תקן אבטחת המידע ISO 27001, מבוסס על BS7799 ו-ISO 17799. התקן מספק מסגרת ממוסדת לניהול נושא אבטחת המידע בארגון ויישומו מאפשר סינכרון ותיאום הפעולות בתחום בין כלל יחידות החברה.
הגידול הרב שחל בשנים האחרונות בעולם ה-IT, הן בהיקפו והן במורכבותו, נתן את אותותיו בהתייחסות הארגונית לסוגיית אבטחת המידע. עם זאת, פעמים רבות, גם בחברות שהקימו מערכות של בקרות אבטחה, אלו יושמו בדרך כלל כפתרונות נקודתיים ולפיכך נטו להיות מבוזרות ובלתי מתואמות. יתרה מכך, נכסי מידע אחרים, שאינם בהכרח מעולם ה-IT, דוגמת ניירת או קניין רוחני, לצד תוכנית ההמשכיות העסקית (BCP) והאבטחה הפיזית, נוהלו באופן נפרד ופחות יסודי.
על רקע זאת, ב-2005, גובש תקן אבטחת המידע הבינלאומי ISO 27001, שנועד להוות מסגרת גג לניהול אבטחת המידע בארגון. בליבת התקן, הקמת מערכת ניהול אבטחת מידע (Information Security Management System) ארגונית עצמאית, אותה ניתן להעריך ולהסמיך. לצורך הקמת מערכת זו, התקן מכיל התייחסות ל-15 נושאי אבטחה שונים, בהם: מדיניות אבטחה, ניהול נכסים, אבטחת משאבי אנוש, בקרת גישה ועוד.
התקן מכסה את כל סוגי הארגונים הקיימים (מחברות מסחריות, דרך סוכנויות ממשלתיות ועד מלכ"רים) בכלל ההיקפים (מארגונים קטנים ועד חברות ענק בינלאומיות). הסמכה לתקן מוכיחה ללקוחות, לספקים ולבעלי העניין את מחויבותו העמוקה של הארגון לאבטחת מידע. מעבר לכך, להסמכה מספר ערכים מוספים חשובים:
- יצירת יתרון עסקי למול הזדמנויות הדורשות הסמכה חיצונית בנושא אבטחת המידע
- מיפוי מפורט של נכסי המידע הקריטיים של החברה ואפיון רמת חשיבות נכסים אלה לפי מודל ה-CIA) Confidentiality, Integrity, Availability).
- יצירת מנגנון מובנה, מסודר ומחייב לניהול אבטחת המידע ובפרט התנהלות שוטפת וסדירה של הארגון תוך שמירה על סודיות המידע הקריטי, זמינות המידע ומערכות המחשוב והקפדה על שלמות ונכונות המידע.
- הקטנת מידת החשיפה לסיכונים המתרבים בקצב אקספוננציאלי - פגיעה תדמיתית, חשיפה לתביעות, השלכות פיננסיות.
- יצירת מנגנון מעשי לתכנון נכון של תקציבי אבטחת מידע ותעדוף הקצאת המשאבים לנושא אבטחת המידע.
לאיי פי וי סקיוריטי צוות מומחים בעל ניסיון רב בהסמכה לתקן ISO 27001, המצוי בקשר שוטף עם נציגי ארגוני התקינה ותעשיית אבטחת המידע בעולם. התוצאה - התאמת מערכת ניהול סיכוני אבטחת המידע למאפייני הארגון (תקנים, רגולציה) בהליך יעיל וממוקד מחד גיסא, ושקיפות וישימות בכל רמות הארגון, מההנהלה ועד רמת העובד מאידך גיסא.
ניסיון ייחודי זה מאפשר, תוך שבועות בודדים, לבנות מערכת ניהול הכוללת מדיניות ונהלים בתחום אבטחת המידע לצורך התמודדות שוטפת עם מקורות האיום (פנימי, חיצוני, שותפים, וכו') המשתנים ומתרבים תדירות.
