אתה מתעורר עם טיפות זיעה קרות יורדות ממצחך, כאשר ההבנה פוגעת בך – האם נזכרת להפעיל אימות דו-שלבי על בסיס נתוני הלקוחות של החברה אתמול בלילה?

בבהלתך לצאת מהמשרד בשעה סבירה לשינוי, ייתכן וזה פשוט נשכח ממך. בהלה גוברת, אתה ממשמש אחרי הטלפון שלך כדי לבדוק, מקווה נגד כל הסיכויים שלא השארת פירצת אבטחה עצומה שמאיימת לבלוע את העסק שלך כולו.

אם תרחיש זה מוכר לך, ייתכן והגיע הזמן לשקול ליישם מערכת ניהול אבטחת מידע (ISMS). 

ISMS היא מערכת ניהול אבטחת מידע הכוללת מדיניות, תהליכים, נהלים ובקרות לניהול סיכוני אבטחת המידע של ארגון. בלי ISMS, הדלת פתוחה בפני איומי סייבר פוטנציאליים שיכולים להיכנס פנימה בקלות. ומרגע שהם בפנים, אין לדעת איזה בלגן הם עלולים לגרום. הם יכולים לגנוב מספרי כרטיסי אשראי של לקוחות, לדלוף נתונים קנייניים למתחרים שלכם או להחזיק את כל המערכת בתור בני ערובה תמורת כופר.

אם רוצים למכור לאירופה בטח שמעתם על ISO 27001

תקן ISO 27001 מהווה את אחד התקנים החשובים והנפוצים ביותר בתחום אבטחת מידע והגנת סייבר. התקן מגדיר דרישות להקמת מערכת ניהול אבטחת מידע אפקטיבית בארגונים, על מנת להבטיח הגנה על נכסי המידע הקריטיים שלהם. 

תקן ISO 27001 הוא קריטי עבור חברות SaaS במיוחד כדי להוכיח ללקוחותיהן קיום מערך איתן לאבטחת מידע והגנת הפרטיות. הוא מספק מסגרת עבודה לניהול סיכונים, יישום בקרות הגנה אפקטיביות וביצוע מעקב שוטף. עמידה בדרישות התקן משדרת ללקוחות אמינות ומחויבות של החברה להגן על המידע שלהם ברמה הגבוהה ביותר. כמו כן, התקן יכול לשמש יתרון תחרותי מול חברות SaaS אחרות בתחום. 

מה הוא תקן ISO 27001:2022?

בשנת 2022 פורסמה גרסה מעודכנת של ISO 27001: התקן 2022 הכוללת מספר שינויים ושיפורים ביחס לגרסאות הקודמות. הגרסה העדכנית, ISO 27001:2022, פורסמה השנה והחליפה את המהדורה משנת 2013. מטרת התקן היא לספק מסגרת עבודה להטמעת אמצעי הגנה לאבטחת נכסי מידע קריטיים בארגונים. הוא כולל דרישות ספציפיות לניהול סיכוני סייבר, תכנון ויישום בקרות אבטחה טכניות וארגוניות, ביצוע ביקורת ומעקב מתמיד ועוד. התקן מהווה כלי אסטרטגי לניהול סיכוני סייבר ברמה הגבוהה ביותר. 

מתעניינים באבטחת מידע ISO 27701? לקרוא עוד.

שינויים מהותיים בתקן ISO 27001:2022

אחד השינויים המרכזיים בגרסה המעודכנת הוא הרחבה ניכרת של הדרישות הקשורות לניהול סיכוני אבטחת מידע בשרשרת האספקה. התקן החדש דורש ביצוע מיפוי מקיף של כלל השותפים העסקיים מחוץ לארגון, בין אם הם ספקים, לקוחות, יועצים, גופים ממשלתיים ועוד. בהתבסס על מיפוי זה, יש להעריך את רמת הסיכונים הנשקפת מכל שותף, ולפעול בהתאם לניהול, מזעור ומעקב אחר סיכונים אלו.

לדוגמה, במקרה של שימוש בספק ענן חיצוני, התקן מפרט דרישה לקבל אישורי תקינה והתאמה לתקני אבטחת מידע כחלק מהליך בחירת הספק. בנוסף, קיימת דרישה להגדיר הסכמי SLA הכוללים רמות שירות מוגדרות ומדידות ביחס לפרמטרים שונים של אבטחת מידע בשירותי הענן, ביצוע ביקורות תקופתיות על עמידת הספק בהתחייבויות אלה, ועוד.

שינוי נוסף הוא הרחבת הדרישות בנוגע להערכת האפקטיביות של בקרות אבטחת המידע. התקן קובע כי יש לבצע מדידה והערכה של יעילות הבקרות הקיימות באמצעות מגוון כלי מעקב וניטור, החל מניתוח דוחות ורישומי פעילות שוטפים וכלה בביצוע בדיקות חדירה ומבדקי חוסן יזומים. 

התקן אף מפרט סוגי בדיקות ספציפיים שיש לבצע, כגון מבדקי חדירה מבוססי תרחיש התקפה רלוונטיים לארגון, בדיקות קוד בטוח ליישומים קריטיים, וסקרי אבטחה פיזית לאתרים ומתקנים. בנוסף, הוספו הנחיות מפורטות בדבר תדירות הבדיקות והביקורות שיש לבצע – למשל קביעה כי יש לבצע מבדק חדירה חיצוני מקיף אחת לשנה לפחות.

גרסת 2022 כוללת גם הבהרות נרחבות יותר בנושא הגדרת היקף מערכת ניהול אבטחת המידע (ISMS). בפרט, מודגש כי היקף ה- ISMS צריך להיות מותאם למטרות העסקיות של הארגון, לדרישות הציות הרגולטוריות שחלות עליו, ולסיכוני אבטחת המידע שאותרו בתהליך הערכת הסיכונים.  

התקן אף נותן המלצות לגבי כלי ניהול סיכונים ספציפיים שניתן להשתמש בהם לשם כך, דוגמת שיטת ה- FAIR המאפשרת לכמת ולדרג סיכוני סייבר ואבטחת מידע באופן יעיל. שילוב כלים כאלה מסייע להנהלה ולצוותי אבטחת המידע לקבוע סדרי עדיפויות נכונים ולהקצות משאבים לטיפול בסיכונים המהותיים ביותר.

מעבר לכך, ISO 27001:2022 כולל דגש מיוחד על שילוב היבטים של אבטחת מידע והגנת הפרטיות כבר בשלב התכנון והפיתוח של מערכות ומוצרים חדשים בארגון. גישה זו, הידועה בשם "אבטחה על ידי תכנון" (Security by Design), מבטיחה הטמעה טובה יותר של אמצעי אבטחה והגנת הפרטיות, וחוסכת עלויות ומורכבות בהמשך הדרך.

התקן נותן דוגמאות ספציפיות כיצד ניתן ליישם אבטחה על ידי תכנון בפרויקטים שונים – החל מפיתוח מוצר חדש, דרך הקמת מאגר מידע לקוחות חדש, ועד שדרוג תשתיות IT ומעבר לשירותי ענן. כמו כן, התקן מפרט תהליכים מומלצים לניהול סיכונים ואימות בקרות האבטחה והגנת הפרטיות לאורך מחזור החיים של המערכת או המוצר החדש שפותח.

בנוסף, התווספו הנחיות מפורטות בנוגע ליישום התקן בסביבות ענן. למשל, מתן המלצות ספציפיות בנוגע לחלוקת אחריות עם ספקי שירותי ענן, ביצוע הערכת סיכונים ייעודית, שימוש בכלים טכנולוגיים מתקדמים ועוד. מגמת הענן בארגונים תופסת תאוצה, ולכן חשוב להתאים את יישום התקן למציאות זו.

הטעמת תקן ISO 27001:2022

הצעד הראשון לקראת תאימות עם התקן המעודכן הוא לבצע ניתוח פערים ביחס לדרישות החדשות שנוספו, בעיקר בתחומי שרשרת האספקה, הערכת אפקטיביות בקרות ויישומים בענן. יש לבנות תוכנית עבודה לסגירת הפערים שזוהו, תוך הקצאת משאבים מתאימה. כמו כן חשוב לעדכן מסמכים ותהליכים פנימיים בהתאם לגרסה החדשה. מומלץ להיעזר ביועץ מקצועי לאורך התהליך. בסופו, נדרש אישור מחדש של גוף הסמכה מוכר לתקן המעודכן על מנת להמשיך ולהיות בעלי תעודה תקפה של ISO 27001.

חברות השוקלות להטמיע ISO 27001:2022 מומלץ לבצע את הפעולות הבאות:

• ביצוע סקר פערים מול דרישות התקן – זיהוי תחומים הטעונים שיפור בהיבטי אבטחת מידע נכון להיום
• ניתוח עלות תועלת של יישום התקן – הערכה כלכלית של השקעה נדרשת לעומת תועלות צפויות
• גיבוש מתווה להטמעת מערך ניהול אבטחת מידע (ISMS) על פי התקן בארגון
• קבלת ייעוץ מקצועי וליווי שוטף של מומחה לתקן ISO 27001 במהלך הפרויקט
• הדרכה והטמעה של מדיניות אבטחת מידע, נהלים ותפקידים חדשים בקרב העובדים
• ביצוע סקרי אבטחה שוטפים, מבדקי חדירה וביקורות פנימיות
• קבלת אישור ותעודת הסמכה לתקן על ידי גוף מוסמך בתחום

הבנתי שISO 27001 חשוב לי, מה עכשיו?

סך הכל התקן המעודכן כולל מספר תוספות ושיפורים משמעותיים כמפורט, המסייעים לארגונים להתמודד טוב יותר עם אתגרי אבטחת המידע והגנת הפרטיות המודרניים. יישום המלצות התקן ישפר את המוכנות והעמידה של הארגונים בפני האיומים ההולכים וגדלים של סייבר והפרות מידע בעידן הנוכחי.

תהליך הקומפליאנס יכול לקחת המון זמן וכסף מארגון, אז איך ארגונים יכולים לצמצם עלויות ISO 27001 תוך שמירה וקבלת תאימות מהירה יותר עד 90%? מה אם במקום לנהל ולשלם על כל העלויות הנלוות ל- ISO 27001 (ולפצות על אובדן פרודוקטיביות), ניתן יהיה להעביר הכל לפלטפורמה ממוחשבת ומאוחדת. אנחנו עוזרים לכם להגיע לתאימות (ולהישאר בתאימות) ISO 27001 ללא עלויות, זמן או טרחה נוספים, כך שתוכלו לחזור למכירות מהירות וטובות יותר.

החליפו את הסיוט של רדיפה אחרי הנהלה, עובדים, בקרות, ביקורות ומימון בלחיצה קלה אחת – כאן.