ISO 27001 Eestis: sertifitseerimine ja audit

Mis on ISO 27001

ISO/IEC 27001 on rahvusvaheline standard infoturbe juhtimissüsteemile. 2022. aasta versioon rõhutab riskipõhist lähenemist, juhtimist ja pidevat parendamist. Standardi lisa A sisaldab 93 meedet neljas rühmas: organisatsioonilised (37), inimeste (8), füüsilised (14) ja tehnoloogilised (34) kontrollid.

Need meetmed ei ole automaatselt kohustuslikud ükshaaval. Organisatsioon peab riskianalüüsi põhjal otsustama, millised meetmed on kohaldatavad, ja põhjendama väljajätmisi. Seda dokumenteerib avaldus kohaldatavate meetmete kohta (Statement of Applicability, SoA).

ISMS ei ole ainult IT-osakonna projekt. See hõlmab juhtkonna kohustust, rollid, protsessid, tarnijaid, intsidente, toimepidevust ja teadlikkust. Seetõttu ei saa sertifikaati osta ega „ära teha“ ainult dokumentatsiooniga.

Kellele ISO 27001 mõeldud on

• Ettevõtted, kelle klient või hange nõuab sertifikaati: ISO 27001 on rahvusvaheliselt tuntud tõend infoturbe juhtimise kohta.
• Teenusepakkujad ja tarkvaraettevõtted: see aitab struktureerida turvaküsimusi ja vastata klientide auditiküsimustele.
• NIS2 või E-ITS-i kohustuslased: ISMS võib aidata korrastada riskijuhtimist, tarnijaid ja tõendeid, kuid vastavust tuleb hinnata iga raamistiku järgi eraldi.
• Organisatsioonid, kes soovivad süsteemset mudelit: standard annab korduva juhtimistsükli, mitte ühekordse turvaprojekti.

Väikeettevõte ei ole automaatselt väljas. Ulatust saab hoida kitsana, kuid ISMS peab katma seda, mida organisatsioon tegelikult teeb. Kui klient nõuab sertifikaati, tuleb enne hinnata, kas nõue on realistlik ja milline on ajakava.

Sertifitseerimise etapid

1. Eelhindamine või gap analysis: kaardista olemasolev juhtimine, riskid, tõendid ja puudujäägid. See ei ole sertifitseerimisaudit.
2. ISMS-i ulatus ja riskianalüüs: määra, millised teenused, asukohad ja süsteemid on ulatuses; hinda riske ja vali meetmed.
3. Dokumentatsioon ja rakendamine: poliitikad, protsessid, SoA, riskiregister, tõendid ja sisemine audit.
4. 1. etapp (Stage 1): sertifitseerimisasutus kontrollib valmisolekut, dokumentatsiooni ja ulatust; võib tuvastada puudusi enne 2. etappi.
5. 2. etapp (Stage 2): hinnatakse, kas ISMS on päriselt rakendatud ja toodab tõendeid, mitte ainult kirjeldatud paberil.
6. Järelevalveauditid: tavaliselt kord aastas sertifikaadi kehtivusaja jooksul.
7. Uuendamine: pärast kolmeaastast tsüklit toimub uus sertifitseerimisaudit.

Etappide täpne järjekord ja kestus sõltuvad sertifitseerimisasutusest ja organisatsiooni suurusest. Ainus usaldusväärne allikas on asutuse enda pakkumine ja akrediteeringu ulatus.

Mida audit praktikas küsib

• Ulatus: miks just need teenused, asukohad ja süsteemid on ISMS-i sees; mis on väljas ja miks.
• Riskiprotsess: riskianalüüsi metoodika, riskiregister, omanikud, hinnangud ja riskijääk.
• SoA: millised lisa A meetmed on kohaldatavad, millised välja jäetud ja millel see põhineb.
• Juhtimine: juhtkonna kohustus, rollid, teadlikkus, sisemine audit ja juhtkonna ülevaatus.
• Rakendamine: ligipääsud, varundus, intsidendid, tarnijad, haavatavused, krüpteerimine ja logimine.
• Parandamine: mittevastavused, juurpõhjus, parandusmeede ja tõend selle toimimisest.

Hea tõend on ajakohane ja jälgitav. Kui kontroll on dokumenteeritud, aga ei toimi, on see auditile nõrgem kui aus puudujääk koos parandusplaaniga.

Aeg ja hind

ISO 27001 sertifitseerimise aeg sõltub ulatusest, olemasolevast juhtimissüsteemist ja tõendite kvaliteedist. Kui protsessid on juba korras, võib ettevalmistus olla lühem; kui alustatakse nullist, võtab see tavaliselt kuid. Sertifikaat kehtib kolm aastat ja nõuab järelevalvet.

Hinda mõjutavad sertifitseerimisasutuse tasu, auditi päevade arv, ulatus, asukohad ja vajadus kordusauditi järele. Konsultandi või tehnilise testi hind on eraldi. Me ei avalda „tüüphinda“, sest see oleks eksitav: õige number sõltub ulatusest.

Eesti ja akrediteering

Eestis saab sertifitseerimisasutuste akrediteeringute kohta kontrollida Eesti Akrediteerimiskeskuselt (EAK). Akrediteering näitab, et asutus on pädev konkreetses ulatuses. Kui keegi pakub „ISO 27001 sertifikaati“ ilma akrediteeringuta, kontrolli, kes sertifikaadi tegelikult väljastab.

Standardit saab osta või lugeda EVS-i kaudu. Eesti ettevõttele võib olla kasulik võrrelda ISO 27001-t E-ITS-iga: E-ITS on Eesti standard ja avaliku sektori kontekstis oluline, ISO 27001 on rahvusvaheliselt tuntud. E-ITS juhend ja regulatsioonide kaart aitavad vahet teha.

ISO 27001 vs E-ITS vs NIS2

Raamistikud võivad kattuda, kuid ükski ei asenda teist automaatselt. Kui klient küsib „kas ISO katab NIS2?“ või „kas E-ITS on ISO?“ vasta konkreetse kohaldumise ja tõenditega, mitte lühendiga.

Kuidas ette valmistuda

1. Määra ulatus äriliselt: millised teenused ja kliendid peavad sertifikaadi katma; ära lisa kogu organisatsiooni, kui see pole vajalik.
2. Tee aus gap analysis: võrdle olemasolevat ISMS-i nõuetega ja hinda, kas tõendid on päriselt olemas.
3. Sea riskid ja SoA: seo riskid meetmetega; põhjenda väljajätmised.
4. Rakenda enne dokumenteerimist: protsess peab toimima, mitte ainult kirjeldatud olema.
5. Tee sisemine audit ja juhtkonna ülevaatus: need on tavaliselt nõutud enne sertifitseerimisauditit.
6. Vali akrediteeritud asutus: kontrolli akrediteeringu ulatust ja küsi täpne auditiprogramm.

Tehniline küberaudit või pentest võib anda tõendeid kontrollide toimimise kohta, kuid ei asenda ISMS-i ega sertifitseerimisauditit.

Küsimused ISO 27001 kohta

Allikad

• ISO/IEC 27001:2022.
• EVS: ISO/IEC 27001:2022.
• Eesti Akrediteerimiskeskus.
• E-ITS 2026, RIA.
• Küberturvalisuse seadus, Riigi Teataja.

See leht on selgitav, mitte õigus- ega sertifitseerimisnõu. Lõpliku kinnituse annab sertifitseerimisasutus ja vajadusel jurist.