Sertifikāts par atbilstību ISO/IEC 27001 apliecina uzņēmuma informācijas drošības pārvaldības sistēmas atbilstību standarta prasībām. Tas, ka sertifikātu ir izsniegusi neatkarīga trešās puses sertifikācijas institūcija, apliecina uzņēmuma klientiem, ka uzņēmumā ir izveidoti, ieviesti un tiek īstenoti pasākumi informācijas aizsardzībai no nesankcionētas pieejas.
Standartā ir lietota procesu pieeja uzņēmuma informācijas drošības pārvaldības sistēmas izveidei, ieviešanai, darbībai, monitoringam, pārskatīšanai, uzturēšanai un pilnveidei.
Starptautiskais standarts ISO/IEC 27001 ir vispārīgs, izstrādāts Starptautiskās standartizācijas organizācijas (ISO) tehniskajā komitejā JTC 1/SC 27. Kaut arī tā izstrādes pamatā ir britu standarts BS 7799, standarts ISO/IEC 27001 ir savietojams ar citu vadības sistēmu standartiem un to var lietot integrētu vadības sistēmu veidošanai. Standartā ietvertas arī atsevišķas jaunas prasības, piemēram, rīcības incidentu gadījumos un informācijas drošības mērīšanas sistēma.
ISO/IEC 27001 ir ērti lietojams kopā ar standartiem ISO/IEC 17799:2005, ISO 13335, ISO/IEC TR 18044:2004 un OECD vadlīnijām „OECD Guidelines for Security of Information Systems and Networks – Towards a culture of security”.
Uzņēmuma resursu aizsardzība
Standarta tematikas vispusīgā pieeja informācijas drošības aspektiem ļauj aptvert dažādus resursus, piemēram, digitālo informāciju, informāciju drukātos dokumentos, datorus un datortīklus, darbinieku individuālās zināšanas.
ISO/IEC 27001 iekļautas prasības, sākot ar darbinieku kompetences attīstību līdz datoru tehniskai aizsardzībai pret krāpniecības vai ielaušanās mēģinājumiem. Standartā iekļauto prasību īstenošanu uzņēmumā raksturo:
konfidencialitāte - nodrošina, ka informācija ir pieejama tikai pilnvarotiem lietotājiem;
integritāte – informācijas un informācijas apstrādes metožu pilnīguma un precizitātes nodrošināšana;
pieejamība – pilnvarotiem lietotājiem ir nodrošināta pieeja informācijai un ar to saistītiem resursiem.
Savietojams ar citiem vadības sistēmu standartiem
Standarts ISO/IEC 27001 ir savietojams ar citiem vadības sistēmu standartiem, un tas ir īpaši nozīmīgi, veidojot integrētas vadības sistēmas. Šīs savietojamības rezultāts ir:
harmonizācija ar citiem vadības sistēmu standartiem, piemēram, ISO 9001 un ISO 14001;
informācijas drošības pārvaldības procesu nepārtraukta pilnveidošana;
skaidras dokumentācijas (t.sk., pierakstu) minimālās prasības;
efektīvs „Plāno – Dari – Vērtē – Rīkojies” (Plan,Do,Check,Act) modeļa lietojums.
Ar ko sākt?
Lai veiktu trešās puses sertifikāciju, uzņēmumā jāizveido efektīva informācijas drošības pārvaldības sistēma, kas atbilst standarta prasībām. Tas ir pirmais solis ceļā uz sertifikāciju.