معرفی ISO 27001 برای استارت آپ ها و شرکت های در حال توسعه

ISO 27001 یک استاندارد بین المللی امنیت اطلاعات است. با توجه به ظهور تهدیدات باج افزار و معرفی GDPR، بسیاری از شرکت های بزرگ استاندارد ISO 27001 را پذیرفته اند و از تامین کنندگان خود می خواهند که این استاندارد را تایید کنند. این امر استارتاپ‌های B2B را در موقعیت دشواری قرار می‌دهد: آیا باید برای صدور گواهینامه پول خرج کنند یا ریسک از دست دادن مشتریان بزرگ‌تر را داشته باشند؟ این مقاله به این موضوع می پردازد که آیا اجرای استاندارد ISO 27001 برای استارتاپ ها و شرکت های در حال توسعه امکان پذیر و ارزشمند است یا خیر.

ISO 27001 و سایر استانداردها

ISO 27001 یک استاندارد سیستم مدیریت امنیت اطلاعات (ISMS) است: ISMS از منابع اطلاعاتی سازمان شما در برابر حوادث، حملات و آسیب پذیری ها محافظت می کند. ISMS یک ابزار نیست، بلکه مجموعه ای از اسناد و فرآیندها در سازمان شما است. این استاندارد برای سازمان ها اعمال می شود، نه محصولات. معمولاً از شرکت‌های SaaS که به داده‌های مشتریان خود دسترسی دارند، نیاز است. برای شرکتی که فقط محصولات فیزیکی تولید می کند، آنقدرها مهم نیست.

بر خلاف GDPR، ISO 27001 یک استاندارد اجباری نیست. همه شرکت‌هایی که داده‌های شخصی را پردازش می‌کنند باید GDPR را اجرا کنند، به این معنی که باید برخی از اقدامات امنیتی داده‌ها را اجرا کنند. با این حال، شرکت ها می توانند نحوه اجرای این اقدامات را انتخاب کنند. گزینه های موجود عبارتند از:

• یک عمل بر اساس یا الهام گرفته از ISO 27001 ایجاد کنید، اما گواهینامه ندارد. این کاملاً خوب است تا زمانی که ادعا نکنید که تأیید شده است.
• اخذ گواهینامه ISO 27001. این برای سازمان‌های کوچک امکان‌پذیر است، اما هزینه‌های خارجی وجود دارد: معمولاً حداقل 5000 یورو برای صدور گواهینامه و 5000 تا 15000 برای آموزش و پشتیبانی
• از استاندارد دیگری در خط‌مشی امنیتی خود استفاده کنید، مانند PCI-DSS، کنترل‌های SANS CIS، یا Security Verified.
• شما فقط می توانید حریم خصوصی را بر اساس AVG / GDPR انجام دهید و برخی اقدامات امنیتی را بدون سیاست کلی اجرا کنید. این در دراز مدت توصیه نمی شود، اما در کوتاه مدت قابل قبول است.

چندین استاندارد از استاندارد ISO 27001 مشتق شده است. NEN7510 هلندی توسعه استاندارد ISO 27001 است و این سند به صورت رایگان در دسترس است. BIO هلندی (Baseline Informatievoorziening Overheid) شامل تمام اقدامات کنترلی ISO 27001 است.

اینکه کدام گزینه برای راه اندازی بهتر است بستگی به این دارد که در چه مرحله ای هستید. اگر هنوز در حال چرخش هستید، احتمالاً برای راه‌اندازی ISMS خیلی زود است زیرا فرآیندهای شما تغییر خواهند کرد. اگر 1 تا 2 مشتری پایلوت دارید، احتمالاً باید یک ISMS اولیه راه‌اندازی کنید و صدور گواهینامه را به تعویق بیندازید. اگر می‌خواهید ده‌ها مشتری را افزایش دهید، صدور گواهینامه می‌تواند کمک بزرگی باشد: در فرآیند فروش به شما کمک می‌کند و در وقت مشتریانتان با دقت نظر صرفه‌جویی می‌کند.

ISO 27001 شامل چه مواردی است

ساختار اصلی ISO 27001 مبتنی بر بهبود مستمر است که معمولاً به عنوان یک اقدام برنامه ریزی انجام می شود. عناصر زیر مورد نیاز است:

• تجزیه و تحلیل ذینفعان
• مشارکت رهبری این معمولا برای استارت آپ ها آسان است.
• تجزیه و تحلیل ریسک
• مدیریت ریسک بر اساس فهرستی طولانی از معیارها و اقدامات استاندارد متناسب با شرکت شما است
• تعریف نقش ها و مسئولیت ها و افزایش آگاهی
• اندازه گیری نتایج
• برنامه حسابرسی داخلی و حسابرسی مدیریت

این استاندارد با در نظر گرفتن اندازه شرکت تنظیم شده است، بنابراین برای شرکت های کوچک این امکان وجود دارد که تمام الزامات را برآورده کنند. با این حال، همه استارت آپ ها در نوشتن مطالب و جمع آوری شواهد خوب نیستند. بدون این، اثبات اینکه شما یک حسابرس هستید دشوار است.

علاوه بر عناصر مورد نیاز، باید بسیاری از اقدامات کنترلی توصیه شده را در نظر بگیرید. برخی از این موارد عبارتند از:

• مدیریت حقوق دسترسی
• توسعه نرم افزار ایمن
• مدیریت فروشنده
• برنامه ریزی تداوم کسب و کار
• تست های PEN
• انطباق

آموزش مقدماتی ISO 27001 رایگان

ما با موسسه ICT شرکت خود، به شرکت‌های بزرگ در زمینه امنیت اطلاعات کمک می‌کنیم و همچنین به ارزیابی و کمک به استارت‌آپ‌ها و بزرگ‌آپ‌ها کمک می‌کنیم. تصمیم گرفتیم یک دوره آموزشی رایگان ISO 27001 مخصوصاً برای استارتاپ ها و شرکت های مقیاس پذیر ارائه دهیم. هدف ما این است که جهان ISO 27001 را در دسترس‌تر کنیم و از کارآفرینانی که می‌خواهند خودشان این استاندارد را پیاده‌سازی کنند، حمایت کنیم. آموزش 2 ساعته مقدمه ایزو 27001 است. آموزش توسط Sieuwert van Otterloand me و به زبان انگلیسی است. هدف آن استارت‌آپ‌هایی است که در هلند فعالیت می‌کنند، زیرا مناطق مختلف موقعیت‌های قانونی متفاوتی دارند.

این آموزش در 4 ژوئن 2021 برگزار خواهد شد. از اینجا سفارش دهید: https://free-iso27001-introduction.eventbrite.nl/ بسته به علاقه جامعه استارتاپ هلندی، ما موارد جدید را سازماندهی می کنیم.

از آنجایی که این یک ابتکار رایگان است، ما همچنین علاقه مند به کمک کارشناسان دیگری هستیم که می خواهند به توسعه این ابتکار کمک کنند، برای مثال با روزهای آموزشی اضافی، الگوها، مطالب یا ایده های دیگر. ما قبلاً صفحه ای برای قالب های رایگان GDPR و همچنین مجموعه ای از مقالات در مورد راه اندازی ISMS داریم. ما می خواهیم این را با کمک سایر داوطلبان بیشتر گسترش دهیم.

عکس: James Peacock, Unsplash