ΠΡΟΤΥΠΟ ISO 27001: 2013

☆ Εμπειρία άνω των 10 ετών στην Συμβουλευτική Επιχειρήσεων ☆
*Σύμβουλοι Πιστοποίησης: ISO, HACCP, GDPR, Λοιπά Πρότυπα.

 Τα υψηλά ποσοστά (100%) επιτυχών πιστοποιήσεων αποτελούν την εγγύηση για την άριστη υποστήριξη από το γραφείο μας.

Αναλυτικές Πληροφορίες για Σύστημα Διαχείρισης Ποιότητας ISO 27001:2013

 ⬢ Οι τομείς που καλύπτει το ISO 27001

 ⬢ Οι απαιτήσεις του ISO 27001

 ⬢ Οφέλη από την εφαρμογή του Συστήματος Διαχείρισης ISO 27001:2013

 ⬢ Μέθοδος που ακολουθείται για την Πιστοποίησης

 ⬢ Χρονοδιάγραμμα για απόκτηση Πιστοποίησης

 ⬢ Οδηγός Κόστους Απόκτησης ISO 27001

 ⬢ Φορείς Πιστοποίησης ISO στην Ελλάδα 

⬢ Οι τομείς που καλύπτει το ISO 27001

Το ISO/IEC 27001 είναι ένα διεθνές πρότυπο για τον τρόπο διαχείρισης της ασφάλειας πληροφοριών. Το πρότυπο δημοσιεύθηκε αρχικά από κοινού από τον Διεθνή Οργανισμό Τυποποίησης και τη Διεθνή Ηλεκτροτεχνική Επιτροπή το 2005 και στη συνέχεια αναθεωρήθηκε το 2013. Η εισαγωγή του έλαβε χώρα το 1995, αποτελούμενο από πολλαπλά μέρη (αρχική έκδοση) ενώ η αναθεωρημένη έκδοση είναι η ISO 27001:2013.

Η εκάστοτε επιχείρηση οφείλει να εστιάσει σε συγκεκριμένους τομείς, όπως:

• Πολιτικές και Διαδικασίες Ασφάλειας Πληροφοριών (Data Breach)
• Δήλωση Εφαρμοσιμότητας (S.o.A - Statement of Applicability)
• Τεχνολογίες Επικοινωνιών και Πληροφορικής (προστασία δεδομένων, ασφαλή Υπολιγιστικά Συστήματα - hardware authentication)
• Προστασία Δεδομένων (Malware Software, Vulnerability Assessment, penetration testing)
• Εκτίμηση Κινδύνου (Risk Analysis)

Μια επιχείρηση/οργανισμός μπορεί να προχωρήσει στην εφαρμογή των Συστημάτων Διαχείρισης Ασφάλειας Πληροφοριών (ISO/IEC 27001:2013) πάνω στο θέμα της εφαρμογής Διαχείρισης Ασφάλειας Πληροφοριών για να εφαρμόσει τα ακόλουθα:

• Δημιουργία της κατάλληλης πολιτικής ασφάλειας των πληροφοριών βάσει των επιχειρησιακών στόχων.
• Διαμόρφωση διοικητικού πλαισίου πάνω στο οποίο εφαρμόζεται και ελέγχεται η ασφάλεια των πληροφοριών στην εταιρία.
• Λεπτομερής καταγραφή των εταιρικών πόρων και προσδιορισμός του επιπέδου ασφάλειας που απαιτείται για αυτούς τους πόρους.
• Μείωση κινδύνων από ανθρώπινο σφάλμα, κλοπή, απάτη ή κακή χρήση των εταιρικών πόρων.
• Διασφάλιση γνώσης προσωπικού για την πολιτική ασφάλειας των πληροφοριών και καθημερινή εφαρμογή.
• Αποτροπή της αναρμόδιας πρόσβασης, της ζημίας και της παρέμβασης στις επιχειρησιακές εγκαταστάσεις και τις πληροφορίες καθώς τυχόν απώλειας, ζημίας ή και διακοπής στις δραστηριότητες της εταιρείας.
• Εξασφάλιση της σωστής και ασφαλούς λειτουργίας των δυνατοτήτων επεξεργασίας πληροφοριών, ελαχιστοποίηση κινδύνου να τεθούν τα συστήματα πληροφορικής εκτός λειτουργίας, προστασία της ακεραιότητας του λογισμικού και των πληροφοριών, εξασφάλιση της προστασίας των πληροφοριών στα δίκτυα και τη σχετική υποδομή.
• Έλεγχος πρόσβασης στις πληροφορίες, εξασφάλιση προστασίας των δικτύων, αποτροπή αναρμόδιας πρόσβασης σε υπολογιστές, ανίχνευση αναρμόδιων δραστηριοτήτων.
• Η ενότητα αυτή έχει στόχο να εξασφαλίσει ότι η αναγκαία ασφάλεια εμπεριέχεται στο λειτουργικό σύστημα, να αποτρέψει την απώλεια, την τροποποίηση ή την κακή χρήση των στοιχείων χρηστών εφαρμογών, να εξασφαλίσει ότι τα προγράμματα και οι δραστηριότητες υποστήριξης διευθύνονται με έναν ασφαλή τρόπο.
• Διαμόρφωση τρόπου αντίδρασης σε διακοπές επιχειρησιακών δραστηριοτήτων και κρίσιμων επιχειρησιακών διαδικασιών που είναι αποτελέσματα σημαντικών αποτυχιών ή καταστροφών.
• Αποφυγή παραβιάσεων εγκληματικού ή αστικού δικαίου, νομικών, ρυθμιστικών ή συμβατικών υποχρεώσεων και οποιωνδήποτε απαιτήσεων ασφάλειας.

⬢ Οι απαιτήσεις του ISO 27001

Το ISO/IEC 27001 απαιτεί από μια επιχειρηματική μονάδα να καλύψει τομείς μέσα από 114 σημεία ελέγχου και προδιαγραφών απαιτήσεων για Διαχείριση Συστημάτων. Οι επιχειρηματικές μονάδες να προσαρμοστούν σε θέματα όπως:

• Πολιτικές Ασφάλειας Πληροφοριών.
• Οργάνωση Ασφάλειας Πληροφοριών (ρόλοι, αρμοδιότητες),
• Ενημέρωση και Εκπαίδευση Προσωπικού,
• Διαχείριση Υποδομής Πληροφορικής (Η/Υ, Server κά),
• Πολιτικές Κρυπτογράφησης, Φυσική Ασφάλεια/ Ασφάλεια Περιβάλλοντα Χώρου,
• Ασφάλεια Συστημάτων Πληροφορικής και Επικοινωνιών,
• Ανάπτυξη και Συντήρηση Συστημάτων,
• Σχέσεις με Προμηθευτές,
• Διαχείριση Συμβάντων Ασφαλείας,
• Διαχείριση Επιχειρησιακής Συνέχειας,
• Κατανόηση Κανονιστικού/ Νομικού Πλαισίου και Συμμόρφωση.

Με την πιστοποίηση οι Επιχειρήσεις και οι Οργανισμοί οφείλουν να τεκμηριώσουν ότι οι διαδικασίες και τα συστήματα είναι σύμφωνα με εθνικά ή διεθνή πρότυπα και κανονισμούς όσον αφορά: 

• Εφαρμογή πολιτικών που εξασφαλίζουν την ακεραιότητα, την εμπιστευτικότητα και τη διαθεσιμότητα των πληροφοριών.
• Εντοπισμό των κινδύνων και εφαρμογή ελέγχων για τη διαχείριση ή τη μείωσή τους.
• Άμεση αντιμετώπιση περιστατικών ασφάλειας πληροφοριών..
• Προστασία των συμφερόντων του οργανισμού και των συναλλασσομένων μερών.
• Ικανοποίηση κανονιστικών και νομοθετικών απαιτήσεων.

⬢ Οφέλη από την εφαρμογή του Συστήματος Διαχείρισης Ποιότητας ISO 27001:2013

Όλες οι επιχειρηματικές διαδικασίες βασίζονται σε Συστήματα Πληροφοριών για την ορθή λειτουργία των επιχειρήσεων. Τα κρίσιμα αυτά σημεία είναι συνεχώς ευάλωτα από σε  ένα συνεχώς αυξανόμενο κίνδυνο από ηλεκτρονικές απειλές για την ασφάλεια (data breach). Επιθέσεις όπως πειρατεία, παραβίαση του απορρήτου κτλ ενδέχεται να οδηγήσουν σε απώλεια πληροφοριών, κλοπή εμπιστευτικών δεδομένων ή βλάβη σε κρίσιμα συστήματα και έγγραφα. Το αποτέλεσμα είναι καταστροφικό για τις επιχειρήσεις καθώς ενδέχεται να υποστούν σοβαρές συνέπειες, συμπεριλαμβανομένων των οικονομικών επιπτώσεων και την διακινδύνευση της φήμης.

Το ISO/IEC 27001 προσφέρει μια συστηματική/ δομημένη προσέγγιση που προστατεύει την εμπιστευτικότητα των πληροφοριών, τη διασφάλιση της ακεραιότητας των δεδομένων μιας επιχείρησης και τη βελτίωση της διαθεσιμότητας των συστημάτων πληροφορικής. Με τον τρόπο αυτό βελτιώνεται η θέση της Επιχείρησης σε ποικίλους τομείς:

✓ Βελτίωση επιπέδου οργάνωσης και διοίκησης της επιχείρησης.
✓ Ενίσχυση επιχειρησιακής ετοιμότητας (ανάλυση κινδύνων και ευκαιριών).
✓ Καθορισμός στρατηγικής βάσει πολιτικής και στόχων.
✓ Δυνατότητα Συμμετοχής σε Διαγωνισμούς Δημοσίου.
✓ Ασφάλεια της πληροφορίων.
✓ Βελτίωση οργανωτικής δομής και καθορισμού καθηκόντων στο Οργανόγραμμα.
✓ Βελτίωση της Ποιότητας και δυνατότητα προσέλκυσης νέων πελατών.
✓ Βελτίωση του απασχολούμενου προσωπικού με Διαδικασίες εκπαίδευσης/ ενημέρωσης/ καθορισμού ευθυνών.
✓ Αποτελεσματικότερη διαχείριση αστοχιών και προβλημάτων.
✓ Βελτίωση τελικού Προϊόντος/ Υπηρεσίας & Αύξηση Παραγωγικότητας.
✓ Νομική συμμόρφωση μέσω καλύτερης κατανόησης των σχετικών θεσμικών και κανονιστικών απαιτήσεων.
✓ Μείωση του τελικού λειτουργικού κόστους σαν αποτέλεσμα της καλύτερης οργάνωσης.
✓ Βελτίωση της εικόνας της επιχείρησης στην αγορά σε τοπικό όσο και σε διεθνές επίπεδο.
✓ Δημιουργία αξιοπιστίας και ποιοτικής φήμης μέσω των πιο αναγνωρισμένων αρχών διαχείρισης της ποιότητας διεθνώς.
✓ Αύξηση κύκλου εργασιών με ταυτόχρονη μείωση των πάγιων και λειτουργικών εξόδων.
✓ Καλύτερος έλεγχος των επιχειρηματικών κινδύνων.

⬢ Μέθοδος που ακολουθείται για την Πιστοποίηση

⬢ Χρονοδιάγραμμα για απόκτηση Πιστοποίησης

Ο χρόνος που απαιτείται για την Ανάπτυξη και για την Πιστοποίηση ενός Συστήματος Διαχείρισης Ποιότητας διαφοροποιείται για κάθε επιχείρηση. Εξαρτάται από το μέγεθος, τη συμμετοχή των εμπλεκόμενων (απασχολούμενο προσωπικό), σε συνδυασμό με το επίπεδο οργάνωσης/ ετοιμότητας και σε σχέση με το βαθμό συμμόρφωσης με τις εκάστοτε απαιτήσεις της νομοθεσίας. 

Ο μέσος εκτιμώμενος χρόνος κυμαίνεται σε 1 - 2 μήνες, δεδομένου ότι δεν υπάρχει ιδιαίτερη πολυπλοκότητα διεργασιών και ότι ο Διαπιστευμένος Φορέας θα προβεί σε Επιθεώρηση εντός σύντομου χρονικού διαστήματος.

Ετήσια Ανανέωση Πιστοποιητικού

Κατόπιν μια επιτυχούς επιθεώρησης, η επιχείρηση λαμβάνει το σχετικό Πιστοποιητικό, το οποίο αποδεικνύει ότι καλύπτονται οι απαιτήσεις του εν λόγω Προτύπου, και ότι η Επιχείρηση διαθέτει τις οργανωτικές δομές, τα μέσα, καθώς και το εκπαιδευμένο προσωπικό για να εξασφαλίζεται μια σταθερή στάθμη ποιότητας των Προϊόντων ή και των Υπηρεσιών που προσφέρει.

Η περίοδος ισχύος ισχύει για 3 έτη κατά, όπου ο εκάστοτε Διαπιστευμένος Φορέας πραγματοποιεί ετήσιες επιθεωρήσεις επιτήρησης για να ελέγξει την πλήρη και συνεχή εφαρμογή του Συστήματος Διαχείρισης της πιστοποιημένης εταιρείας.

Με τον τρόπο αυτόν διασφαλίζεται η συνεχής συμμόρφωση της εκάστοτε Επιχείρησης στο πρότυπο αναφοράς και αποδεικνύεται ότι έχει εγκαταστήσει, διατηρεί και εφαρμόζει Σύστημα Διαχείρισης το οποίο συμμορφώνεται με τις απαιτήσεις. 

⬢ Οδηγός κόστους απόκτησης ISO 27001: 2013 

α. Συμβουλευτική Υποστήριξη για την Προετοιμασία της Επιχείρησης.

Η απαραίτητη προετοιμασία σε επιχειρησιακό επίπεδο περιλαμβάνει όλη την υποστήριξη για την παράδοση της μελέτης προς Έλεγχο και Επιθεώρηση από Διαπιστευμένο Φορέα του Υπουργείου. Η Μελέτη αποτελείται από τεύχη (ηλεκτρονικά έντυπα ή χειρόγραφα έντυπα), τα οποία περιγράφουν τον τρόπο που μια επιχείρηση καλύπτει μια επιχείρησή τις απαιτήσεις του ISO 27001.

Η Συμβουλευτική Υποστήριξη περιλαμβάνει όλες τις αναγκαίες υπηρεσίες για να μπορεί να πιστοποιηθεί μια επιχέιρηση:

✓ Καταγραφή και Ανάλυση της Παρούσας Κατάστασης, του Επιπέδου Οργάνωσης και των Υφιστάμενων Υποδομών.

✓ Συμβουλευτική υποστήριξη σε όλα τα Στάδια για την ορθή οργάνωση και βελτίωση.Η προετοιμασία της μελέτης

✓ Ανάπτυξη όλων των αναγκαίων Παραδοτέων (Εγχειρίδια, Τεύχη, Διαδικασίες).

✓ Εκπαίδευση αρμόδιου προσωπικού για την Διαχείρισης Ποιότητας. 

✓ Επίβλεψη για την ορθή εφαρμογή των απαιτήσεων και πλήρη Υποστήριξη για τη διαδικασία πιστοποίησης.

✓ Παρακολούθηση και υποστήριξη συστήματος διαχείρισης σύμφωνα με τις υπάρχουσες ανάγκες μετά την αρχική πιστοποίηση.

Το κόστος για την Συμβουλευτική Υποστήριξη είναι ετήσιο και επαναλαμβανόμενο (κλιμακούμενο σε χαμηλότερες τιμές από έτος σε έτος).

Εξαρτάται από το μέγεθος της Επιχείρησης, με κύριους παράγοντες τον αριθμό απασχολούμενων και το πλήθος των εγκαταστάσεων που διαθέτει η Επιχειρηματική Μονάδα. 

Κάθε έργο φυσικά έχει ιδιαίτερες απαιτήσεις αναλόγως με τη φύση της επιχέιρησης και των συνθηκών που επικρατούν.  

β. Κόστος Επιθεώρησης από Διαπιστευμένο Φορέα 

Ο Φορέας Πιστοποίησης, ως ανεξάρτητο όργανο, είναι αυτός που θα ελέγξει προκειμένου να δοθεί η Βεβαίωση Πιστοποίησης. Ο φορέας πιστοποίησης, ως διαπιστευμένος οργανισμός πραγματοποιεί επιθεωρήση κάθε έτος, με ένα πάγιο κόστος καθ' έτος (ανά ετήσια επιθεώρηση).

Είναι απαραίτητο ο Φορέας Πιστοποίησης να είναι διαπιστευμένος από το Εθνικό Σύστημα Διαπίστευσης ΕΣΥΔ, διαφορετικά οι Πιστοποιήσεις δεν αποτελούν Εγκεκριμένα Πρότυπα. 

Το κόστος για την Επιθεώρηση είναι ετήσιο και επαναλαμβανόμενο (σταθερό από έτος σε έτος).

γ. Απρόβλεπτα 

Να σημειωθεί ότι στα πλαίσια των απαιτήσεων ενός προτύπου ενδέχεται να προκύψουν απρόβλεπτα κόστη όσον αφορά σε παρεμβάσεις, για παράδειγμα όπως: 

• Κτιριακές Παρεμβάσεις.
• Συστήματα Ιχνηλασιμότητας.
• Εισαγωγή Τεχνολογίων Πληροφορικής.
  • Είδη Τεχνολογιών που χρησιμοποιούνται:
    • Εφαρμογές - Χρήστες
    • Ηλεκτρονικοί Υπολογιστές - Αριθμός
    • Δίκτυα - Αριθμός
    • Τεχνολογίες Remote Working (Σε Απομακρυνσμένη Εργασία)
  • Τύπος Δικτύου και Τεχνολογίας Κρυπτογράφησης:
    • Εξωτερική Σύνδεση Διαδικτύου με Κρυπτογράφηση/ με Ηλεκτρονική Υπογραφή / PKI
    • Εξωτερική Σύνδεση Διαδικτύου με Κρυπτογράφηση/ χωρίς Ηλεκτρονική Υπογραφή / PKI
    • Εξωτερική Σύνδεση Διαδικτύου χωρίς Κρυπτογράφηση/ Ηλεκτρονική Υπογραφή / PKI 
      (PKI: Public Infrastructrure Requirements)
  • Αποθηκευτικοί Χώροι - Διακομιστές:
    • SAAS (Software as a Service)
    • PAAS (Platform as a Service)
    • IAAS (Infrastructure as a Sevice)
    • Other / λοιπά

Τελικό Κόστος

Κάθε έργο τις ιδιαιτερότητές του και διαφορετικές απαιτήσεις, αναλόγως με τη φύση της επιχέιρησης και των συνθηκών που επικρατούν.  

Για την εκτίμηση ενός προϋπολογισμού κόστους καταρχήν εξετάζεται το μέγεθος της Επιχείρησης, με κύριους παράγοντες τον αριθμό απασχολούμενων και το πλήθος των εγκαταστάσεων (προς έλεγχο) που διαθέτει η Επιχειρηματική Μονάδα.