Trio מלווה ארגונים בהיערכות ל־ISO 27001, ממיפוי הפערים וניהול הסיכונים, דרך מדיניות ובקרות ועד הכנה מסודרת לביקורת החיצונית.
מגדירים גבולות, מערכות ובעלי תפקידים וממפים את נקודת הפתיחה
מזהים סיכונים, מדרגים אותם ובונים תוכנית טיפול
מתאימים מדיניות, אחריות ובקרות לאופן שבו הארגון עובד
מרכזים תיעוד, ראיות ופערים פתוחים לקראת הביקורת החיצונית
אחריות, תעדוף ותוכנית עבודה מסודרת
זיהוי פערים וחיבור להשפעה העסקית
נהלים, בקרות והיערכות לדרישות
ISO/IEC 27001 מגדיר דרישות להקמה, יישום, תחזוקה ושיפור מתמשך של מערכת לניהול אבטחת מידע (ISMS). המשמעות היא חיבור בין סיכונים, מדיניות, תהליכים, אנשים ובקרות.
ארגון שנכנס לתהליך צריך להבין מה נמצא בתוך ה־Scope, אילו נכסי מידע ותהליכים קריטיים קיימים, מהם הסיכונים הרלוונטיים, אילו בקרות נדרשות ואיך מוכיחים שהן פועלות לאורך זמן. ההתעדה עצמה מתבצעת על ידי גוף ביקורת או התעדה חיצוני. Trio מלווה את ההיערכות והיישום לקראת התהליך.
כשלקוח גדול או שותף דורש הוכחת בגרות באבטחת מידע.
כאשר תקן אבטחת מידע הופך לתנאי במכרז או בתהליך רכש.
כשהארגון גדל ורוצה להפוך ידע ותהליכים לא מתועדים למסגרת מסודרת.
כאשר הארגון מחזיק מידע רגיש, עובד בענן או מרחיב את האחריות על מידע של לקוחות ועובדים.
כשההנהלה רוצה שיטה ברורה לניהול סיכונים, בקרות, אחריות וביקורות.
המטרה אינה להוסיף עוד כלי — אלא להבין איפה נמצאים הפערים, מה דורש טיפול קודם ואיזו שכבת הגנה באמת נותנת ערך.
העבודה מתרגמת את דרישות התקן למיפוי פערים, החלטות, מסמכים ובקרות שאפשר ליישם ולעקוב אחריהם בתוך הארגון.
הגדרת היקף המערכת, בעלי התפקידים, המערכות והמידע הרלוונטיים, לצד תמונת מצב של הפערים מול הדרישות.
זיהוי ודירוג סיכונים, החלטות טיפול וסדר עדיפויות שמחבר בין הסיכון לבין הפעולות הנדרשות.
כתיבה או התאמה של נהלים שמגדירים אחריות, תהליכי עבודה וכללים בתחומים הרלוונטיים לארגון.
בחינה והטמעה של בקרות ארגוניות וטכנולוגיות בהתאם לפערים, לסיכונים ול־Scope שנקבע.
ריכוז תיעוד שמראה כיצד תהליכים ובקרות פועלים בפועל ולא רק כיצד הם מוגדרים במסמכים.
הגדרת מי אחראי על כל תחום, מי מאשר החלטות ומי צריך לתחזק את המערכת לאורך זמן.
מעבר מסודר על הפערים שנותרו, התיעוד והבקרות לפני הכניסה לביקורת החיצונית.
הכנת הצוות והחומרים הדרושים כך שהארגון יוכל להציג בצורה מסודרת את מערכת הניהול והבקרות שלו.
בניית דרך עבודה שמאפשרת לעדכן סיכונים, בקרות ותיעוד גם לאחר סיום תהליך ההתעדה.
היקף העבודה משתנה מארגון לארגון, אבל התהליך צריך להתקדם לפי סדר ברור שמאפשר להבין מה קיים, מה חסר ומה דורש טיפול לפני הביקורת.
היעד הוא לא רק להגיע לביקורת. היעד הוא להשאיר בארגון מערכת ניהול שאפשר לתחזק, למדוד ולשפר לאורך זמן.
מגדירים את מטרת התהליך, גבולות המערכת, בעלי התפקידים והמערכות הרלוונטיות וממפים פערים מול הדרישות.
מזהים ומדרגים סיכונים, קובעים סדרי עדיפויות ובונים תוכנית מסודרת לסגירת הפערים.
מעדכנים מדיניות ונהלים, מיישמים בקרות ארגוניות וטכנולוגיות ומרכזים אחריות ותיעוד.
עוברים על המוכנות, מטפלים בפערים שנותרו ומכינים את הצוות והמסמכים לקראת הביקורת החיצונית.
חשוב להגדיר מראש מהו היעד של הארגון. ISO/IEC 27001 הוא תקן למערכת ניהול אבטחת מידע. SOC 2 הוא תהליך ביקורת שמוביל לדוח Assurance, ו־GDPR היא רגולציה אירופית להגנת מידע אישי. אלה מסגרות שונות גם כאשר חלק מהעבודה והבקרות יכולות לחפוף.
Trio מלווה את ההיערכות, מיפוי הפערים והיישום. הביקורת והחלטת ההתעדה מבוצעות על ידי גוף חיצוני מתאים.
תהליך היערכות טוב לא מסתיים בכתיבת נהלים. הוא צריך לחבר בין סיכונים, אנשים, תשתיות, מערכות ובקרות ולהפוך אותם לדרך עבודה שאפשר לנהל לאורך זמן.
החיבור של Trio לעולמות הסייבר, ה־IT, הענן והשירותים המנוהלים מאפשר לבחון את דרישות התקן גם מול הסביבה הטכנולוגית שבה הן צריכות לעבוד בפועל.
מסתכלים על הדרישה הניהולית וגם על המערכות, התהליכים והבקרות שצריכים לתמוך בה.
מתחילים מהפערים והסיכונים של הארגון ובונים סדר עבודה ריאלי במקום ליישם רשימה גנרית.
עבודה ישירה עם ההנהלה והצוותים המקצועיים לאורך המיפוי, ההטמעה וההכנה לביקורת.
סקר סיכונים, CISO as a Service, Trio Cyber 360 ושירותי אבטחה נוספים יכולים להשתלב כאשר הם נדרשים לסגירת הפערים.
ISO/IEC 27001 הוא תקן בינלאומי שמגדיר דרישות למערכת ניהול אבטחת מידע (ISMS). הוא מתמקד בניהול סיכונים, מדיניות, אחריות, בקרות ושיפור מתמשך ולא רק בפתרונות טכנולוגיים.
לא. Trio מלווה את הארגון בתהליך ההיערכות, מיפוי הפערים והיישום. הביקורת והחלטת ההתעדה מבוצעות על ידי גוף חיצוני מתאים.
בדרך כלל התהליך כולל הגדרת Scope, סקר פערים, ניהול סיכונים, כתיבה או התאמה של מדיניות ונהלים, יישום בקרות, איסוף ראיות והכנה לביקורת. היקף העבודה בפועל משתנה לפי הארגון והמסגרת.
ISO 27001 הוא תקן למערכת ניהול אבטחת מידע שניתן להתעדה. SOC 2 הוא תהליך ביקורת שמוביל לדוח Assurance על בקרות בארגון שירות בהתאם ל־Trust Services Criteria. אלה מסגרות שונות, גם אם חלק מהבקרות והעבודה יכולות לחפוף.
לא. GDPR היא רגולציה אירופית להגנת מידע אישי. היא יכולה להיות רלוונטית לצד ISO 27001 בתהליכי פרטיות וציות, אבל אין להתייחס אליה כתקן ISO או כתהליך התעדה זהה.
משך התהליך תלוי בגודל הארגון, ב־Scope, בכמות הפערים, במוכנות הנהלים והבקרות ובזמינות בעלי התפקידים. נכון לקבוע לוחות זמנים לאחר מיפוי ראשוני של המצב הקיים.
מערכת ניהול אבטחת מידע דורשת תחזוקה ושיפור לאורך זמן. יש לעדכן סיכונים, בקרות, תיעוד ותהליכים בהתאם לשינויים בארגון ובסביבה.
ספרו לנו מה מטרת התהליך, למשל דרישת לקוח, מכרז, ביקורת, צמיחה או שיפור פנימי, ונוכל למפות את נקודת הפתיחה ואת היקף הליווי הנכון.
076-5993076 · הרוקמים 25, חולון
אנו משתמשים בעוגיות לצורך תפעול האתר, ניתוח נתונים ושיפור חוויית המשתמש. בלחיצה על כפתור האישור או בהמשך הגלישה באתר, הנך מסכים/ה לשימוש בעוגיות בהתאם למדיניות הפרטיות. מדיניות הפרטיות.
