בשנים האחרונות הפך ISO/IEC 27001 לאחד התקנים המובילים והמוכרים בעולם לניהול אבטחת מידע. ארגונים רבים נדרשים לעמוד בו כחלק מתנאי סף במכרזים, דרישות של לקוחות, עמידה ברגולציה או מתוך רצון להוכיח בגרות ארגונית ולחזק את אמון הלקוחות והשותפים העסקיים.
למרות הפופולריות הרבה של התקן, קיימת לעיתים תפיסה שגויה שלפיה מדובר באוסף נהלים או ברשימת מוצרי אבטחה שיש לרכוש ולהטמיע. בפועל, ISO/IEC 27001 אינו תקן טכנולוגי, אלא תקן להקמה, לניהול ולשיפור של מערכת ניהול אבטחת מידע – Information Security Management System – ISMS.
מטרת המערכת היא לאפשר לארגון לזהות את נכסי המידע שלו, להעריך את הסיכונים הנשקפים להם, לבחור אמצעי טיפול ובקרות מתאימות, למדוד את יעילותם ולבצע שיפור מתמיד. התקן אינו קובע אילו מוצרי אבטחה יש לרכוש או באילו טכנולוגיות להשתמש, אלא מספק מסגרת ניהולית המבוססת על הסיכונים, הצרכים והמאפיינים הייחודיים של כל ארגון.
תקן ISO/IEC 27001 מתאים כמעט לכל ארגון המחזיק מידע בעל ערך, ללא קשר לגודלו, לתחום פעילותו או למבנה הטכנולוגי שלו.
אחת הטעויות הנפוצות היא לחשוב שהתקן מיועד רק לארגוני Enterprise גדולים, כאשר בפועל מדובר במסגרת ניהולית גמישה שניתן להתאים גם לארגונים קטנים ובינוניים, בהתאם להיקף פעילותם, לסיכונים העומדים בפניהם ולמידע שעליו הם נדרשים להגן.
בין הארגונים שעבורם התקן עשוי להיות רלוונטי ניתן למצוא:
מטרתו המרכזית של תקן ISO/IEC 27001 היא לאפשר לארגון להגן על נכסי המידע שלו באמצעות הקמת מערכת ניהול מסודרת, המבוססת על הערכת סיכונים, יישום בקרות מתאימות ושיפור מתמיד של תהליכי אבטחת המידע.
התקן מתמקד בהגנה על שלושת עקרונות היסוד של אבטחת המידע:
מטרות אלו מושגות באמצעות שילוב של תהליכים ובקרות, ובהם:
למרות שלעיתים משווים בין ISO/IEC 27001 לבין SOC 2, מדובר בשתי מסגרות שונות, בעלות מטרות שונות וקהל יעד שונה. שתיהן עוסקות באבטחת מידע ובבניית אמון מול לקוחות, אך הדרך שבה הן עושות זאת שונה באופן מהותי.
| ISO/IEC 27001 | SOC 2 |
|---|---|
| תקן בינלאומי של ISO | מסגרת ביקורת של AICPA |
| מוביל להסמכת הארגון | מפיק דוח ביקורת עבור לקוחות |
| מבוסס על ISMS | מבוסס על Trust Services Criteria |
| מוכר ברחבי העולם | נפוץ בעיקר בארצות הברית |
| מעניק תעודת הסמכה | מעניק דוח ביקורת |
עבור ארגונים הפועלים בשוק האירופי או מול לקוחות בינלאומיים, ISO/IEC 27001 הוא בדרך כלל התקן המבוקש ביותר.
לעומת זאת, חברות SaaS או ספקי שירותים הפועלים מול לקוחות אמריקאים נדרשים לעיתים קרובות גם לעמידה במסגרת SOC 2, כחלק מדרישות הלקוחות והתקשרויות מסחריות.
בפועל, ארגונים רבים בוחרים ליישם את שני המסלולים במקביל. קיימת חפיפה בין חלק מהבקרות, ולכן יישום נכון של ISO/IEC 27001 עשוי להקל משמעותית על ההיערכות לביקורת SOC 2.
תקן ISO/IEC 27001 מורכב מעשרה סעיפים עיקריים ומנספח אחד – Annex A. לעיתים מתחילים להסביר את התקן מסעיף 4, ולכן עולה השאלה: “לאן נעלמו שלושת הסעיפים הראשונים?”
סעיפים 1–3 עוסקים במידע כללי על התקן, כגון תחום התחולה (Scope), מקורות ייחוס (Normative References) ומונחים והגדרות (Terms and Definitions). הם חשובים להבנת התקן, אך אינם כוללים את דרישות מערכת הניהול שעל פיהן מתבצעת ההסמכה.
סעיפים 4–10 (Clauses 4–10) הם לב התקן וכוללים את כלל הדרישות המחייבות שעל הארגון ליישם כדי לעמוד בהסמכה.
Annex A הוא נספח לתקן הכולל רשימת בקרות אבטחת מידע. הבקרות אינן מהוות רשימת חובה אחידה לכל ארגון, אלא מאגר שממנו בוחרים את הבקרות המתאימות בהתאם להערכת הסיכונים. כל החלטה להחיל או שלא להחיל בקרה מתועדת במסגרת Statement of Applicability (SoA).
סעיפים 4–10 מהווים את ליבת תקן ISO/IEC 27001 והם כוללים את כלל הדרישות המחייבות להקמה, לניהול ולשיפור של מערכת ניהול אבטחת המידע (ISMS). כל ארגון המבקש לקבל הסמכה נדרש לעמוד בדרישות סעיפים אלו.
מטרת הסעיף:
להבין את סביבת הפעילות של הארגון, את בעלי העניין, הדרישות החלות עליו ולהגדיר את תחום ההסמכה (Scope).
מה נדרש מהארגון?
להגדיר את גבולות מערכת ניהול אבטחת המידע, לזהות גורמים פנימיים וחיצוניים המשפיעים על הארגון ולהבין את דרישות בעלי העניין.
מטרת הסעיף:
להבטיח את מחויבות הנהלת הארגון להקמה, ליישום ולשיפור המתמיד של מערכת ניהול אבטחת המידע.
מה נדרש מהארגון?
להגדיר מדיניות אבטחת מידע, להקצות אחריות וסמכויות ולהבטיח שהנהלת הארגון מעורבת באופן פעיל בתהליך.
מטרת הסעיף:
לתכנן כיצד הארגון יזהה, יעריך ויטפל בסיכוני אבטחת המידע וכיצד יעמוד ביעדי מערכת הניהול.
מה נדרש מהארגון?
לבצע הערכת סיכונים, להגדיר תוכנית לטיפול בסיכונים, לקבוע יעדי אבטחת מידע ולתכנן כיצד יושגו.
מטרת הסעיף:
להבטיח שלארגון קיימים כלל המשאבים הדרושים להפעלת מערכת ניהול אבטחת המידע.
מה נדרש מהארגון?
להקצות משאבים מתאימים, להבטיח כשירות עובדים, לקיים מודעות והדרכות, לנהל תקשורת ולשלוט במידע המתועד של המערכת.
מטרת הסעיף:
ליישם בפועל את תהליכי ניהול הסיכונים ואת תוכנית הטיפול שנקבעה על ידי הארגון.
מה נדרש מהארגון?
לנהל את הפעילות השוטפת של מערכת אבטחת המידע, ליישם את הבקרות שנבחרו ולוודא שהטיפול בסיכונים מתבצע בהתאם לתכנון.
מטרת הסעיף:
לבחון האם מערכת ניהול אבטחת המידע משיגה את מטרותיה ופועלת באופן אפקטיבי.
מה נדרש מהארגון?
לבצע ניטור ומדידה, לקיים ביקורות פנימיות, לבצע סקר הנהלה ולבחון באופן שוטף את ביצועי מערכת הניהול.
מטרת הסעיף:
להבטיח שיפור מתמיד של מערכת ניהול אבטחת המידע לאורך זמן.
מה נדרש מהארגון?
לטפל באי־התאמות, לבצע פעולות מתקנות ולפעול באופן מתמשך לשיפור יעילות מערכת ניהול אבטחת המידע.
אחד השינויים המשמעותיים ביותר בגרסת ISO/IEC 27001:2022 נוגע לנספח Annex A. בגרסת 2013 כלל הנספח 114 בקרות, ואילו בגרסת 2022 מספרן צומצם
ל־93 בקרות. עם זאת, אין משמעות הדבר שהתקן “הקל” על הארגונים. מרבית השינוי נבע מאיחוד בקרות דומות, הסרת כפילויות וארגון מחדש של הנספח באופן ברור ופשוט יותר, כך שישקף טוב יותר את האיומים והטכנולוגיות של השנים האחרונות.
במקום חלוקה ל־14 קבוצות כפי שהיה בגרסת 2013, הבקרות מאורגנות כיום בארבע קבוצות מרכזיות:
למרות שמספר הבקרות הצטמצם מ־114 ל־93, מטרת השינוי הייתה להפוך את הנספח לברור, מודרני וקל יותר ליישום. חשוב לזכור כי Annex A הוא נספח לתקן ולא רשימת משימות קבועה. הארגון נדרש לבחור את הבקרות המתאימות בהתאם להערכת הסיכונים שלו, לדרישות העסקיות ולרגולציה החלה עליו, ולתעד את ההחלטות במסגרת Statement of Applicability (SoA).
תקן ISO/IEC 27001 מהווה הרבה מעבר לרשימת בקרות או לדרישה רגולטורית. הוא מספק מסגרת ניהולית סדורה לניהול סיכוני אבטחת מידע, המבוססת על תכנון, יישום, בקרה ושיפור מתמיד. הבנת מבנה התקן, הדרישות שבסעיפים 4–10 ותפקידו של Annex A, מאפשרת לארגונים ליישם מערכת ISMS אפקטיבית, לשפר את רמת ההגנה על נכסי המידע ולחזק את אמון הלקוחות, השותפים העסקיים ובעלי העניין לאורך זמן.
★ הבהרה: המידע המוצג במאמר זה נועד למטרות ידע כללי והעשרה מקצועית בלבד, ואינו מהווה ייעוץ מקצועי, משפטי, רגולטורי או טכני פרטני. מומלץ להיוועץ בגורם מקצועי לפני קבלת החלטות או יישום המידע. כל שימוש במידע המופיע במאמר זה הינו באחריותו הבלעדית של הקורא. ★