ISO/IEC 27001: axborot xavfsizligi boshqaruv tizimi nima talab qiladi

Hamkor kompaniya saytida ISO/IEC 27001 sertifikati koʻrinsa, uni odatda xavfsizlik belgisi deb oʻqiymiz. ISO ning oʻz sahifasi bu belgining mazmunini aniqroq tushuntiradi: standartga muvofiqlik tashkilotda maʼlumot xavfsizligiga tegishli xavflarni boshqarish tizimi borligini bildiradi. Gap tizim haqida, hodisa hech qachon boʻlmasligi haqida emas.

Standart nima va u qancha hajmda

ISO/IEC 27001 axborot xavfsizligini boshqarish tizimiga, inglizcha qisqartmasi ISMS, qoʻyiladigan talablarni belgilaydi. Uchinchi nashr 2022 yil 25 oktyabrda chiqqan va 2013 yilgi nashrning oʻrnini bosgan. ISO sahifasiga koʻra, standartning oʻzi 19 betdan iborat. Talablarning qisqa boʻlishi ishni yengil qilmaydi, chunki asosiy mehnat tashkilot oʻzi tanlagan nazoratlarni amalga oshirishda yotadi.

Nomda ham aniqlik bor. Rasmiy qisqartma ISO/IEC 27001, chunki standartni ISO va IEC birga chiqargan, uni ikkala tashkilotning birgalikdagi texnik qoʻmitasi huzuridagi 27-quyi qoʻmita tayyorlagan.

Standart axborot xavfsizligini uch xossa orqali tushuntiradi: maxfiylik, yaxlitlik va mavjudlik. ISO sahifasi har biriga oddiy xavf misoli keltiradi. Mijozlarning kirish maʼlumoti jinoyatchilar qoʻliga tushishi maxfiylikka tahdid. Xodimning fayldagi qatorni tasodifan oʻchirib yuborishi yaxlitlikka tahdid. Baza serveri nosozligi va yetarli nusxa yoʻqligi tufayli tizimga kirib boʻlmay qolishi esa mavjudlikka tahdid.

Standart bitta dasturga talab qoʻymaydi. Eng yaxshi dastur ham xodim parolini qogʻozga yozib qoʻygan joyni himoyalay olmaydi, shuning uchun ISO sahifasi yondashuvni odamlar, siyosat va texnologiyani birga qamrab oladigan deb tavsiflaydi.

Tashkilot hajmi hal qiluvchi emas. ISO sahifasida standart har qanday hajm va sohadagi kompaniya uchun moʻljallangani, xavfni boshqarish jarayoni esa tashkilotning hajmi va ehtiyojiga moslab olinishi aytilgan. Kichik kompaniyada tizim bir necha varaq hujjat va bir necha masʼul odamdan iborat boʻlishi mumkin, katta tashkilotda esa alohida boʻlinma kerak boʻladi. Bu tahririyat izohi, asosi esa ISO sahifasidagi moslash haqidagi gap.

Tuzilma: yetti boʻlim va xavf mantiqi

Standartning tekshiriladigan talablari 4 dan 10 gacha boʻlimlarda joylashgan va boshqaruv tizimi standartlarining umumiy tuzilmasiga mos. Boʻlimlar mazmunan quyidagi ishlarni qamrab oladi:

• Tashkilot muhitini va manfaatdor tomonlarning talablarini aniqlash.
• Rahbariyat ishtiroki, siyosat, rol va masʼuliyatlarni belgilash.
• Xavfni baholash, nazoratlarni tanlash va oʻzgarishlarni rejalashtirish.
• Resurslar, xabar almashish va hujjatlashtirilgan axborot.
• Jarayonlarni amalda yuritish va nazorat qilish.
• Oʻlchash, ichki audit va rahbariyat tahlili.
• Nomuvofiqlikni tuzatish va tizimni yaxshilash.

Markazda xavfni baholash turadi. Tashkilot xavflarini aniqlaydi, ularga qarshi qanday nazorat kerakligini tanlaydi, keyin tanlovni Annex A ilovasidagi toʻplam bilan solishtiradi va qoʻllanish bayonnomasini tuzadi. IAF hujjatiga koʻra, solishtirishdan maqsad zarur nazorat tasodifan tushib qolmaganiga ishonch hosil qilish. Demak, Annex A nazoratlar toʻplamini beradi, qaysilari kerakligini esa xavf baholash hal qiladi.

Bu mantiq amalda shunday koʻrinadi. Gipotetik holat: kichik kompaniya xavflar roʻyxatida mijoz bazasining maxfiyligini va buxgalteriya tizimining mavjudligini yuqori xavf deb belgiladi. Shundan keyin kirish nazorati, zaxira nusxa va jurnal yuritish nazoratlari tanlanadi, xavfi past narsalar uchun esa boshqa choralar yetarli boʻladi.

Jadvalda nazorat xavfdan chiqyapti, aksincha emas. Standart mantigʻi shunday: avval nima zarar yetkazishi mumkin, keyin qaysi nazorat buni kamaytiradi. Bu tahririyat talqini, ketma-ketlik esa IAF hujjatidagi tartibga mos.

IAF hujjati hujjatlashtirilgan axborotga alohida eʼtibor beradi. Oʻlchash, ichki audit, rahbariyat tahlili va nomuvofiqlikni tuzatish bandlarida bir xil ibora ishlatilgan: hujjatlashtirilgan axborot dalil sifatida mavjud boʻlishi kerak. Demak, nazorat ishlayotganini isbotlovchi yozuv tizimning bir qismi. Misol uchun ichki audit hisoboti yoki rahbariyat yigʻilishi bayoni shunday dalil boʻla oladi, bu tahririyat misoli.

Annex A va ISO/IEC 27002: 93 nazorat, toʻrt guruh

2022 yilgi nashrda Annex A ISO/IEC 27002:2022 dagi nazoratlarga havola qiladi, nazoratning sarlavhasi va matni bilan birga. 27002 alohida standart: ISO sahifasida u amaliy qoʻllanma deb tavsiflanadi va kirish nazorati, kriptografiya, kadrlar xavfsizligi va hodisalarga javob kabi mavzularni qamrab olishi aytiladi. Nazoratlar soni 114 dan 93 ga tushgan, 14 boʻlim oʻrniga toʻrtta guruh qolgan: 11 tasi yangi, 24 tasi birlashtirilgan, 58 tasi yangilangan.

Har bir nazoratda endi maqsad bayoni va atributlar bor, nazorat guruhlariga esa alohida maqsad yozilmaydi. Bu tanlash va asoslashni osonlashtiradi: tashkilot nazoratni nega tanlaganini maqsad bilan bogʻlab tushuntira oladi.

Yangi nazoratlar boshqa maqolalar mavzusiga tegadi. Biznes uzluksizligi uchun tayyorlik zaxira nusxa va tiklash bilan, faollikni kuzatish audit jurnali bilan, axborotni oʻchirish esa shaxsga doir maʼlumotni saqlash muddati bilan bogʻliq. Bu bogʻlanish tahririyat mulohazasi, chunki nazoratlarning toʻliq matni pullik va oʻqilmadi.

2022 nashrida nima oʻzgardi

IAF hujjati oʻzgarishlar roʻyxatini beradi va ularning koʻpi tahririy xarakterda. Asosiylari quyidagilar:

• Annex A endi ISO/IEC 27002:2022 dagi nazoratlarga havola qiladi.
• Manfaatdor tomonlarning qaysi talablari tizim orqali bajarilishini aniqlash bandi qoʻshilgan.
• Tizimga oʻzgartirishlar rejali tarzda kiritilishi haqida yangi band paydo boʻlgan.
• Aloqador atama oʻzgargan: autsorsing jarayonlar oʻrniga tashqaridan olinadigan jarayon, mahsulot va xizmatlar deyiladi.
• Ichki audit va rahbariyat tahlili boʻlimlarining ichki bandlari nomlangan va qayta tartiblangan.

Hujjatning xulosasi muhim: tizimni allaqachon yuritayotgan tashkilotlar uchun taʼsir katta boʻlishi shart emas. Asosiy ish nazoratlar roʻyxatini yangi tuzilma bilan solishtirish va qoʻllanish bayonnomasini yangilashdan iborat.

Sertifikat nimani koʻrsatadi

Sertifikatni mustaqil sertifikatlovchi organ beradi. ISO sahifasida aytilishicha, sertifikat tashkilot axborotni xavfsiz boshqarishga tayyor va qodir ekanini koʻrsatish usullaridan biri. Akkreditatsiyalangan organ sertifikati qoʻshimcha ishonch beradi, chunki akkreditatsiya organi sertifikatlovchi organning malakasini mustaqil tasdiqlagan. Standartga muvofiqlikni sertifikatsiz ham yuritish mumkin: kompaniyalar sertifikatlashdan oʻtishni oʻzlari hal qiladi.

Sertifikat bir martalik emas. Sertifikatlovchi organ davriy nazorat auditlarini va qayta sertifikatlash auditlarini oʻtkazadi, IAF hujjati esa 2022 nashrga oʻtish auditini shularning ichida bajarishga ruxsat beradi. Oʻsha hujjat yana bir talab qoʻyadi: oʻtish auditi faqat hujjatlarni oʻqishga tayanmasligi kerak, ayniqsa texnologik nazoratlarni koʻrib chiqishda. Demak, auditor qogʻozdagi qoidani emas, uning amalda ishlashini ham tekshiradi.

Sertifikatning hajmi ham katta: ISO Survey 2022 maʼlumotiga koʻra, 150 mamlakatda 70 mingdan ortiq sertifikat qayd etilgan. Eng koʻp sertifikat axborot texnologiyalari sohasida: ISO Survey 2021 ga koʻra amaldagi sertifikatlarning deyarli beshdan biri shu sohaga tegishli, qolganlari xizmat koʻrsatishdan ishlab chiqarishgacha boshqa tarmoqlarda. Bunday keng tarqalganlik sertifikatni oʻqish odatini muhim qiladi.

Sertifikat nimani koʻrsatmaydi

Birinchidan, sertifikat hodisa boʻlmasligini bildirmaydi. ISO sahifasi tizim manfaatdor tomonlarga xavflar yetarlicha boshqarilayotganiga ishonch berishini aytadi, mutlaq himoya haqida gap yoʻq. Ishonch esa nazoratlar amalda ishlayotgani, odamlar qoidaga rioya qilayotgani va xavflar oʻz vaqtida yangilanayotganiga bogʻliq.

Ikkinchidan, sertifikat tashkilot tanlagan qamrov va tanlagan nazoratlar uchun beriladi. Bu tahririyat mulohazasi: sertifikatda qamrov, nashr yili va sertifikatlovchi organ nomi koʻrinishi kerak, qoʻllanish bayonnomasini esa tashkilotning oʻzidan soʻrash mumkin. Standartning qamrov haqidagi bandi matni pullik, shuning uchun uni oʻqimadik.

Sertifikat shartnomadagi masʼuliyatni ham olib tashlamaydi. Hamkor sertifikatli boʻlsa ham, siz bergan maʼlumot qaysi nazoratlar ostida turishi shartnomada va savolnomada aniqlanishi kerak, chunki sertifikat butun kompaniyaga emas, tanlangan qamrovga beriladi, qamrovga esa sizning xizmatingiz kirmasligi mumkin. Bu tahririyat mulohazasi.

Uchinchidan, nashr yili. IAF hujjatiga koʻra, yangi sertifikatlash 2024 yil 30 apreldan faqat 2022 nashr boʻyicha boshlangan, sertifikatlovchi organlar esa mijozlarini 2025 yil 31 oktyabrgacha oʻtkazishi kerak edi. Demak, 2026 yil oktyabrida 2013 yilgi nashrga tayangan sertifikatning muddati oʻtgan va uning holatini sertifikatlovchi organdan aniqlash kerak. Sertifikatlovchi DQS ham 2013 yilgi sertifikatlar 2025 yil 31 oktyabrdan oshmay amal qilishini yozadi.

Standartga yana bir oʻzgartirish 2024 yilda kiritilgan: ISO sahifasida 1-oʻzgartirish iqlim bilan bogʻliq oʻzgarishlar deb ataladi. Uning matni ham alohida sotiladi, shuning uchun bu yerda faqat mavjudligi aytiladi.

Amalda nima qilish mumkin

Bu qadamlar manbalardagi mantiqdan chiqarilgan tahririyat xulosasi, tayyor protokol emas.

1. Hamkorning sertifikatini koʻrganda toʻrt narsani aniqlang: qamrov, standart nashri, sertifikatlovchi organ va amal qilish muddati.
2. Oʻz tizimingizni qurmoqchi boʻlsangiz, nazoratlar roʻyxatidan emas, xavflar roʻyxatidan boshlang.
3. Har tanlangan nazorat uchun masʼul odam va uning ishlayotganini koʻrsatadigan yozuv belgilang.
4. Ichki auditni va rahbariyat tahlilini rejaga kiriting, chunki ular standartning 9-boʻlimidagi talab.
5. Sertifikatlash alohida qaror ekanini unutmang: tizim sertifikatsiz ham ishlashi mumkin, sertifikat esa uni tashqariga koʻrsatadi.