ІТ-компанії найчастіше приходять до ISO/IEC 27001 через клієнтів: великий замовник або банк просить сертифікат, і команда має кілька місяців, щоб його отримати. Головне побоювання розробників, що стандарт обросте бюрократією і сповільнить релізи. Цього можна уникнути, якщо будувати систему навколо вже наявних інженерних процесів.
Використовуйте те, що вже є
У більшості команд уже працюють контроль коду через перегляди, система задач, журнал змін, автоматичні тести, моніторинг і резервні копії. Стандарт не вимагає дублювати це в окремих документах. Достатньо описати, як процес працює, і показати аудиторові записи з тих самих систем.
Доступи
Типова проблема ІТ-компаній це доступи, які роздавали роками: до репозиторіїв, хмарних консолей, продуктивних баз. Перед аудитом варто переглянути їх, прибрати зайві, ввімкнути єдиний вхід і двофакторну автентифікацію. Регулярний перегляд доступів раз на квартал з записом результату закриває одну з найчастіших невідповідностей.
Безпечна розробка
Редакція 2022 року додала окремі заходи щодо безпечного кодування, управління конфігурацією, моніторингу і захисту від витоку даних. Для ІТ-компанії це означає описати правила роботи з секретами, сторонніми бібліотеками, тестовими даними і розділенням середовищ.
Хмарні постачальники
Хмарний провайдер теж постачальник, і його треба оцінити. Зазвичай достатньо зберегти його сертифікати і звіти, розібратись у моделі розподілу відповідальності і зафіксувати, які налаштування безпеки на вашому боці.
Хто проходить аудит
Аудитор поговорить з керівником, відповідальним за безпеку, тимлідами, адміністраторами і кількома розробниками. Йому важливо побачити, що люди знають правила і виконують їх. Заздалегідь сплановані інтерв’ю займають годину-дві і не зупиняють роботу команди.
Інциденти і моніторинг
Аудитор попросить показати, як команда дізнається про інцидент і що робить далі. Добре, якщо сповіщення з моніторингу потрапляють у ту саму систему задач, а після серйозних збоїв пишеться короткий розбір з причинами і діями. Таку практику багато команд уже мають, її достатньо описати і пов’язати з процедурою реагування на інциденти з системи управління.
Коли починати
Від рішення до сертифіката ІТ-компанія середнього розміру зазвичай проходить за чотири-шість місяців. Якщо клієнт поставив жорсткий строк, починайте з меж системи і оцінки ризиків, бо від них залежить усе інше.
Як підготуватися до сертифікації ISO 27001 і що перевіряє аудитор, пояснює аудиторська компанія BALTUM. Запитання можна надіслати на info@baltum.org.
