval Lisa A kontrollimeetmel on tõendusmaterjal, näiteks poliitika, protseduur, aruanne, plaan või rakendamise kirje.

See järjestus muudab SoA elavaks vastavusinstrumendiks:

1. Samm 13 loob selle riskikäsitlusest ja kohustustest.
2. Samm 24 testib seda rakendamise tegelikkuse suhtes.
3. Samm 30 kaitseb seda lõpliku tõendusmaterjali läbivaatamise ja prooviauditi kaudu.

Kuidas kirjutada kaasamise põhjendusi, mida audiitorid saavad jälgida

Kontrollimeede tuleb kaasata siis, kui olemas on vähemalt üks kaitstav ajend: riskikäsitlus, õiguslik nõue, lepinguline nõue, kohaldamisala asjakohasus, infoturbe baashügieen, kliendi kindluse ootused või juhtkonna heaks kiidetud toimepidevuse eesmärk.

Kasulik valem on:

Kohaldatav, sest [risk või kohustus] mõjutab [teenust, vara, andmeid või protsessi] ning see kontrollimeede annab [ennetava, tuvastava, korrigeeriva või toimepidevuse tulemuse], mida tõendab [poliitika, kirje, test, aruanne või süsteemiväljund].

Fintech SaaS-teenusepakkuja puhul võib üks SoA rida välja näha järgmiselt:

See on auditivalmis, sest see seob kontrollimeetme konteksti, riski, kohustuse, rakendamise, omanduse ja tõendusmaterjaliga.

Kuidas põhjendada välistusi auditiriski tekitamata

Välistused ei ole ebaõnnestumised. Halvasti põhjendatud välistused on ebaõnnestumised.

ISO/IEC 27001:2022 nõuab, et SoA põhjendaks välistatud Lisa A kontrollimeetmeid. ISO/IEC 27005:2022 rõhutab samuti, et mittekohaldatavust tuleb selgitada ja põhjendada. Clarysec’i Enterprise Infoturbepoliitika sätestab:

Baastaset võib kohandada; välistused tuleb siiski dokumenteerida koos ametliku heakskiidu ja põhjendusega SoA-s.

See on Infoturbepoliitika punkt 7.2.2.

Clarysec’i Infoturbepoliitika - SME Infoturbepoliitika - SME sätestab:

Iga kõrvalekalle sellest poliitikast tuleb dokumenteerida, selgitades selgelt, miks kõrvalekalle on vajalik, millised alternatiivsed kaitsemeetmed on rakendatud ja milline kuupäev on määratud kordushindamiseks.

See nõue pärineb Infoturbepoliitika - SME punktist 7.2.1.

NIS2 ja DORA puhul tuleb välistustesse suhtuda eriti ettevaatlikult. SaaS-ettevõte peaks harva välistama logimise, seire, varundused, intsidendihalduse, juurdepääsukontrolli, tarnijate turbe või haavatavuste halduse. Isegi kui kontrollimeede ei ole seotud ühe konkreetse riskiga, võib see olla vajalik infoturbe baastaseme, kliendi kindluse, lepingulise ootuse või õigusliku kohustuse tõttu.

Clarysec’i Riskijuhtimise poliitika - SME tuletab meeskondadele meelde ka seda, kuidas aktsepteeritud riski tuleb käsitleda:

Aktsepteeri: põhjenda, miks täiendavaid meetmeid ei ole vaja, ja registreeri jääkrisk.

See punkt, 6.1.1 Riskijuhtimise poliitika - SME dokumendis, on täpselt see mõtteviis, mida välistuste ja jääkriski otsuste puhul vaja on.

Intsidentidest teavitamine: tõenda töövoogu, mitte poliitika olemasolu

NIS2 Article 23 nõuab oluliste intsidentide etapiviisilist teavitamist, sealhulgas varajast hoiatust 24 tunni jooksul teadlikuks saamisest, teadet 72 tunni jooksul, taotluse korral vahearuandeid ja lõpparuannet ühe kuu jooksul pärast 72-tunnist teadet. DORA nõuab finantssektori üksustelt suurte IKT-ga seotud intsidentide tuvastamist, haldamist, klassifitseerimist, eskaleerimist, kommunikatsiooni ja teatamist, vajaduse korral mõjutatud klientide teavitamist, algpõhjuse analüüsi tegemist ning kontrollimeetmete täiustamist.

SaaS-teenusepakkuja ei pruugi alati DORA asutusele otse aru anda, kuid tal võib olla vaja toetada finantsklientide aruandlustähtaegu. See muudab intsidendikontrollid SoA-s väga asjakohaseks.

Nõrk SoA ütleb: „Intsidentidele reageerimise poliitika on olemas.“

Tugev SoA ütleb: „Kohaldatav, sest organisatsioon peab tuvastama, hindama, klassifitseerima, eskaleerima, suhtlema, säilitama tõendusmaterjali, toetama regulatiivseid aruandlustähtaegu, teavitama mõjutatud kliente lepinguliselt nõutud juhtudel ning õppima teenuseid, andmeid või reguleeritud kliente mõjutavatest intsidentidest.“

Tõendusmaterjal peab hõlmama järgmist:

• Intsidentidele reageerimise plaan ja eskaleerimismaatriks.
• Tõsiduse klassifitseerimise kriteeriumid.
• Klienditeavituse töövoog.
• Regulatiivse teavitamise otsustuspuu, kui see on kohaldatav.
• Intsidendipiletid ja ajajooned.
• Logid ja seireteavitused.
• Lauaõppuste kirjed.
• Intsidendijärgne ülevaatus ja parandusmeetmed.
• Tõendusmaterjali säilitamise protseduurid.

Clarysec’i Enterprise Auditi ja vastavusseire poliitika Auditi ja vastavusseire poliitika selgitab, miks see on oluline:

Luua kaitstav tõendusmaterjal ja auditijälg regulatiivsete päringute, kohtumenetluste või klientidele kindluse andmise taotluste toetamiseks.

See eesmärk pärineb Auditi ja vastavusseire poliitika punktist 3.4.

Väiksemate organisatsioonide puhul peab ka tõendusmaterjali säilitamine olema selgesõnaline. Clarysec’i Auditi ja vastavusseire poliitika - SME Auditi ja vastavusseire poliitika - SME sätestab:

Tõendusmaterjali tuleb säilitada vähemalt kaks aastat või kauem, kui seda nõuavad sertifitseerimis- või kliendilepingud.

See on Auditi ja vastavusseire poliitika - SME punkt 6.2.4.

Üks SoA, mitu auditiarutelu

Parim SoA ei dubleeri raamistikke. See loob jälgitava kontrollimeetmete narratiivi, mida erinevad audiitorid mõistavad.

ISO 27001 audiitor alustab tavaliselt punktide loogikast: kohaldamisala, huvitatud pooled, riskihindamine, riskikäsitlus, SoA, eesmärgid, siseaudit, juhtkonna ülevaatus ja täiustamine. NIS2-keskne läbivaataja keskendub proportsionaalsusele, juhtkonna vastutusele, koolitusele, tarneahelale, intsidentide tähtaegadele ja teenuse mõjule. DORA-keskne kliendihindaja keskendub IKT-riskile, kriitilistele või olulistele funktsioonidele, suurtele IKT-intsidentidele, toimepidevuse testimisele, lepinguklauslitele, auditeerimisõigustele, väljumisplaanidele, alltöövõtule ja kontsentratsiooniriskile. Privaatsuse läbivaataja keskendub GDPR-i vastutuse tõendatavusele ja rikkumisvalmidusele. COBIT 2019 või ISACA-stiilis audiitor testib juhtimist, mõõdikuid, omandust, kindlust andvaid tegevusi ja parandusmeetmeid.

Seetõttu ei saa SoA-d hallata ainult turvameeskond. See vajab õigus-, privaatsus-, hanke-, inseneeria-, operatsioonide-, HR- ja tippjuhtkonna osalust ning vastutust.

Levinud SoA puudused NIS2 ja DORA valmisolekuprojektides

Clarysec leiab valmisolekuprojektides korduvalt samu probleeme:

1. SoA märgib kontrollimeetmed kohaldatavaks, kuid risk, kohustus või äriline põhjus ei ole registreeritud.
2. NIS2 ja DORA on poliitikates mainitud, kuid neid ei ole vastendatud kontrollimeetmete, omanike ega tõendusmaterjaliga.
3. Tarnijakontrollid on märgitud rakendatuks, kuid puudub tarnijaregister, kriitilisuse hinnang, lepinguline läbivaatamine või väljumisplaan.
4. Intsidendikontrollid on olemas, kuid protsess ei toeta 24-tunniseid, 72-tunniseid, kliendi- või lõpparuandluse töövooge.
5. Juhtkonna heakskiitu eeldatakse, kuid puudub kirje riski aktsepteerimise, SoA heakskiidu või jääkriski otsuse kohta.
6. Välistused on kopeeritud mallist ega vasta tegelikule pilve-, kaugtöö-, SaaS-i või fintech’i toimimismudelile.
7. Tõendusmaterjal on tööriistades olemas, kuid puudub auditijälg, mis seoks tõendusmaterjali SoA-ga.
8. GDPR-i isikuandmete töötlemine ei ole seotud turbekontrollide, rikkumisele reageerimise, tarnijalepingute ega säilitamisega.
9. Siseaudit kontrollib dokumente, kuid ei testi, kas SoA kajastab tegelikku rakendamist.
10. SoA-d ajakohastatakse ainult enne sertifitseerimist, mitte pärast uusi kliente, tarnijaid, intsidente, auditileide või regulatiivseid muudatusi.

Need ei ole paberitöö probleemid. Need on juhtimisprobleemid.

Praktiline kontrollnimekiri auditivalmis ISO 27001 SoA jaoks

Kasuta seda kontrollnimekirja enne ISO 27001 sertifitseerimisauditit, NIS2 valmisoleku läbivaatamist, DORA kliendihindamist, juhatuse koosolekut või investori taustakontrolli.

Muuda SoA kaitstavaks vastavussillaks

Elena juhatuse ettekanne õnnestus, sest ta ei esitanud kolme omavahel seostamata vastavusprojekti. Ta esitas ühe kontrollitud ja tõenduspõhise toimimismudeli, mis põhineb ISO/IEC 27001:2022-l ning kus SoA on sild regulatsiooni, riski, kontrollimeetmete rakendamise, tõendusmaterjali ja juhtkonna järelevalve vahel.

NIS2 ja DORA ei muuda ISO 27001 standardit aegunuks. Need muudavad hästi üles ehitatud ISO 27001 kohaldatavusdeklaratsiooni väärtuslikumaks. SoA võib muutuda üheks kohaks, kus sinu organisatsioon selgitab, miks kontrollimeetmed on olemas, miks välistused on kaitstavad, kuidas tõendusmaterjali säilitatakse, kuidas tarnijaid juhitakse, kuidas intsidente eskaleeritakse ja kuidas juhtkond teab, et ISMS toimib.

Sinu vahetu tegevus on lihtne:

1. Ava oma praegune SoA.
2. Vali viis kohaldatavaks märgitud kontrollimeedet ja küsi: „Milline risk, kohustus või leping seda põhjendab?“
3. Vali viis välistust ja küsi: „Kas see oleks endiselt mõistlik NIS2, DORA, GDPR või ISO/IEC 27001:2022 audiitori jaoks?“
4. Kontrolli, kas igal kohaldataval kontrollimeetmel on ajakohane tõendusmaterjal.
5. Kinnita, et juhtkond on heaks kiitnud jääkriskid ja SoA otsused.
6. Ajakohasta vastavusregistrit, riskiregistrit ja SoA-d alati, kui teenused, tarnijad, kliendid, regulatsioonid või intsidendid muutuvad.

Clarysec aitab organisatsioonidel seda teha Zenith Blueprinti Zenith Blueprint, Zenith Controls Zenith Controls, ettevõtte ja SME poliitikakomplektide, riskiregistri tööriistade, SoA mallide, auditi ettevalmistuse ning NIS2, DORA, GDPR, NIST CSF 2.0, COBIT 2019 ja kliendikindluse ristvastenduse kaudu.

Kui sinu SoA ei suuda vastata, miks kontrollimeede on olemas, kes seda omab, milline tõendusmaterjal seda tõendab ja millist kohustust see toetab, ei ole see veel valmis. Kasuta Clarysec’i, et muuta see auditivalmis vastavussillaks enne, kui regulaator, audiitor või klient esitab samad küsimused esimesena.