ISO 27001:2022 – המדריך המלא למנהל אבטחת מידע
ISO/IEC 27001 הוא התקן הבינלאומי המוביל למערכת ניהול אבטחת מידע (ISMS). התקן לא מכתיב טכנולוגיה מסוימת. הוא מגדיר איך לנהל את אבטחת המידע כתהליך מתמשך: לזהות סיכונים, לבחור בקרות, למדוד ולשפר. בישראל הוא אומץ כתקן ישראלי (ת"י ISO/IEC 27001), ולקוחות גדולים, גופים פיננסיים ומשרדי ממשלה דורשים אותו יותר ויותר מספקים.
למה זה חשוב לארגון שלכם
- דרישת לקוחות ומכרזים: ההסמכה היא לרוב תנאי סף בעבודה מול בנקים, חברות ביטוח, גופי ממשל ולקוחות בחו"ל.
- שפה משותפת עם ההנהלה: התקן מחייב מעורבות של ההנהלה, הגדרת אחריות וקבלת החלטות על בסיס סיכון.
- בסיס לרגולציה: מערכת ניהול מסודרת מקלה מאוד על עמידה בתקנות הגנת הפרטיות (אבטחת מידע) ובדרישות שהחריף תיקון 13.
מבנה התקן
התקן בנוי משני חלקים:
- סעיפים 4–10: דרישות מערכת הניהול. הקשר הארגון, מנהיגות, תכנון (כולל הערכת סיכונים וטיפול בהם), תמיכה ומשאבים, תפעול, הערכת ביצועים (מבדקים פנימיים וסקר הנהלה) ושיפור מתמיד. כל הסעיפים האלה חובה.
- נספח A: קטלוג בקרות. הארגון בוחר מתוכו את הבקרות הרלוונטיות לסיכונים שלו, ומנמק בהצהרת היישימות (SoA) מה יושם ומה לא.
מה השתנה בגרסת 2022
גרסת 2022 צמצמה את נספח A מ-114 בקרות ל-93 בקרות, וסידרה אותן מחדש בארבעה נושאים:
| נושא | מספר בקרות |
|---|---|
| ארגוניות (Organizational) | 37 |
| אנשים (People) | 8 |
| פיזיות (Physical) | 14 |
| טכנולוגיות (Technological) | 34 |
נוספו 11 בקרות חדשות:
- מודיעין איומים (Threat intelligence)
- אבטחת מידע בשימוש בשירותי ענן
- מוכנות ICT להמשכיות עסקית
- ניטור אבטחה פיזית
- ניהול תצורה (Configuration management)
- מחיקת מידע
- התממת נתונים (Data masking)
- מניעת זליגת מידע (DLP)
- פעילויות ניטור
- סינון אתרי אינטרנט
- פיתוח מאובטח (Secure coding)
תקופת המעבר מגרסת 2013 הסתיימה ב-31 באוקטובר 2025. ארגון שעדיין מחזיק תעודה לפי 2013 צריך לבדוק את מעמדה מול גוף ההסמכה. בשנת 2024 פורסם גם תיקון קטן (Amendment 1) שמחייב לשקול את נושא שינויי האקלים בהגדרת הקשר הארגון.
תהליך ההסמכה, שלב אחרי שלב
- הגדרת תחולה (Scope): אילו אתרים, מערכות, מחלקות ושירותים נכללים. תחולה צרה וברורה מקצרת את הדרך.
- ניתוח פערים: השוואה בין המצב הקיים לדרישות התקן.
- הערכת סיכונים ותוכנית טיפול: מתודולוגיה מתועדת, מרשם סיכונים, בעלי סיכון ותוכנית טיפול מאושרת.
- הצהרת יישימות (SoA): לכל אחת מ-93 הבקרות, האם היא מיושמת ולמה.
- מדיניות ונהלים: מדיניות אבטחת מידע, ניהול הרשאות, ניהול ספקים, ניהול אירועים, המשכיות עסקית ועוד.
- יישום ותיעוד ראיות: בקרות בפועל ולא רק על הנייר. המבקר יבקש ראיות.
- מבדק פנימי וסקר הנהלה: חובה לפני מבדק ההסמכה.
- מבדק הסמכה: שלב 1 בודק את התיעוד, ושלב 2 בודק את היישום בפועל.
- שמירה על ההסמכה: מבדקי מעקב שנתיים, ומבדק הסמכה מחודשת כל שלוש שנים.
לוח זמנים מקובל לארגון בינוני הוא 6–12 חודשים מתחילת העבודה ועד ההסמכה, בהתאם לבשלות הקיימת.
הקשר לתיקון 13 ולתקנות אבטחת המידע
ISO 27001 אינו תחליף לעמידה בחוק הגנת הפרטיות ובתקנות אבטחת המידע. עם זאת, רוב הדרישות חופפות: מיפוי נכסים, ניהול הרשאות, ניהול ספקים, ניהול אירועים ומבדקים תקופתיים. ארגון עם ISMS פעיל יכול להראות לרשות להגנת הפרטיות תהליך מסודר ומתועד, וזה בדיוק מה שתיקון 13 מחייב היום. מי שרוצה להעמיק בצד הפרטיות יכול להרחיב את המערכת לפי ISO/IEC 27701.
טעויות נפוצות
- "פרויקט של מחלקת IT": בלי מעורבות של ההנהלה, משאבי אנוש, הרכש והמשפטית, המבדק ייכשל.
- העתקת נהלים מתבנית: המבקר ישאל איך הנוהל מיושם אצלכם. נהלים גנריים נחשפים מהר.
- תחולה רחבה מדי בהתחלה: עדיף להתחיל מהשירות המרכזי ולהרחיב בהמשך.
- "מסמכים למבדק": מערכת ניהול שלא חיה בין המבדקים לא מורידה סיכון ולא תחזיק את מבדקי המעקב.
רשימת בדיקה מהירה
לפני שפונים לגוף ההסמכה, ודאו ש:
- הוגדרה תחולה ואושרה על ידי ההנהלה
- יש מתודולוגיית סיכונים ומרשם סיכונים עדכני
- הצהרת יישימות (SoA) מכסה את כל 93 הבקרות
- מדיניות אבטחת מידע חתומה ומופצת לעובדים
- הדרכת מודעות לעובדים מתועדת
- בוצעו מבדק פנימי וסקר הנהלה
- נבחר גוף הסמכה מוכר
המדריך נועד למידע כללי. הנוסח המחייב הוא התקן עצמו, שניתן לרכוש דרך ISO או מכון התקנים הישראלי.