Керована безпека й комплаєнс (ISO 27001 тощо)

Представник німецької автомобільної промисловості, що займається розробкою бортових автомобільних систем, звернувся до нас з метою впровадження відповідності ISO 27001 та ENX Trusted Information Security Assessment Exchange (ENX TISAX®) у стислі терміни. Висока конкуренція на ринку автомотів-систем (систем безпеки, пілотування, навігаційних та розважальних систем тощо) змушує провідних автовиробників (Volkswagen-Audi Group, Porsche, Daimler AG, BMW, Bosch тощо) та їхніх підрядників форсувати виведення нових продуктів на ринок при збереженні рівня якості та безпеки. Це зумовило високу мотивацію нашого клієнта.

До цього клієнт намагався самостійно заповнювати форми відповідності ENX TISAX®, але відсутність необхідних компетенцій позбавила його змоги навіть почати процес впровадження належним чином.

Відповідність ENX TISAX®, хоча й побудована на основі ISO 27001, має свою специфіку. Наприклад, на відміну від аудиту ISO 27001, який може проходити кілька днів, аудитор ENX TISAX® проводить усього один день в офісі замовника. Зате потім близько 3 місяців вимагає та збирає докази щодо кожного процесу безпеки. Аудиторська звітність ENX TISAX® має на увазі високий ступінь автоматизації з використанням сучасних систем класу GRC (Governance, Risk management and Compliance).

Протягом перших 3 місяців після підписання договору з нашим клієнтом ми детально вивчили його бізнес-процеси та розробили близько 50 документів, необхідних для відповідності ISO 27001 та ENX TISAX®. У ході впровадження та аудиторської звітності ми використовували системи Redmine та Goriscon.

Всього від моменту старту проекту до отримання мітки відповідності ENX TISAX® пройшло 6 місяців напруженої спільної роботи наших консультантів та персоналу нашого клієнта. Ми провели кілька тренінгів, виконали ряд оцінок безпеки серверів і додатків, посилили мережеву безпеку, безпеку життєвого циклу систем, впровадили управління ризиками, ключові індикатори ефективності (KPI) безпеки, процеси управління змінами, інцидентами тощо.

Вбудовані процеси, операції та системи безпеки необхідно підтримувати постійно, щоб вони не втрачали ефективність, і тому наш клієнт замовив у нас послугу «Віддалений менеджер інформаційної безпеки». Ми продовжили проводити регулярні тренінги у клієнта, відстежувати події інформаційної безпеки, реагувати на інциденти безпеки, виконувати щоквартальне сканування вразливостей, проводити аудит вихідного коду програмного забезпечення, звітувати аудиторам та клієнтам нашого замовника тощо. Тобто, повністю виконувати функції менеджера інформаційної безпеки.

Наш замовник відзначив не тільки підвищення рівня безпеки в результаті виконання цього проекту. Під час управління активами, доступом та технічними вразливостями було виявлено неефективне використання систем, надмірний доступ, помилки конфігурації, що знижують продуктивність мережі тощо. В якості побічного ефекту проекту замовник оптимізував деякі свої ІТ-операції.

Отримання офіційного статусу відповідності ISO 27001 та ENX TISAX® дозволило нашому клієнту отримати нові довготривалі контракти в одного з гігантів німецького автопрому.

Дізнатися більше про впровадження та сертифікації VDA ISA та ENX TISAX®.

Невелика компанія-розробник програмного забезпечення в медичній сфері зіткнулася з вимогами своїх клієнтів. Вони хотіли, щоб компанія була сертифікована з ISO 27001. При цьому сертифікаційний орган повинен мати вищий міжнародний рівень акредитації UKAS.

Раніше в компанії приймалися тільки поверхневі заходи та велися лише епізодичні роботи, пов'язані з інформаційною безпекою, і тільки в області захисту серверів та робочих станцій. Ми негайно почали роботу з аналізу обсягу охоплення та деталізації плану робіт із первинного аудиту та геп-аналізу. Ми виконали цю роботу для клієнта безкоштовно. Після цього компанія побачила, що ми розуміємо її проблематику, і вміємо будувати реальні плани, та підписала з нами договір на аудит, геп-аналіз і розробку плану впровадження. За 3 тижні ми завершили цю роботу. Замовник черговий раз переконався, що наш досвід та швидкість роботи перевищують його очікування.

Після цього замовник уклав з нами договір на впровадження ISO 27001. За 6 місяців ми розробили всі контролі, що вимагаються стандартом, описали їх у 18 нормативних документах, впровадили ряд реєстрів з управління безпекою, провели навчання персоналу. Особливу увагу ми приділили безпечному життєвому циклу розробки програмного забезпечення.

Потім постало питання про вибір незалежного аудитора. Ми порекомендували нашому клієнту одну з найбільших німецьких аудиторських компаній. Ми зв'язалися з цією аудиторською компанією, а також завчасно провели з ним обговорення та підготовку до сертифікації нашого клієнта. Клієнт уклав із компанією-аудитором договір на аудит і сертифікацію.

Під час аудиту ми захищали нашого клієнта та побудовану нами систему управління інформаційною безпекою перед аудиторами. Вони зробили незначні зауваження, як це буває зазвичай. Ми врахували ці зауваження, і через 2 тижні наш клієнт отримав офіційний сертифікат ISO 27001.

З метою підтримки впровадженої системи та щорічного підтвердження сертифікату, компанія скористалася нашою послугою «Віддалений менеджер безпеки».

Також нашого клієнта зацікавили наші компетенції не тільки в процесному управлінні, а й в ІТ-безпеці. Компанія замовила в нас розширені послуги безпеки додатків, аналізу безпеки вихідних кодів та тестування на проникнення своїх програмних продуктів.

Отримані сертифікати відповідності ISO 27001 та успішного проходження оцінки безпеки компанія розмістила на своєму веб-сайті та в маркетингових матеріалах. Свій новий статус компанія прорекламувала та отримала значні конкурентні переваги, які виразилися у збільшенні кількості замовлень та продажів.

Дізнатися більше про стандарт ISO 27001.