Oblast sertifikacije standarda ISO 27001
Svrha definisanja oblasti sertifikacije je da pruži detaljniji prikaz poslovanja organizacije svim zainteresovanim stranama i da istakne na koje segmente se sertifikacija preciznije odnosi. Ukoliko se odlučite za sertifikaciju standarda ISO 27001:2013, biće potrebno da znate da okvirno definišete vašu oblast sertifikacije. Shodno tome, treba obratiti pažnju na sledeće:
Gde se navodi oblast sertifikacije?
Navodi se na samom ISO 27001 sertifikatu, u formi kratkog opisa. U vidu jedne rečenice, opis predstavlja sažet pregled delatnosti poslovanja. Detaljan opis se nalazi u samom ISMS dokumentu.
Koje informacije treba da sadrži oblast sertifikacije?
Oblast sertifikacije treba da sadrži sledeće informacije o organizaciji: procese, sektore, lokacije i aktivnosti. Oblast nikako ne treba da navodi: proizvode, tehnologiju ili bezbednosne zapise.
Koji je najveći izazov prilikom definisanja oblasti sertifikacije?
Napraviti balans između previše i premalo. Imajte na umu da zainteresovane strane treba jasno da steknu uvid u vaše poslovanje i procese na koje se sertifikacija odnosi. Premalo informacija može istaći samo deo vašeg poslovanja što vam može suziti izbor potencijalnih klijenata ili saradnika. Sa druge strane, previše informacija može skrenuti pažnju na procese koji nisu toliko zastupljeni u organizaciji, te može privući čak i pogrešne klijente ili saradnike.
Da li treba uključiti i sporedne procese u oblast sertifikacije?
Odgovor je ne. Oblast sertifikacije upućuje na primarne aktivnosti kojima se organizacija bavi. HR aktivnosti, zakonske obaveze ili delatnosti koje obavlja treća strana se najčešće ne navode u ovom slučaju.
Kako biti siguran da oblast sertifikacije obuhvata sve relevantne podatke?
Oblast sertifikacije prvenstveno zavisi od potreba organizacije. Ukoliko rukovodstvo želi da istakne isključivo primarnu delatnost, dovoljno je da navede samo tu informaciju. Ako pak želi da uključi i dodatne aktivnosti kako bi detaljnije opisali svoje poslovanje ili proširili mrežu klijenata i korisnika, postoji mogućnost navođenja i više informacija.
Zašto nekada nije moguće navesti željene informacije u oblasti sertifikacije?
Zato što ona mora da bude usaglašena sa kodovima koji su definisani od strane akreditacionog tela. Kod obuhvata određenu grupu srodnih delatnosti i dodeljuje se organizaciji prema primarnoj delatnosti njenog poslovanja. Ponekada je moguće dodeliti i dva koda istoj organizaciji, ukoliko njene aktivnosti to potvrđuju.
Oblast sertifikacije za standard ISO 27001:2013 ne treba da se fokusira samo na aktivnosti vezane za informacione tehnologije već na oblasti koje sadrže najosetljivije podatke. Šta to zapravo znači?
Iako standard ISO 27001:2013 predstavlja Sistem upravljanja bezbednošću informacija (eng. ISMS - Information Security Management System), on se zapravo ne odnosi samo na informacije vezane za IT sektor. Naime, standard se odnosi na sve procese koji podrazumevaju korišćenje informacija koje se, ukoliko se ne tretiraju ispravno, mogu zloupotrebiti. Na primer, knjigovodstvene agencije poseduju veliki broj poverljivih informacija o svojim klijentima. Način na koji se organizacije odnose prema takvim informacijama definiše uspešnost poslovanja i njenu poziciju na tržištu.
Obuka zaposlenih da pravilno postupaju sa osetljivim informacijama jedno je od osnovnih zahteva ISO 27001 standarda. Adekvatno obučeni zaposleni će biti pripremljeni za potencijalno rizične situacije i biti u mogućnosti da spreče takozvano “curenje informacija” što je ujedno i primarni cilj. Pravovremenim i ispravnim delanjem zaposlenih, poslodavci takođe i štite svoje poslovanje i pokazuju poštovanje prema svojim klijentima.
Budite spremni za ISO 27001 sertifikaciju. Pošaljite ZAHTEV ZA PONUDU