ISO/IEC 27001 • INFORMATION SECURITY MANAGEMENT
ליווי והכנה להסמכת ISO/IEC 27001
QualiX מלווה ארגונים בהקמה והטמעה של מערכת ניהול אבטחת מידע (ISMS) — ממיפוי הפערים והערכת הסיכונים ועד למבדק הפנימי וההכנה למבדק ההסמכה.
INFORMATION SECURITY MANAGEMENT
ISO/IEC 27001 – מערכת ניהול אבטחת מידע והערך לארגון
ISO/IEC 27001:2022 הוא התקן הבינלאומי למערכת ניהול אבטחת מידע (Information Security Management System – ISMS), המספק מסגרת להקמה, יישום, החזקה ושיפור מתמיד של המערכת. התקן מוכר ונקרא לעיתים גם בקיצור ISO 27001.
מערכת הניהול מחברת בין הפעילות, הסיכונים והבקרות לבין האחריות הניהולית והמעקב אחר אפקטיביות המערכת — ולא מצטמצמת לאוסף מסמכים או בקרות נפרדות.
אבטחת מידע אפקטיבית אינה נשענת רק על טכנולוגיה — היא משלבת אנשים, תהליכים, מערכות וניהול סיכונים במסגרת ניהולית אחת.
הערך הארגוני של מערכת ניהול אבטחת מידע
מערכת ניהול אבטחת מידע סדורה מסייעת לארגון לנהל את סיכוני המידע שלו, לעמוד בדרישות הרלוונטיות וליצור בסיס לשיפור מתמיד.
ניהול סיכוני אבטחת מידע
זיהוי, הערכה, טיפול ומעקב שיטתי אחר סיכוני אבטחת המידע הרלוונטיים לארגון.
הגנה על מידע קריטי
תמיכה בשמירה על סודיות, שלמות וזמינות המידע, בהתאם לצרכי הארגון ולסיכונים שזוהו.
דרישות לקוחות והתקשרויות
מענה לדרישות של לקוחות, מכרזים, התקשרויות ושרשראות אספקה במקרים שבהם נדרשת הסמכה או שהיא מספקת הבטחה רלוונטית.
ממשל, אחריות ובקרה
הגדרה ברורה של מדיניות, אחריות, בקרות ומעקב ניהולי בתחום אבטחת המידע.
אמון והצגת ניהול שיטתי
מערכת סדורה מסייעת לארגון להציג גישה שיטתית לניהול אבטחת מידע מול לקוחות ובעלי עניין.
שיפור מתמיד וחוסן ניהולי
מדידה, בחינה ושיפור מתמיד של מערכת ניהול אבטחת המידע לאורך זמן.
ORGANIZATIONAL FIT
האם ISO/IEC 27001 מתאים לארגון שלכם?
ISO/IEC 27001 מתאים לארגונים המבקשים לנהל באופן שיטתי את סיכוני אבטחת המידע, להגן על מידע ונכסים קריטיים ולתת מענה לדרישות רלוונטיות של לקוחות, התקשרויות ושרשראות אספקה.
- לקוחות או שותפים דורשים הסמכת ISO/IEC 27001 או מערכת ניהול אבטחת מידע
- אבטחת מידע מהווה תנאי במכרז, בהתקשרות או מול גופים מוסדיים
- הארגון מנהל מידע רגיש, מידע של לקוחות או נכסי מידע קריטיים לפעילות
- הפעילות נשענת על שירותי טכנולוגיה, SaaS ומערכות מידע
- קיימת תלות בספקים, בקבלני משנה ובצדדים שלישיים בעלי גישה למידע
- הארגון גדל ונדרש להסדיר אחריות ותהליכי אבטחת מידע
- נדרשת הכנה מסודרת להסמכה חיצונית
מתאים במיוחד לארגונים בתחומים כגון:
התקן אינו חובה כשלעצמו ואינו מיועד רק לחברות טכנולוגיה — הצורך נובע מדרישות לקוחות, התקשרויות ומכרזים, או מהרצון לנהל את סיכוני אבטחת המידע באופן שיטתי.
היקף המערכת נקבע בהתאם לפעילות, למידע, למערכות, לממשקים ולסיכונים של הארגון.
RISK-BASED ISMS
מערכת ניהול אבטחת מידע מבוססת סיכונים
המערכת אינה מתחילה ברשימת בקרות גנרית — אלא בהיקף, בסיכונים ובהחלטות טיפול, ומשם אל הבקרות הרלוונטיות ותיעודן.
מערכת ניהול אבטחת מידע לפי ISO/IEC 27001 נבנית מהארגון כלפי הבקרות: הארגון מגדיר את היקף ה-ISMS, מעריך את סיכוני אבטחת המידע הרלוונטיים לו, קובע את אופן הטיפול בסיכונים, בוחר את הבקרות המתאימות ומתעד את ישימותן באמצעות הצהרת הישימות.
מה מערכת הניהול מחברת
תחומים אלה ממחישים את האלמנטים שמערכת הניהול מחברת — ואינם מחליפים את דרישות התקן.
ניהול וטיפול בסיכוני אבטחת מידע
- 01זיהוי סיכונים
- 02ניתוח והערכת סיכונים
- 03הערכת רמת סיכון ותעדוף
- 04טיפול בסיכונים
- 05בחירת בקרות
- 06מעקב ובחינה מחדש
שיטת ההערכה, קריטריוני קבלת הסיכון ואופן הטיפול נקבעים בהתאמה לארגון, להקשרו, למידע ולסיכוניו — התקן אינו מכתיב מתודולוגיה אחת.
סיכון שיורי שנותר לאחר הטיפול מתועד ומוכרע בהתאם לקריטריוני קבלת הסיכון שהארגון הגדיר, תוך מעקב ובחינה מחדש לאורך זמן.
בחינת בקרות Annex A והצהרת הישימות
Annex A מספק מערך בקרות אבטחת מידע שהארגון בוחן במסגרת הקמת המערכת. הבקרות נבחנות מול הסיכונים שזוהו ומול החלטות הטיפול — ואינן רשימה שכל בקרה בה חייבת להיות מיושמת אוטומטית.
הצהרת הישימות (SoA) מרכזת את הבקרות הרלוונטיות למערכת, את סטטוס היישום שלהן ואת ההצדקה להכללה או לאי-הכללה של בקרות Annex A — וכך מחברת את החלטות הטיפול בסיכונים לבקרות שהוגדרו בפועל.
אבטחת מידע בזמן שיבוש — המערכת מתייחסת גם לשמירה על אבטחת המידע במהלך שיבוש ולמוכנות מערכות ה-ICT לתמיכה בהמשכיות העסקית, באמצעות הבקרות A.5.29 וA.5.30, בהתאם לרלוונטיותן לארגון. הרחבת המענה לרמת הארגון כולו זמינה במסגרת שירותי המשכיות עסקית.
FROM ASSESSMENT TO CERTIFICATION
מהמצב הקיים ועד למוכנות להסמכה
QualiX מלווה בהקמת מערכת ניהול אבטחת המידע ובהכנה למבדק. הארגון אחראי להחלטות וליישום הבקרות, וגוף התעדה חיצוני מחליט על הענקת התעודה.
מיפוי ראשוני ו-Gap Analysis
הבנת הפעילות, המצב הקיים והפערים מול דרישות ISO/IEC 27001.
הגדרת היקף ה-ISMS וההקשר הארגוני
הגדרת תחולת מערכת ניהול אבטחת המידע, ממשקים, בעלי עניין ודרישות רלוונטיות.
הערכת סיכוני אבטחת מידע
הגדרת שיטת ההערכה, זיהוי, ניתוח והערכת הסיכונים בהתאם להקשר הארגוני.
טיפול בסיכונים, בקרות ו-SoA
גיבוש תכנית טיפול בסיכונים, בחינת בקרות רלוונטיות והכנת Statement of Applicability.
מדיניות, תהליכים והטמעת המערכת
בניית המדיניות, הנהלים והמידע המתועד הנדרש, הגדרת אחריות, הטמעת בקרות והדרכה ומודעות בהתאם לצורך.
מבדק פנימי, סקר הנהלה וסגירת פערים
בחינת יישום ואפקטיביות המערכת, מבדק פנימי, סקר הנהלה וטיפול באי-התאמות או בפערים שנמצאו.
הכנה וליווי למבדק ההסמכה
בחינת מוכנות, השלמת פערים והכנת הארגון למבדק גוף ההתעדה החיצוני.
מיפוי ראשוני ו-Gap Analysis
הבנת הפעילות, המצב הקיים והפערים מול דרישות ISO/IEC 27001.
הגדרת היקף ה-ISMS וההקשר הארגוני
הגדרת תחולת מערכת ניהול אבטחת המידע, ממשקים, בעלי עניין ודרישות רלוונטיות.
הערכת סיכוני אבטחת מידע
הגדרת שיטת ההערכה, זיהוי, ניתוח והערכת הסיכונים בהתאם להקשר הארגוני.
טיפול בסיכונים, בקרות ו-SoA
גיבוש תכנית טיפול בסיכונים, בחינת בקרות רלוונטיות והכנת Statement of Applicability.
מדיניות, תהליכים והטמעת המערכת
בניית המדיניות, הנהלים והמידע המתועד הנדרש, הגדרת אחריות, הטמעת בקרות והדרכה ומודעות בהתאם לצורך.
מבדק פנימי, סקר הנהלה וסגירת פערים
בחינת יישום ואפקטיביות המערכת, מבדק פנימי, סקר הנהלה וטיפול באי-התאמות או בפערים שנמצאו.
הכנה וליווי למבדק ההסמכה
בחינת מוכנות, השלמת פערים והכנת הארגון למבדק גוף ההתעדה החיצוני.
OUTCOME
מה נשאר בארגון בסיום הליווי?
בסיום הליווי נשארת בארגון מערכת ניהול אבטחת מידע ישימה, מנגנוני בקרה ומוכנות לתהליך ההסמכה.
מערכת ניהול אבטחת מידע מותאמת לארגון
מסגרת ISMS, מדיניות ותהליכים המותאמים להיקף, לפעילות ולסיכוני הארגון.
ניהול סיכונים ובקרות
מנגנון לניהול סיכוני אבטחת מידע, תכנית טיפול בסיכונים ובקרות בהתאם לצורך.
מוכנות להסמכה
מבדק פנימי, סקר הנהלה, סגירת פערים והיערכות למבדק גוף ההתעדה.
במסגרת המערכת נעשית התייחסות מעשית לתחומים הרלוונטיים לפעילות הארגון — ובהם מבנה ואחריות, ניהול ספקים וצדדים שלישיים, ניהול אירועי אבטחת מידע, בקרת גישה ונכסי מידע, מדידה, רישומים ושיפור — כך שהמערכת משתלבת בפעילות בפועל ולא נשארת מסמכים בלבד.
התוצרים והיקף הליווי הסופיים יוגדרו בהצעת המחיר בהתאם למצב הארגון ולדרישות התקן. הארגון אחראי להקצאת בעלי תפקידים, למסירת מידע וליישום ההחלטות והבקרות בפועל. מבדק ההתעדה, ההחלטה על הענקת התעודה ועלויות גוף ההתעדה אינם נכללים אוטומטית בשירותי הייעוץ, אלא אם הוסכם אחרת במפורש.
מידע ושירותים קשורים
שירותים משלימים
FAQ
שאלות נפוצות על ISO/IEC 27001
מוכנים להתחיל?
הסמכה ל־ISO/IEC 27001 לארגון שלכם
מעוניינים בליווי מקצועי לקראת הסמכת ISO/IEC 27001? נבחן את היקף המערכת, המצב הקיים והפערים המרכזיים לצורך התאמת מסלול הליווי לקראת מוכנות להסמכה.
KNOWLEDGE
מאמרים מקצועיים באיכות ותקינה
מאמרים ומדריכים מקצועיים על מערכות ניהול, תקינה, מבדקים ושיפור תהליכים.
ISO 27001 – המדריך המלא לניהול אבטחת מידע
פריצות סייבר ודליפות מידע הם כבר לא רק "בעיה של ה-IT". כיצד תגנו על הנכס הדיגיטלי שלכם ותהפכו אבטחת מידע ליתרון תחרותי.
לקריאת המאמרמהי המשכיות עסקית ולמה היא קריטית יותר מתמיד?
המשכיות עסקית היא הרבה מעבר לגיבוי נתונים. מדריך מלא לבניית תוכנית BCP — מניתוח השפעה עסקית ועד תרגול ושיפור מתמיד.
לקריאת המאמרCOMPLEMENTARY SERVICES
שירותים משלימים
CONTACT
ספרו לנו על הצורך שלכם
השאירו פרטים וציינו את השירות המבוקש, תחום הפעילות והיקף הארגון או הפרויקט. נבחן את הצורך וניצור קשר לתיאום השלב הבא.