פֿון "זיכערהייט באַוואוסטזיניק" צו אָדיט גרייט: איבערמאַכן די MSP שפּיל
ISO 27001 אוידיט גרייטקייט פאר אן MSP מיינט אז איר קענט באווייזן אייער זיכערהייט, נישט נאר עס צו פראקטיצירן: איר קענט ווייזן אוידיטארן און פירמע קאסטומערס ווי ריזיקעס, קאנטראלן, אייגענטימער און באווייזן פאסן צוזאמען, און איר קענט דאס טון פארלעסליך אין יעדער צייט, נישט נאר אין די וואכן פאר אן אוידיט. זיין "זיכערהייט באוואוסטזיניג" מיינט אז איר פרובירט צו טון די ריכטיגע זאכן; זיין ISO 27001 אוידיט גרייט מיינט אז איר קענט זיי באווייזן, קאנסיסטענט, אויף פארלאנג, וואס איז אפט דער חילוק צווישן שנעל דורכגיין קליענט זיכערהייט אפשאצונגען און סערטיפיקאציע אוידיטארן אדער פארברענגען וואכן אין דיסטראַקציע, איבערארבעט און אומבאקוועמע פראגעס. די אינפארמאציע איז אלגעמיין. עס שטעלט נישט פאר קיין לעגאלע, רעגולאטורישע אדער אוידיט עצה, ממילא זאלט איר שטענדיג זוכן קוואליפיצירטע פראפעסיאנעלע אנווייזונגען פאר אייער ספעציפישע סיטואציע.
רובֿ MSP'ס פירן שוין גוטע זיכערהייט היגיענע. אייערע אינזשענירן דורכפירן מולטי-פאקטאר אויטענטיפיקאציע, האַלטן פּאַטשינג ציקלען אין באַוועגונג, פֿאַרשליסן פֿײַערוואָלז און נעמען באַקאַפּס ערנסט. די פּראָבלעם איז נישט אַז גאָרנישט פּאַסירט; עס איז אַז אַ סך פֿון וואָס פּאַסירט איז נישט דאָקומענטירט, נישט קאָנסיסטענט צווישן טימז, און שווער צו באַווײַזן זעקס חדשים שפּעטער ווען אַן אוידיטאָר אָדער אַ קונה'ס CISO קומט פרעגן. ISO 27001 אוידיט גרייטקייט איז וועגן פֿאַרוואַנדלען יענע אינפֿאָרמעלע דיסציפּלין אין אַ פֿאָרמעלע אינפֿאָרמאַציע זיכערהייט פאַרוואַלטונג סיסטעם (ISMS) וואָס איר קענט שטיין הינטער מיט בטחון.
שטאַרקע זיכערהייט וואָס קען נישט באַוויזן ווערן וועט נישט פילן רעאַל פֿאַר אָדיטאָרס אָדער פירמע קויפער.
אן ISO 27001-אויסגעריכט ISMS פארטרעט נישט אייערע מכשירים און עקספּערטיז; עס נעמט זיי איין אין גאַווערנאַנס, ריזיקאָ פאַרוואַלטונג און קאָנטינויִערלעכע פֿאַרבעסערונג אַזוי אַז זיי זאָלן ווערן געווענדט פאָרויסזאָגבאר. אַנשטאָט זיך צו פֿאַרלאָזן אויף "מיר זענען גוטע מענטשן וואָס ווייסן וואָס מיר טוען", גייט מען צו "מיר האָבן דעפינירטע ריזיקאָס, קאָנטראָלן, אייגנטימער, רעקאָרדס און באריכטן, און דאָ איז דער באַווייַז". יענער פֿאַרשייבונג איז וויכטיק ווען מען פֿאַרקויפֿט אין גרעסערע אונטערנעמונגען, שטיצט רעגולירטע קאַסטאַמערז אָדער באַנייט סייבער פֿאַרזיכערונג.
א פשוטער וועג צו איבערקוקן די ענדערונג איז צו פארגלייכן וואו איר זענט היינט מיט וואו איר דארפט זיין.
| ויסמעסטונג | "זיכערהייט באוואוסטזיניק" MSP | ISO 27001 אוידיט גרייט MSP |
|---|---|---|
| פאָקוס | מכשירים, קאָנפיגוראַציעס, בעסטע־מי פּראַקטיקעס | פֿאָרמעלע ISMS: פֿאַרנעם, ריזיקעס, קאָנטראָלן, גאַווערנאַנס |
| יידעס - זאָגן | צעוואָרפענע בילעטן, לאָגס, אימעילס | רעקאָרדס מאַפּט צו קלאָזעס און קאָנטראָלס |
| קאָנסיסטענסי צווישן טימז | ווענדט זיך אויף יחידישע אינזשענירן | נאָרמאַלע וואָרקפלאָוז, ראָלעס און אַפּרווואַלז |
| קונה און אוידיטאר שמועסן | רעאַקטיוו, פֿראַגעבאָגן־ביי־פֿראַגע | SoA, פּאָליטיקס און באַריכטן גרייט צו טיילן |
| סאַסטיינאַביליטי | שפּיצן איידער אָדיטס אָדער אינצידענטן | יאָר-רונדיק מאָניטאָרינג, איבערבליקן און פֿאַרבעסערונגען |
אזוי שנעל ווי איר הייבט אן צו זען ISO 27001 אלס א וועג צו מאכן אייערע עקסיסטירנדע גוטע ארבעט קענטיק און פארלעסלעך, אנשטאט אלס עקסטערע ביוראקראקראטיע, ווערן די קאמערציעלע בענעפיטן קלארער. אפמאכן הערן אויף צו פארהאלטן ווייל איר קענט נישט ענטפערן דעטאלירטע קוועסטיאנערן. קאסטומערס פארטרויען אייך מיט מער קריטישע ארבעטסלאסטן. פארזיכערונגס-געזעלשאפטן און רעגולאטארן זעען סטרוקטורירטע גאווערנענס אנשטאט אד-האק העלדישע מעשים.
כּמעט אַלע אָרגאַניזאַציעס אין דער 2025 ISMS.online אַנקעטע ליסטן דערגרייכן אָדער אויפהאַלטן זיכערהייט סערטיפיקאַציעס, ווי ISO 27001 אָדער SOC 2, ווי אַ שפּיץ פּריאָריטעט.
א פּלאַטפאָרמע ווי ISMS.online קען העלפֿן איבערזעצן יענעם פאַרוואַלטונג-סיסטעם בליק אין טעמפּלאַטן, וואָרקפלאָוז און באַווייַז סטרוקטורן וואָס מאַכן שוין זינען פֿאַר MSPs. צי איר ניצט אַ פּלאַטפאָרמע צי נישט, איר דאַרפֿט פֿאַרשטיין ווי "אויפֿהערן גרייט" זעט אויס אין אַ MSP. איר דאַרפֿט אויך וויסן ווי צו בויען אַ פּראַקטישע ראָודמאַפּ, וועלכע קאָנטראָלן און באַווייַז זענען וויכטיקסט און ווי צו בלייבן גרייט איבערן גאַנצן יאָר אַנשטאָט זיך צו דרייען פֿאַר אַן אוידיט איין מאָל אַ יאָר.
פארוואס "זיכערהייט באוואוסטזיניגע" MSP'ס ווערן נאך אלץ געכאפט
זיכערהייט-באוואוסטזיניגע MSP'ס דורכפאלן אָפט אויספארשונגען נישט ווייל קאָנטראָלן זענען נישטאָ, נאָר ווייל זיי זיצן אַרויס פון אַ סטרוקטורירטן פאַרוואַלטונג סיסטעם. איר מעגט האָבן שטאַרקע פּאַסווערדז, פֿאַרהאַרטעטע בילדער און גוטע פּאַטש קאַווערידזש, אָבער נאָך אַלץ האָבן איר שוועריקייטן צו ווייַזן ווער עס איז דער באַזיצער פון יעדן ריזיקע, ווען שליסל קאָנטראָלן זענען לעצט איבערגעקוקט געוואָרן און צו צושטעלן קאָנקרעטע ביישפילן פון ווי פּראָצעדורן אַרבעטן אין פּראַקטיק. יענער ריס צווישן פּראַקטיק און באַווייַז איז וואו אויספארשונגען ווערן ווייטיקדיק.
אין אוידיט טערמינען, זענען אייערע שוץ-מיטלען "זיכער דורך מכשירים" אנשטאט "זיכער דורך גאַווערנאַנס". דאָס פירט צו גאַפּס ווי אומדאקומענטירטע אויסנעמען, אומקאנסיסטענטע פּראָצעסן צווישן טימז אדער לאָקאַציעס און קאָנטראָלן וואָס פאַרלאָזן זיך אויף שטילע וויסן אין איין אדער צוויי שליסל מענטשן. ווען יענע מענטשן זענען אויף וואַקאַציע אדער פארלאזן דעם געשעפט, פאלט אייער מעגלעכקייט צו דעמאָנסטרירן קאָנטראָל אָפּעראַציע צוזאַמען.
די שטאַרקייט פון ISO 27001 איז אַז עס פארלאנגט נישט קיין פּערפעקציע; עס פארלאנגט אַז איר זאָלט פֿאַרשטיין אייער קאָנטעקסט און ריזיקעס, מאַכן באַטראַכטע באַשלוסן וועגן קאָנטראָלן און ווייַזן אַז איר אַרבעט און פֿאַרבעסערט זיי. דאָס איז פֿיל גרינגער צו פֿאַרטיידיקן ווי אַ געמיש פֿון נישט-דאָקומענטירטע פּראַקטיקעס, אפילו אויב די אונטערלייגנדיקע טעכנאָלאָגיע איז ענלעך.
וואָס ISO 27001 אוידיט גרייטקייט טאַקע מיינט אין אַן MSP סביבה
ISO 27001 אוידיט גרייטקייט פאר אן MSP מיינט אז איר קענט ווייזן, מיט פרישע באווייזן, אז אייער ISMS דעקט אייערע סערוויסעס, ריזיקעס און קאנטראלן און האט געארבעט ווי געפלאנט איבער צייט. אין פראקטיק, קענט איר זיך אראפזעצן מיט אן אוידיטאר און טיילן אייער פארנעם, ריזיקע אפשאצונג, SoA, פאליסיס און פראצעדורן. אייערע רעקארדס און גאַווערנאַנס ריטעם זאלן אויסהאלטן סאַמפּלינג און טשאַלאַנדזש.
אַן MSP'ס ISMS פאַרנעם כולל געוויינטלעך זיין סערוויס דעסק, NOC אדער SOC, האָסטינג פּלאַטפאָרמעס, ווייַט פאַרוואַלטונג מכשירים און די שטיצנדיקע פאַנגקשאַנז וואָס ווירקן אויף קונה אינפֿאָרמאַציע, אַזאַ ווי HR, פּראָקורעמענט און פינאַנץ. אָדיט גרייטקייט מיינט אַז דיין דאָקומענטאַציע און דיין רעאַליטעט שטימען איבער דעם פאַרנעם: וואָס איר זאָגט אַז איר טוט אין פּאָליטיק און SoA איז וואָס דיין טיקאַץ, לאָגס, אַפּרווואַלז און טריינינג רעקאָרדס ווייַזן.
דאָס גייט אויך ווייטער ווי די סערטיפיקאַציע גוף'ס בליק. פילע MSP'ס פילן דעם דרוק פון זיין "אוידיט גרייט" ניט נאָר פֿאַר ISO 27001 סערטיפיקאַציע, נאָר אויך פֿאַר ריפּיטיד קליענט זיכערהייט אַסעסמאַנץ, ווענדאָר-ריזיקירן באריכטן און אויפֿזיכט אוידאַץ. אַ אַרבעטספֿעיִקע דעפֿיניציע דאַרף דעריבער אַרייַננעמען ביידע עקסטערנע סערטיפיקאַציע רעקווייערמענץ און די פאָדערונגען פֿון אייערע וויכטיקסטע קאַסטאַמערז.
זיין גרייט פאר אן אוידיט מיינט אויך צייטלעכקייט. אוידיטארן קוקן טיפיש צוריק אויף א לעצטיגע תקופה – אפט זעקס ביז צוועלף חדשים – צו זען ווי קאנטראלן האבן געארבעט אין פראקטיק. אומאפהענגיקע ערקלערער וועגן ISO 27001 אוידיט פראקטיק, ווי למשל דעלאיט'ס איבערבליק פון ISO 27001 אוידיטן, באשרייבן דעם פאקוס אויף טעסטן קאנטראל אפעראציע איבער צייט אנשטאט אויף איין פונקט. אויב אייער לעצטע אינערליכע אוידיט איז געווען דריי יאר צוריק, אדער אייערע אינצידענט רעקארדס זענען נישט פולשטענדיג, וועט איר האבן שוועריגקייטן. די ציל איז צו בויען גאווערנענס רוטינעס און באווייזן אייננעמען אין טעגליכער ארבעט אזוי אז, ווען אן אוידיט אדער קליענט אפשאצונג קומט אן, זענט איר שוין אין א פארטיידיגונגס-בארעכטיגטע פאזיציע.
קאָנטינויִערלעכע גרייטקייט איז ווייניקער ווייטיקדיק ווי איבערגעחזרטע גרויסע קלאַפּ אויספֿאָרבערייטונגען וואָס שטערן פּראָיעקטן און אויסברענען דיין מאַנשאַפֿט.
אַן אַרבעטנדיק ISMS אין פּשוטער שפּראַך
אן ארבעטנדיקער ISMS איז פשוט דער וועג ווי איר, אלס אן MSP, באשליסט ווי אזוי צו היטן אינפארמאציע און באווייזט אז איר טוט דאס. ISO 27001 באשרייבט עס אין סטרוקטורירטער קלאָז שפּראַך, אבער איר קענט עס איבערזעצן אין פיר פראגעס וואס אוידיטארן און קאסטומערס וועלן דערקענען אלס סימנים פון א לעבעדיגע פאַרוואַלטונג סיסטעם, נישט א טעארעטישע.
-
פֿאַר וואָס זענען מיר פֿאַראַנטוואָרטלעך?
דאָס איז אייער קאָנטעקסט און פאַרנעם. פֿאַר אַן MSP, דעקט עס די סערוויסעס און פּלאַטפאָרמעס דורך וועלכע איר האַנדלט מיט קונה אינפֿאָרמאַציע, פּלוס באַטייַטיקע אינערלעכע פֿונקציעס. -
וואָס קען גיין שלעכט, און וואָס וועלן מיר טאָן וועגן דעם?
דאָס איז אייער ריזיקאָ אַסעסמענט און ריזיקאָ באַהאַנדלונג. עס זאָל אויסדריקלעך באַטראַכטן מולטי-טענאַנט מכשירים, פּריווילעגירט צוטריט צו קליענט סביבות, וואָלקן באַדינונגען און קריטישע סאַפּלייערז. -
וואָסערע כּללים און רוטינעס פֿאָלגן מיר?
דאָס זענען אייערע פּאָליטיקס, פּראָצעדורן און קאָנטראָלן. זיי דאַרפֿן זײַן ספּעציפֿיש גענוג אַז אינזשענירן און שטאַב קענען האַנדלען לויט זיי און צוגעפּאַסט צו ISO 27001 קלאָזולעס און אַנעקס A קאָנטראָלן אין אייער SoA. -
ווי קענען מיר קאָנטראָלירן, לערנען און פֿאַרבעסערן?
דאָס איז אייער מאָניטאָרינג, אינערלעכע אוידיט, פאַרוואַלטונג איבערבליק און קאָנטינויִערלעכע פֿאַרבעסערונג. דאָס איז וואו איר פֿאַרוואַנדלט פאַקטישע אינצידענטן, כּמעט-פֿאַרפֿעלנדיקע און אוידיט רעזולטאַטן אין בעסערע קאָנטראָלן און פּראָצעסן.
אויב איר קענט ענטפֿערן די פֿראַגעס מיט אַקטועלע דאָקומענטן און עכטע אָפּעראַציאָנעלע באַווײַזן, זענט איר אויפֿן גוטן וועג צו זיין גרייט פֿאַר אַן אוידיט.
די באַווײַזן וואָס אוידיטאָרן און קאַסטאַמערז דערוואַרטן פֿון אַן MSP
אוידיטאָרן און קאַסטאַמערז ערוואַרטן באַווייזן וואָס זענען רוטינע, סטרוקטורירט און נאָכפֿאָלגבאַר, נישט עפּעס וואָס איז צוזאַמענגעשטעלט געוואָרן אין אַ יאגעניש די וואָך פֿאַר אַ באַזוך. פֿון זייער פּערספּעקטיוו, איז "באַווייזן" נישט קיין סקרינשאָט וואָס איר האָט גענומען פֿינף מינוט פֿאַר דער זיצונג, נאָר אַ גוף פֿון רעקאָרדס וואָס ווײַזן אַז אײַערע קאָנטראָלן זענען געווען קלוג דיזיינד און האָבן געאַרבעט ווי באַשטימט איבער דער צײַט. פֿאַר אַן MSP, עקזיסטירט שוין אַ סך פֿון דעם אין אײַערע מכשירים; די אַרבעט איז צו אָרגאַניזירן, סטרוקטורירן און אויפֿהאַלטן עס.
טיפּישע באַווײַז קוואלן אַרייַננעמען:
- טיקעטן און באשטעטיגונגען אין אייער PSA אדער ITSM סיסטעם פאר ענדערונגען, אינצידענטן און פארלאנגען.
- צוטריט פאַרוואַלטונג רעקאָרדס פֿון דירעקטאָריעס, אידענטיטעט פּלאַטפאָרמעס און פּריווילעגירטע צוטריט מכשירים.
- לאָגס און באַריכטן פון ווײַט־פֿאַרוואַלטונג, מאָניטאָרינג און באַקאַפּ סיסטעמען וואָס ווײַזן באַזיס־ליניעס און אויסנעמען.
- טרענירונג און וויסיקייט רעקאָרדס פֿאַר שטאב, ספּעציעל די מיט פּריווילעגירט צוטריט.
- פּראָטאָקאָלן פֿון ריזיקאָ וואָרקשאָפּס, זיכערהייט זיצונגען, ענדערונג־ראַטגעבער־באָרדס און מענעדזשמענט־איבערבליקן.
אוידיט גרייטקייט מיינט אז די באווייזן זענען פולשטענדיג, צוטריטלעך, צוגעפאסט צו קאנטראלן און געהאלטן פאר א צוגעפאסטע צייט. דאס מיינט אויך אז אייער שטאב ווייסט וואס מען וועט זיי פרעגן וועגן און קען באשרייבן ווי זייער טעגליכע ארבעט איז אין איינקלאנג מיט דאקומענטירטע פראצעדורן. ווען איר האט די עלעמענטן אין פלאץ, ווערט ענטפערן אויף א קליענט'ס לאנגן זיכערהייטס-פראגעבויגן אדער אן אוידיטאר'ס מוסטער-פארלאנג גרינגער אנשטאט כאאטיש.
ISO 27001 געמאַכט גרינג
א 81% פֿאָרשפּרונג פֿון טאָג איינס
מיר האָבן געטאן די שווער אַרבעט פֿאַר איר, געבן איר אַ 81% העאַדסטאַרט פון דעם מאָמענט איר קלאָץ אויף. כל איר האָבן צו טאָן איז צו פּלאָמבירן די בלאַנקס.
MSP ריזיקע רעאליטעט: פארוואס אוידיטארן און פירמעס קאנטראלירן אייך אנדערש
אוידיטארן און פירמע קאסטומערס קוקן נאך מער שטרענג אן אויף מענעדזשד סערוויס פראוויידערס ווייל איין שוואכקייט ביי אייער זייט קען אפעקטירן אסאך ארגאניזאציעס אויף איין מאל. אייער פריווילעגירטער צוטריט, מולטי-טענענט פלאטפארמעס און אפהענגיקייטן פון סופלייערס מיינען אז איין קאמפראמיס קען זיך פארשפרייטן איבער עטליכע קליענטן, אזוי ווערט אייער זיכערהייט האלטונג א טייל פון יעדן קאסטומער'ס ריזיקע גלייכונג. אנווייזונגען וועגן קלאָוד און סופליי-קייט זיכערהייט פון גופים ווי ENISA, וואס דערקלערן ווי שוואכקייטן ביי א סערוויס פראוויידער קענען זיך פארשפרייטן דורך אסאך אפהענגיקע ארגאניזאציעס, פארשטארקט פארוואס MSP'ס ווערן באהאנדלט ווי הויך-אימפאקט נאָודז אין קאסטומערס' ריזיקע מאדעלן. ISO 27001 אוידיט גרייטקייט, פאר א MSP, מוז דעריבער קאנפראנטירן א שאַרפערן און מער פארבונדענע ריזיקע פראפיל.
אַן MSP קאָנצענטרירט עטלעכע אַלגעמיינע IT ריזיקעס אין אַ האַנדפול פון הויך-אימפּאַקט געביטן: ברייט פּריווילעגירט אַקסעס אין קליענט סביבות, מולטי-טענאַנט פּלאַטפאָרמעס וואָס דעקן פילע קאַסטאַמערז, שטאַרקע אָפענגיקייט אויף דריט-פּאַרטיי וואָלקן און זיכערהייט פאַרקויפער און קאָמפּלעקס אַוטסאָרסינג קייטן. ווען אָדיטאָרס און פאַרקויפער-ריזיקע טימז קוקן אויף איר, פרעגן זיי נישט נאָר "זענט איר זיכער?"; זיי פרעגן "ווי מסתּמא איז עס אַז איר וועט זיין דער וועג אין אונדזער סביבה?" אינדוסטריע פאָרשונג אויף דריט-פּאַרטיי ווייַט אַקסעס און פאַרקויפער עקאָסיסטעמען, אַרייַנגערעכנט שטודיעס פון אָרגאַניזאַציעס אַזאַ ווי די פּאָנעמאָן אינסטיטוט, אונטערשטרייכט ווי דעם מישונג פון פּריווילעגירט אַקסעס, שערד מכשירים און געדיכטע סאַפּלייער נעטוואָרקס קענען באַדייטנד העכערן די סטייקס אַרום סערוויס-פּראַוויידער זיכערהייט.
רובֿ אָרגאַניזאַציעס אין דער 2025 ISMS.online שטאַט פון אינפֿאָרמאַציע זיכערהייט יבערבליק זאָגן אַז זיי זענען געווען אַפעקטאַד דורך לפּחות איין דריט-פּאַרטיי אָדער פאַרקויפער-פֿאַרבונדענע זיכערהייט אינצידענט אין די לעצטע יאָר.
דעריבער לייגן זיי אַזוי פיל טראָפּ אויף סטרוקטורירטע ריזיקאָ פאַרוואַלטונג, קלאָרע קאָנטראַקטואַלע קאַמיטמאַנץ און אומאָפּהענגיקע פארזיכערונג ווי ISO 27001 סערטיפיקאַציע. אייער אוידיט גרייטקייט איז, אין עפעקט, טייל פון זייער אייגענער טיפער פאַרטיידיקונג.
צוטריט פאר מערערע טענענטן, פריווילעגירטע מכשירים און קאסקיידינג ריזיקע
די מערסט קריטישע ריזיקעס פאר פילע MSP'ס ליגן ארום פריווילעגירט צוטריט און מולטי-טענענט טולינג. אינזשענירן האבן אפט שטארקע רעכטן איבער קייפל קליענטן, קענען אויספירן סקריפטן אויף הונדערטער ענדפונקטן און פירן וואלקן אינפראסטרוקטור פון צענטראלע קאנסאלן. אויב יענע אידענטיטעטן אדער טולס ווערן קאמפראמיטירט, איז דער אויפרייס ראדיוס פיל גרעסער ווי אין איין ארגאניזאציע.
אוידיטארן באַצאָלן גרויס אויפמערקזאַמקייט צו ווי איר פּלאַנירט און פירט פּריווילעגירטן אַקסעס ווייל אייערע מכשירים קענען זייער שנעל אַפעקטירן פילע קאַסטאַמערז. זיי ווילן זען קלאָרע כּללים, גוט דעפינירטע ראָלעס און קאָנסיסטענטע רוטינען פֿאַר געבן, איבערקוקן און אָפּרופן שטאַרקע רעכט. זיי זוכן אויך מאָניטאָרינג וואָס ווייזט ווי איר השגחה אויף די מכשירים און רעאַגירן צו פארדעכטיקע טעטיקייט.
אויטאָרן און קאַסטאַמערז קוקן דעריבער נאָענט צו ווי איר:
- באַשטימען, איבערקוקן און אָפּרופן פּריווילעגירטן צוטריט פֿאַר אייערע אייגענע שטאב און קאָנטראַקטאָרן.
- סעגמענטירן צוטריט אַזוי אַז טעכניקער האָבן נאָר די רעכט וואָס זיי דאַרפֿן פֿאַר זייער ראָלע און צוגעטיילטע קאַסטאַמערז.
- באַשיצן מולטי-טענאַנט פּלאַטפאָרמעס, אַרייַנגערעכנט אויטענטיפיקאַציע, אויטאָריזאַציע און מאָניטאָרינג פון אַדמיניסטראַטיווע אַקשאַנז.
- דעטעקטירן און רעאַגירן אויף טעטיקייט וואָס קען אָנווייַזן אויף מיסברויך פון אייער פּריווילעגירטן פוספּאָסטן.
ISO 27001 דיקטירט נישט קיין ספּעציפֿישע טעכנאָלאָגיעס, אָבער אירע קאָנטראָלן אויף צוטריט פאַרוואַלטונג, אָפּעראַציעס זיכערהייט און מאָניטאָרינג צושטעלן אַ שטרענגע לינזע פֿאַר דורכקוקן די געביטן. זיין גרייט פֿאַר אַן אוידיט מיינט אַז איר האָט נישט בלויז ימפּלעמענטירט קלוגע קאָנטראָלן, נאָר קענט ווייַזן ווי זיי זענען דיזיינד פֿאַר ריזיקאָ פֿון קייפל טענאַנץ, ווי זיי אַרבעטן אין פּראַקטיק און ווי איר איבערקוקט זיי.
דריטע פּאַרטייען, רעגולאַציע און די MSP'ס ראָלע אין קאַסטאַמערז' קאָנפאָרמאַנס
די רעגולאַטאָרישע פליכטן פון אייערע קאַסטאַמערז פֿאָרמען אויך ווי זיי זען אייך. פֿילע אַרבעטן אונטער פֿינאַנציעלע, געזונטהייטס-, עפֿנטלעכע אָדער אַנדערע רעזשים וואָס פֿאָדערן זיי צו פֿאַרוואַלטן דריט-פּאַרטיי ריזיקע פֿיל מער אַקטיוו ווי פֿריִער. אין יענע קאָנטעקסטן ווערט איר אָפֿט קלאַסיפֿיצירט ווי אַ קריטישער סאַפּלייער, אפילו אויב איר זענט נישט גלייך רעגולירט אַליין, אַזוי זיי ערוואַרטן אַז איר זאָלט טרעפֿן די זעלבע סטאַנדאַרדן וואָס זיי ווערן געהאַלטן צו.
אין דער 2025 ISMS.online אנקעטע, האבן בערך 41% פון ארגאניזאציעס דערמאנט דעם מענעדזשינג פון דריט-פארטיי ריזיקעס און טרעקן סופלייערס קאמפלייענס אלס א הויפט אינפארמאציע-זיכערהייט שוועריגקייט.
די צווייטע שיכט פון קאָנטראָל איז פארוואס קאנטראקטן שליסן מער און מער איין רעכטן צו אויספארשן, צייט-ליניעס פאר אינצידענטן-נאטיפיקאציעס, מינימום קאנטראל-סעטס און אויסגלייכונג מיט אנערקענטע סטאנדארטן. ווען אייערע קאסטומערס גייען דורך זייערע אייגענע אויספארשונגען אדער רעגולאטורישע איבערבליקן, מוזן זיי ווייזן אז איר, אלס א שליסל-סופלייער, ווערט געפירט מיט דער זעלבער ערנסטקייט ווי אינערליכע סיסטעמען.
ISO 27001 אוידיט גרייטקייט העלפט אייך שטיצן די דאזיגע פליכטן. א געדיכטער ISMS, דאקומענטירטע קאנטראלן, א לעבעדיגע ריזיקע רעגיסטער און קלארע גאַווערנאַנס ווייזן אז איר נעמט אייער ראלע אין זייער קאמפלייענס ערנסט. עס רעדוצירט אויך רייבונגען: ווען א קונה בעט אייך פאר באווייזן פון אייערע קאנטראלן, קענט איר שנעל און קאנסיסטענט ענטפערן אנשטאט בויען ארטיפאקטן פון פריש.
כּדי צו גיין פֿון פֿאַרשטיין די ריזיקע־רעאַליטעט צו זיך דערמיט אַדרעסירן, דאַרפֿט איר איבערזעצן דעם ISO 27001 סטאַנדאַרט אין אַ ראַם וואָס פּאַסט צו די טעגלעכע אָפּעראַציעס פֿון אייער MSP.
פארוואנדלען ISO 27001 אין א טעגלעכן MSP ISMS פריימווערק
איבערמאַכן ISO 27001 אין אַ טעגלעכן MSP ISMS פריימווערק מיינט צו פֿאַרבינדן זיינע פּונקטן און קאָנטראָלן אין דעם וועג ווי איר שוין צושטעלט באַדינונגען. אַנשטאָט בויען אַ פּאַראַלעלע קאָנפאָרמאַנס וועלט, אַדאַפּטירט איר אייערע טיקעטינג, ענדערונגען, אינצידענטן און סאַפּלייער רוטינעס אַזוי אַז זיי נאַטירלעך פּראָדוצירן די באַווייַזן און גאַווערנאַנס וואָס אָדיטאָרס און קאַסטאַמערז דערוואַרטן.
אַן ISO 27001-אויסגעריכט ISMS אַרבעט בעסטן ווען עס פילט זיך ווי אַ נאַטירלעכע פֿאַרלענגערונג פֿון אייער עקסיסטירנדיקער סערוויס פאַרוואַלטונג, נישט אַן עקסטרע שיכט וואָס ליגט אויף שפּיץ. פֿאַר אַן MSP, דאָס מיינט צו מאַפּן קלאָזולעס און קאָנטראָלס אויף די מכשירים און רוטינען וואָס איר נוצט שוין: טיקעט קיוז, ענדערונג פאַרוואַלטונג, אינצידענט האַנדלינג, אָנבאָאַרדינג און אָפבאָאַרדינג, פּלאַטפאָרמע קאָנפיגוראַציע און סאַפּלייער פאַרוואַלטונג.
אויף דעם סטרוקטורעלן שטאַפּל, פֿאָלגן די ISO 27001 קלאָזולעס אַ געמיינזאַמען מאַנאַגעמענט-סיסטעם מוסטער. איר פֿאַרשטייט אייער קאָנטעקסט, שטעלט אויף פֿירערשאַפֿט און פּאָליטיק, פּלאַנירט דורך אָפּשאַצן און באַהאַנדלען ריזיקע, גיט שטיצע, אָפּערירט קאָנטראָלן, עוואַלויִרט פּערפאָרמאַנס און דערנאָך פֿאַרבעסערט. איר טוט מסתּמא שוין אַ סך פֿון די זאַכן אינפֿאָרמעל. די אַרבעט איז אין פֿאָרמאַליזירן זיי און זיכער מאַכן אַז זיי זענען קאָנסיסטענט און קאָנטראָלירבאר.
אויב גוט געטאָן, דאַרף דאָס נישט פֿאַרהאַלטן אייערע טימז. פֿילע MSP'ס געפֿינען אַז אַ דיסציפּלינירט ISMS גיט זיי קלאָרערע באַשלוס-מאכן, מער פֿאָרויסזאָגבארע אָפּעראַציעס און שנעלערע רעאַקציעס צו קליענט פֿאָדערונגען. דער שליסל איז צו דיזיינען דעם ראַם אַרום ווי אייער NOC, SOC און סערוויס דעסק שוין פֿונקציאָנירן, אַנשטאָט זיי צו צווינגען אין אַ קאָמפּליאַנס-ערשטער מוסטער וואָס איגנאָרירט רעאַלע-וועלט באַגרענעצונגען.
מאַפּירן ISO 27001 קלאָזולעס אויף MSP ראָלעס און ריטמען
מאַפּירן ISO 27001 קלאָזולעס אויף MSP ראָלעס און ריטמען מיינט באַשליסן ווער איז דער אייגענטומער פון יעדן טייל פון דעם סטאַנדאַרט און וואו עס פּאַסט אין דיין זיצונג און באַריכט ציקל. די קלאַרקייט שטעלט אָפּ דעם ISMS פון ווערן פּאַפּיראַרבעט וואָס דערשיינט נאָר ביי דער אויספאָרשונג צייט און מאַכט עס אַ פאַרוואַלטונג געצייַג וואָס ווערט גענוצט דאָס גאַנצע יאָר.
הייבט אן דורך צו צוזאמענשטעלן די הויפט ISO 27001 קלאָזולעס צו קאנקרעטע ראָלעס, זיצונגען און אַרטיפאַקץ אין אייער MSP:
- קאָנטעקסט און פאַרנעם: לינק צו אייער סערוויס קאַטאַלאָג, פּלאַטפאָרמע אַרכיטעקטור און שליסל קונה גרופּעס; איר קענט זיי אויסדריקן דורך דיאַגראַמען, פאַרנעם סטייטמענטס און סערוויס באַשרייַבונגען.
- פירערשאפט און פאליסי: ווײַזן זיך אין אײַער זיכערהייט־פּאָליטיק, ריזיקאָ־אַפּעטיט סטעיטמענטס און די קענטיקע באַטייליקונג פֿון אָונערז, דירעקטאָרן און עלטערע מאַנאַדזשערס אין זיכערהייט־באַשלוסן.
- פּלאַנירונג און ריזיקע: לעבן אין אייער ריזיקע רעגיסטער, ריזיקע וואַרקשאַפּס און פּריאָריטיזאַציע פון רעמעדיאַציע אַקטיוויטעטן. פֿאַר MSPs, זאָל דאָס אויסדריקלעך דעקן מולטי-טענאַנט פּלאַטפאָרמעס, ווייַט אַקסעס, סאַפּלייער דיפּענדאַנסיז און קונה-ספּעציפֿישע קאַמיטמאַנץ.
- שטיצן: כולל רעסורסן צוטיילונג, קאמפעטענץ, באוואוסטזיין און דאקומענטאציע קאנטראל – למשל, אייער טרענירונג פלאן פאר אינזשענירן מיט פריווילעגירטן צוטריט און ווי איר פירט ISMS דאקומענטן.
- אָפּעראַציע: דאָרטן לויפן אייערע טיקעטירונגען, ענדערונג פאַרוואַלטונג, אינצידענט רעספּאָנס און טעגלעכע קאָנטראָלן. דאָרטן באַרירט זיך די טעגלעכע אַרבעט אַם דירעקטסטן.
- פאָרשטעלונג עוואַלואַציע: נעמט אריין מאָניטאָרינג, מעסטונג, אינטערנע אוידיט און פאַרוואַלטונג איבערבליק, וואָס קען געבויט ווערן אויף עקזיסטירנדיקע באַריכטן און איבערבליק זיצונגען.
- פֿאַרבעסערונג: פֿאַרבינדט צוזאַמען קאָרעקטיווע אַקציעס, לעקציעס געלערנט פֿון אינצידענטן און אוידיטן און קעסיידערדיקע פֿאַרפֿײַנערונג פֿון קאָנטראָלן און פּראָצעסן.
דורך פאראַנקערן יעדע קלאָז צו אַ געהייסן אייגנטימער און אַן עקזיסטירנדיקע רוטין וואו מעגלעך, רעדוצירט איר דעם ריזיקע אַז די ISMS ווערט אַ פּאַראַלעלע וועלט וואָס דערשיינט נאָר בעת אויפֿפּאַסן צייט.
מאַכן אַנעקס א קאָנטראָלס לעבעדיק אין דיין מכשירים
מאַכן אַנעקס א קאָנטראָלן לעבעדיק אין אייערע מכשירים מיינט זיי איבערזעצן אין ספּעציפֿישע קאָנפיגוראַציעס, וואָרקפלאָוז און רעקאָרדס אין אייערע PSA, RMM, אידענטיטעט און לאָגינג פּלאַטפאָרמעס. ווען קאָנטראָלן ווייַזן זיך ווי "ווי איר אַרבעט" אַנשטאָט ווי באַזונדערע דאָקומענטן, זענען זיי גרינגער צו נאָכפֿאָלגן און גרינגער צו באַווייַזן ביי אָדיט.
אַנעקס א פון ISO 27001 ליסטירט רעפערענץ קאָנטראָלן וואָס איר באַשליסט צו צולייגן אָדער באַרעכטיקן ווי נישט אָנווענדלעך דורך אייער SoA. פֿאַר MSPs, די מערסט באַטייַטיק טעמעס אַרייַננעמען אַקסעס קאָנטראָל, אָפּעראַציעס זיכערהייט, סאַפּלייער פאַרוואַלטונג, אינצידענט פאַרוואַלטונג און געשעפט קאַנטיניואַטי. דער שליסל איז נישט נאָר צו ליסטן די קאָנטראָלן, נאָר צו ימפּלאַמענטירן זיי אין וועגן וואָס אייערע מכשירים און פּראָצעסן דורכפירן און רעקאָרדירן.
פֿאַר בייַשפּיל:
- צוטריט קאָנטראָל פּאָליטיקס זאָלן דורכגעפֿירט ווערן דורך אייער דירעקטאָרי, אידענטיטעט פּלאַטפאָרמע און פּריווילעגירטע צוטריט מכשירים.
- איבערבליקן און באשטעטיגונגען פאר צוטריט ענדערונגען זאלן ווערן רעקארדירט אין אייער PSA אדער ענדערונג מענעדזשמענט סיסטעם.
- אָפּעראַציעס זיכערהייט קאָנטראָלס, אַזאַ ווי מאַלוואַרע שוץ, וואַלנעראַביליטי פאַרוואַלטונג און לאָגינג, זאָלן זיין רעפלעקטירט אין דיין ווייַט פאַרוואַלטונג באַסעליניעס און פּאַטשינג דאַשבאָרדז.
- לאָגינג קאָנפיגוראַציעס זאָלן זיכער מאַכן אַז איר האַלט די ריכטיקע געשעענישן לאַנג גענוג און קענט זיי קאָרעלירן בעת אויספאָרשונגען.
- סאַפּלייער פאַרוואַלטונג קאָנטראָלס זאָלן דערשייַנען אין דיין פּראָקורעמענט פּראָצעס, סאַפּלייער דיו דילידזשענס רעקאָרדס און פּעריאָדישע איבערבליקן פון שליסל סערוויס פּראַוויידערז.
- אינצידענט פאַרוואַלטונג קאָנטראָלס זאָלן זיך צופּאַסן צו אייער אינצידענט טיקעט וואָרקפלאָו, אַרייַנגערעכנט קלאָרע קלאַסיפֿיקאַציע און עסאַקאַלאַציע טריט.
- נאָך-אינצידענט איבערבליקן זאָלן זיין דאָקומענטירט און פֿאַרבונדן מיט ענדערונגען אין קאָנטראָלן אָדער פּראָצעסן.
ווען קאָנטראָלן ווערן אויסגעדריקט ווי "ווי מיר אַרבעטן" אין אייערע מכשירים, אַנשטאָט ווי זעלבשטענדיקע דאָקומענטן, זענען זיי גרינגער צו נאָכפֿאָלגן און גרינגער צו באַווײַזן. דאָס איז דער יסוד אויף וועלכן אַן אויডিץ-גרייטקייט ראָודמאַפּ קען געבויט ווערן.
באַפֿרײַ זיך פֿון אַ באַרג פֿון ספּרעדשיטן
איינבעטן, פארברייטערן און סקאַלירן אייער קאמפלייענס, אָן קיין כאַאָס. IO גיט אייך די ווידערשטאנד און בטחון צו וואַקסן זיכער.
בויען אייער ISO 27001 אוידיט-גרייטקייט ראָודמאַפּ: פֿון גאַפּ אַסעסמענט צו סערטיפיקאַציע
אן ISO 27001 אוידיט-גרייטקייט ראָודמאַפּ פֿאַר אַן MSP פֿאַרוואַנדלט אַבסטראַקטע קאָנפאָרמאַנס צילן אין אַ סעקווענץ פון פּראַקטישע טריט. עס שטעלט אַרויס וווּ איר זענט, וווּ איר דאַרפֿט זיין און ווי אַזוי צו דערגרייכן דאָרט אָן צו איבערוועלטיקן אייערע טימז אָדער צו פֿאַרהאַלטן קונה אַרבעט. א קלאָרע ראָודמאַפּ העלפֿט אויך MSP פירער און אייגנטימער דערקלערן פּראָגרעס און קאָמפּראָמיסן צו פירערשאַפט און אינוועסטאָרן.
ארום צוויי דריטל פון אָרגאַניזאַציעס אין דער 2025 ISMS.online אַנקעטע זאָגן אַז די שנעלקייט און באַנד פון רעגולאַטאָרישע ענדערונגען מאַכן העסקעם שווערער צו האַלטן.
א MSP-פריינדלעכע אוידיט-גרייטקייט ראָודמאַפּ דאַרף זיין רעאַליסטיש וועגן צייט, רעסורסן און געשעפט דרוק. פֿאַר פילע קליינע ביז מיטלגרויסע MSP'ס, באריכטן פּראַקטיצירער אַז אַ סטרוקטורירטע רייזע פֿון דער ערשטער ערנסטער גאַפּ אַסעסמענט ביז סערטיפיקאַציע נעמט אָפט אַרום נייַן ביז צוועלף חדשים, כאָטש מער דערוואַקסן אָרגאַניזאַציעס קענען גיין שנעלער און ווייניקער דערוואַקסן קען דאַרפֿן מער צייט. וואָס איז וויכטיק איז סיקוואַנסינג די אַרבעט אַזוי אַז איר נעמט זיך אָן מיט די העכסט-ריזיקירטע געביטן פרי, בויט גאַווערנאַנס ביסלעכווייַז און ויסמיידן צו אָוווערוועלמינג אייערע טימז.
די ראָודמאַפּ הייבט זיך אָן מיט פֿאַרשטיין וואו איר זענט היינט. א סטרוקטורירטע גאַפּ אַסעסמענט פאַרגלייכט אייערע איצטיקע פּראַקטיקעס קעגן ISO 27001 קלאָזולעס און אַנעקס A קאָנטראָלס, פאָקוסירנדיק אויף MSP-ספּעציפֿישע ריזיקעס ווי מולטי-טענאַנט אַקסעס, ווייַט פאַרוואַלטונג מכשירים, וואָלקן באַדינונגען און קריטישע סאַפּלייערז. עס זאָל אָפּשאַצן ביידע דאָקומענטאַציע און פאַקט: צי האָט איר פּאָליטיק, און צי מענטשן נאָכפאָלגן זיי?
פון דארט קענט איר דיזיינען פאזעס וואס שטימען מיט די ביזנעס פריאריטעטן, קומענדיגע אוידיטס אדער קליענט פארלאנגען און פאראן קאפאציטעט. אסאך MSP'ס קלייבן צו פארלאדן די ארבעט אויף פריווילעגירטן צוטריט, בעקאפ און רעקאָווערי און אינצידענט מענעדזשמענט, ווייל דורכפעלער דארט האבן די מערסט ערנסטע מעגליכע רעזולטאטן פאר קליענטן און פארן ביזנעס.
א גוטע פּלאַן פֿאַר אַ וועגווייַזער איז קלאָר גענוג צו פֿירן די אַקציע און פֿלעקסיבל גענוג זיך צופּאַסן צו פאַקטישע געשעענישן ווי גרויסע אינצידענטן אָדער סטראַטעגישע קליענט געלעגנהייטן.
פאַזע איינס: פאַרנעם, גאַפּ אַסעסמאַנט און שנעלע סטאַביליזאַטאָרן
פאַזע איינס שאַפט אַ געמיינזאַמע בליק אויף דעם פאַרנעם און איצטיקע צייַטיקייט בשעת עס ברענגט עטלעכע שנעלע געווינסן. אין צוויי אָדער דריי חדשים, קענט איר דעפינירן וואָס איז אין פאַרנעם, פֿאַרשטיין וווּ קאָנטראָלן זענען שוואַך און ימפּלעמענטירן פּשוטע סטאַביליזירנדיקע אַקציעס וואָס רעדוצירן ריזיקע און בויען בטחון.
אין אַ ערשטער פאַזע, אָפט איבער די ערשטע צוויי אָדער דריי חדשים, איר טיפּיש:
- באַשטעטיקט דעם פאַרנעם פון אייער ISMS און די געשעפט דרייווערס פֿאַר נאָכפאָלגן ISO 27001.
- פירן וואַרקשאַפּס מיט שליסל סטייקהאָולדערז צו מאַפּע סערוויסעס, פּלאַטפאָרמעס און שטיצע פונקציעס.
- דורכפירן אַ גאַפּ אַסעסמאַנט קעגן קלאָזולעס און שליסל אַנעקס א טעמעס, פאָוקיסינג אויף די MSP ריזיקירן געביטן וואָס זענען די וויכטיקסטע.
- אידענטיפיצירן "שנעלע סטאַביליזאַטאָרן" ווי פּשוטע פּאָליטיק דערהייַנטיקונגען און דאָקומענטאַציע פון עקזיסטירנדיקע פּראַקטיקעס.
- מאַכט קליינע קאָנפיגוראַציע ענדערונגען וואָס רעדוצירן קלאָרע ריזיקע אָן אַ גרויסן פּראָצעס רידיזיין.
די פאַזע העלפֿט אײַך אַריבערגיין פֿון אַ ווײַכער כוונה צו אַ געמיינזאַמען, באַווײַז-באַזירטן בליק אויף וווּ איר שטייט. עס גיט דער פֿירערשאַפֿט אַ געפֿיל פֿון דער גרייס פֿון דער אַרבעט און גיט אַ באַזע פֿון וועלכער צו פּלאַנירן שפּעטערע פאַזעס.
פאַזעס צוויי און דריי: רעמעדיאַציע, אינערלעכע פארזיכערונג און סערטיפיקאַציע
פאַזעס צוויי און דריי נעמען אייך פון דיזיין צו אָפּעראַציע און דערנאָך צו זיכערהייט. איר לייגט אריין די הויפּט פּראָצעסן, שטעלט אייערע מכשירים צו כאַפּן באַווייזן און דערנאָך באַווייַזט אַז די סיסטעם אַרבעט דורך אינערלעכע אויספאָרשונגען און פאַרוואַלטונג איבערבליקן. ווען איר לאַדט איין אַ סערטיפֿיקאַציע גוף, ווייסט איר שוין ווי דער געשיכטע וועט זיך אויסשפּילן.
ווייטערדיקע פאַזעס קענען דעמאָלט זיך נעמען צו טיפערע רעמעדיאַציע און פארזיכערונג אַקטיוויטעטן:
- פאַסע צוויי: קען זיך קאנצענטרירן אויף דיזיינען און איינבעטן א קערן סעט פון פראצעסן: ריזיקע מענעדזשמענט, ענדערונג מענעדזשמענט לויט ISO ערווארטונגען, צוטריט איבערבליקן, אינצידענט מענעדזשמענט און סופלייער אויפזיכט. דאס איז אויך וואו אסאך MSP'ס אימפלעמענטירן אדער פארבעסערן באווייזן כאפּונג אין זייער PSA, ווייטע מענעדזשמענט און לאגינג מכשירים.
- פאַסע דריי: אָפט קאָנצענטרירט זיך אויף דורכפירן אינערלעכע אויספֿאָרשונגען, פאַרוואַלטונג איבערבליקן און אַדרעסירן געפינסן. די פאַזע צוגרייט אייך פֿאַר עקסטערנע סטאַגע 1 און סטאַגע 2 אויספֿאָרשונגען און קען אַרייַננעמען אַ פּילאָט באַטייליקונג מיט אַ סערטיפיקאַציע גוף אָדער עקסטערנעם ראַטגעבער צו וואַלידירן אייער גרייטקייט.
דורכאויס די דאזיגע פאזעס, העלפט עס צו פארבינדן יעדן ארבעטס-שטראם צו ספעציפישע קאנטראל דאמעינען און באווייז-זאמלונגען. למשל, איר קענט באשליסן אז אין א געגעבענעם קווארטאל וועט איר ענדיגן פריווילעגירטן צוטריט פארהארטעווען און זיכער מאכן אז איר קענט פראדוצירן דריי חדשים פון צוטריט איבערבליק רעקארדס אויף פארלאנג. די קלארקייט מאכט עס גרינגער צו צוטיילן צייט, נאכפאלגן פארשריט און אויסמיידן זיך צו פארשפרייטן צו דין.
מיט אַ פּלאַן פֿאַר אַ פּלאַן און אַ גאַווערנאַנס מאָדעל, זענט איר גרייט צו קוקן אויף די ספּעציפֿישע קאָנטראָלן און באַווײַזן וואָס וועלן זײַן די וויכטיקסטע בײַ דער צײַט פֿון אַן אוידיט.
קאָנטראָלן וואָס זענען וויכטיק פֿאַר דער אויספֿאָרשונג – און ווי אַזוי זיי צו באַווײַזן
די קאָנטראָלן וואָס זענען וויכטיקסט איידער אַן ISO 27001 אוידיט זענען די וואָס קענען דירעקט שאַטן קאַסטאַמערז אויב עפּעס גייט שלעכט. אוידיטאָרן און פירמעס פאָקוסירן אויף אַקסעס פאַרוואַלטונג, לאָגינג און מאָניטאָרינג, אינצידענט האַנדלינג, באַקאַפּ און אָפּזוך און סאַפּלייער השגחה. אויב איר קענט גוט באַווייַזן די געביטן, רעדוצירט איר ביידע אוידיט ריזיקירן און פאַקטיש-וועלט פּראַל.
נישט אלע ISO 27001 קאנטראלן האבן גלייכע וואג אין אן MSP אוידיט. אוידיטארן און פירמע קאסטומערס באצאלן באזונדערע אויפמערקזאמקייט צו געביטן וואו אייערע אקציעס קענען גלייך אפעקטירן זייערע סיסטעמען און דאטן. פאר רוב MSP'ס, מיינט דאס קאנטראלן ארום צוטריט מענעדזשמענט, לאגינג און מאניטארינג, אינצידענט מענעדזשמענט, בעקאפ און רעקאָווערי און סופלייער מענעדזשמענט.
איר וועט דאַרפֿן צו אימפּלעמענטירן און באַווײַזן אַ פולשטענדיקן סכום קאָנטראָלן וואָס זענען פּאַסיק פֿאַר אײַערע ריזיקעס, אָבער פּריאָריטיזירן די געביטן מיט אַ גרויסן השפּעה העלפֿט אײַך קאָנצענטרירן זיך אויף באַגרענעצטע צײַט און אויפֿמערקזאַמקייט. עס שטימט אויך מיט וויפֿל גרויסע קאַסטאַמערז סטרוקטורירן זייערע פֿאָלגנדיקע פֿראַגעס און ווי אוידיטאָרן אויסקלײַבן מוסטערן פֿאַר טעסטינג.
די עסענץ פון באווייזן אין די געביטן איז פשוט: קענט איר ווייזן, מיט רעקארדס איבער צייט, אז אייערע קאנטראלן זענען דיזיינט מיט שכל, נאכגעפאלגט דורך שטאב און איבערגעקוקט אויף עפעקטיווקייט? פאר יעדן פריאריטעט קאנטראל, זאלט איר קענען נאכפאלגן א ליניע פון פאליסי צו פראצעדור צו אקטועלע ביישפילן אין אייערע מכשירים.
הויך-אימפּאַקט קאָנטראָלס אוידיטאָרן קוקן שטענדיק אויף
הויך-אימפּאַקט קאָנטראָלס זענען די וואָס פֿאָרעמען ווי אייערע מענטשן צוטריטן סיסטעמען, ווי איר זעט וואָס פּאַסירט און ווי איר רעאַגירט ווען זאַכן גייען שלעכט. אויב איר באַהאַנדלט די גוט, באַרואיקט איר ביידע אָדיטאָרס און קאַסטאַמערז אַז איר פֿאַרשטייט אייערע פֿאַראַנטוואָרטלעכקייטן און קענט שנעל האַנדלען ווען נייטיק.
צוטריט פאַרוואַלטונג איז געוויינטלעך אויבן אויף דער רשימה. אוידיטאָרן און קאַסטאַמערז ווילן זען אַז:
- יעדער באַניצער, אַרייַנגערעכנט אינזשענירן און סובקאָנטראַקטאָרן, האט זייער אייגענעם חשבון און טיילט נישט קיין קראַדענטשאַלז.
- פריוויליגירטער צוטריט ווערט געגעבן באזירט אויף ראלע, פארמאל באשטעטיגט און שנעל אוועקגענומען ווען עס איז מער נישט נויטיג.
- שטאַרקע אויטענטיפיקאַציע איז דורכגעפירט, ספּעציעל פֿאַר ווייטער און אַדמיניסטראַטיווער צוטריט.
- צוטריט רעכטן ווערן רעגולער איבערגעקוקט, מיט קלארע רעקארדס פון די איבערבליקן.
לאָגינג און מאָניטאָרינג קומען ווייטער. איר זאָלט קענען ווייַזן וועלכע געשעענישן איר לאָגט, ווי לאַנג איר האַלט לאָגס, ווי איר איבערקוקט זיי און ווי וואָרענונגען פידן אין אייער אינצידענט פּראָצעס. פֿאַר MSPs, לאָגס פון ווייַט פאַרוואַלטונג פּלאַטפאָרמעס, פאַרוואַלטונג קאַנסאָולז און ינפראַסטראַקטשער זענען באַזונדער וויכטיק ווייַל זיי ווייַזן ווי איר באַשיצן און סופּערווייז פּריווילעגידזשד טולינג.
אינצידענט פאַרוואַלטונג דאַרף זיין מער ווי אַן אינפאָרמעל "מיר שפּרינגען אויף עס ווען עפּעס כאַפּאַנז". אוידיטאָרן דערוואַרטן צו זען אַ סטרוקטורירט פּראָצעס מיט דעפינירטע טריט, פֿאַראַנטוואָרטלעכקייטן און קאָמוניקאַציע. זיי וועלן אָפט בעטן צו דורכגיין ספּעציפֿישע אינצידענטן: וואָס איז געשען, ווי איר האָט עס דעטעקטירט, ווי איר האָט רעאַגירט, וואָס איר האָט געלערנט און וואָס האָט זיך געביטן.
באַקאַפּ און רעקאָווערי קאָנטראָלס זענען קריטיש ווייל אייערע קאַסטאַמערז פאַרלאָזן זיך אויף אייך צו באַשיצן זייער דאַטן און פאַרפֿיגבאַרקייט. עס איז נישט גענוג צו ווייַזן אַז באַקאַפּס זענען קאָנפיגורירט; איר דאַרפֿט באַווייַזן פון רעגולער באַקאַפּ הצלחה און פּעריאָדישע רעסטאָר טעסטן, מיט רעזולטאַטן און אַקשאַנז רעקאָרדעד.
צום סוף, ווערט סאַפּלייער פאַרוואַלטונג מער און מער אונטערזוכט. איר זאָלט קענען ווייַזן ווי איר אָפּשאַצן די זיכערהייט פון אייערע אייגענע וואָלקן פּראַוויידערז, דאַטן צענטערס און שליסל ווייכווארג פאַרקויפער, ווי איר פאַרוואַלטעט קאָנטראַקטן און ווי איר מאָניטאָר זייער פאָרשטעלונג און אינצידענטן.
ווען די הויך-אימפּאַקט קאָנטראָלס זענען גוט דיזיינד, קאָנסיסטענט נאכגעפאָלגט און קלאָר באַוויזן, שאַפֿן זיי אַ שטאַרקע יסוד פֿאַר דיין ברייטערע קאָנטראָל סעט.
בויען אוידיט-גרייט באווייזן פאר יעדן קאנטראל
בויען אוידיט-גרייטע באווייזן פאר יעדן קאנטראל מיינט דיזיינען א פשוטע געשיכטע וואס איר קענט דערקענען און באשטעטיגן מיט רעקארדס. פאר יעדן הויך-אימפאקט געביט, זאלט איר קענען ווייזן פאליסי, פראצעס און קאנקרעטע ביישפילן פון אייערע סיסטעמען. ווען יענע געשיכטע איז קלאר, ווערן ביישפיל פארלאנגען פון אוידיטארן רוטינע אנשטאט סטרעספול.
פֿאַר יעדן פּריאָריטעט קאָנטראָל געגנט, קענט איר דיזיינען אַ "באַווייַז געשיכטע" וואָס איר זענט גרייט צו דערציילן:
- פֿאַר צוטריט קאָנטראָל, זאַמלען פּאָליטיק דאָקומענטן, בקשה און באַשטעטיקונג רעקאָרדס, ביישפילן פון צוגעטריבענע און פארלאָזנדיקע, און קוואַרטאַלע צוטריט אָפּשאַצונג לאָגס.
- פֿאַר לאָגינג, האַלט דיין סטאַנדאַרט, פּלאַטפאָרמע קאָנפיגוראַציעס, דאַשבאָרדז און אַלערץ, פּלוס ביישפילן פון אַלערץ וואָס האָבן דזשענערירט אינצידענט טיקאַץ.
- פֿאַר אינצידענטן, האַלט די פּראָצעדורן, די לעצטע אינצידענט טיקעטס, נאָך-אינצידענט באריכטן און רעקאָרדס פון רעזולטאַטן אין קאָנטראָל אָדער פּראָצעס ענדערונגען.
זאַמלען און סטרוקטורירן די באַווייזן איז פיל גרינגער אויב אייערע מכשירים און פּראָצעסן זענען דיזיינד געוואָרן מיט דעם אין זינען. פילע MSP'ס געפֿינען אַז ניצן אַן ISMS פּלאַטפאָרמע צו פֿאַרבינדן פּאָליטיק, קאָנטראָלן און באַווייז רעקאָרדס העלפֿט האַלטן די סטרוקטור גאַנץ איבער צייט, ספּעציעל ווען זיי סקאַליירן און לייגן צו מער קליענטן און באַדינונגען.
פאַרוואַלטן אַלע אייערע קאָנפאָרמאַנס, אַלץ אין איין אָרט
ISMS.online שטיצט איבער 100 סטאַנדאַרדס און רעגיאַליישאַנז, געבן איר אַ איין פּלאַטפאָרמע פֿאַר אַלע דיין העסקעם דאַרף.
אלגעמיינע ISO 27001 רעזולטאטן קעגן MSPs – און בלייבן גרייט פאר אן אוידיט א גאנץ יאר
געוויינטלעכע ISO 27001 רעזולטאַטן קעגן MSPs טענד צו זיין אַ פאַלשע אויסריכטונג אלא ווי אַ גאַנצער אָפּוועזנהייט פון קאָנטראָלן. אָדיטאָרס אַנטדעקן אָפט אַז ריזיקאָ רעגיסטערס, סטייטמענטס פון אַפּליקאַביליטי און פּראָצעדורן שפּיגלען נישט אָפּ די טעגלעכע רעאַליטעט. קיצורים פון געוויינטלעכע ISO 27001 נישט-קאָנפאָרמיטעטן פון סערטיפיקאַציע גופים, אַזאַ ווי NQA'ס אַנאַליז פון אָפטע רעזולטאַטן, הויכפּונקטן רעגולער פּראָבלעמען ווי אומפאַרענדיקטע ריזיקאָ באַהאַנדלונג רעקאָרדס, סאָאַ מיסמאַטשאַז און שוואַך מאָניטאָרינג, וואָס פארשטארקט אַז פילע פּראָבלעמען האָבן צו טאָן מיט אויסריכטונג אלא ווי אַ גאַנצער מאַנגל פון זיכערהייט מיטלען. בלייבן גרייט צו אָדיט דאָס גאַנצע יאָר איז וועגן האַלטן די אַרטיפאַקץ אין שריט מיט דיין באַדינונגען, מכשירים און שטאב.
ווען MSPs שטויסן זיך אן אין פראבלעמען אין ISO 27001 אוידיטס, איז עס זעלטן ווייל זיי האבן בכלל נישט קיין קאנטראלן. מער אפט, גרובן זיך די געפינסן ארום אומרעכט און אומקאנסיסטענץ: ריזיקע אפשאצונגען וואס שטימען נישט מיט דער רעאליטעט, SoAs וואס ליסטירן קאנטראלן וואס זענען נישט אינגאנצן איינגעפירט, פראצעדורן וואס זענען אנדערש פון דער אקטועלער פראקטיק און באווייז-לעכער וואס זענען געפֿארזאַכט דורך אומגלייכע לאגינג אדער דאקומענטאציע.
א געוויינטלעכע טעמע איז אז דאקומענטאציע און רעאליטעט פארטרייבן זיך מיט דער צייט. אן MSP קען אנהייבן מיט א גוט-געפלאנטן ISMS, אבער ווי סערוויסעס אנטוויקלען זיך, מכשירים טוישן זיך און שטאב קומען און גייען, ווערן דער ריזיקא רעגיסטער, SoA און פראצעדורן נישט געהאלטן אין ארדענונג. ווען אוידיטארן קומען צוריק פאר אויפזיכט אוידיטארן אדער קאסטומערס פירן זייערע אייגענע אפשאצונגען, געפינען זיי קאנטראלן מיט אומקלארע אייגנטומערשאפט, אומפארענדיגטע רעקארדס אדער אומקלארע פארנעם.
דער קעגנמיטל איז צו דיזיינען רוטינעס וואָס האַלטן אייער ISMS אין איינקלאַנג מיט אייערע אָפּעראַציעס און צו מאַכן די גרייטקייט פון אוידיט אַן אָנגייענדיקע מעטריק אַנשטאָט אַ פּראָיעקט וואָס ווערט אַמאָל אַ יאָר. דאָס מיינט נישט שטענדיקע אוידיט אַרבעט; עס מיינט צו בויען לייכטע קאָנטראָלן און איבערבליקן אין עקזיסטירנדיקע זיצונגען און דאַשבאָרדז.
איבערחזרנדיקע נישט-קאנפאָרמיטעטן אין MSP אוידיטס
איבערחזרנדיקע נישט-קאנפארמיטיעס אין MSP אוידיטס קאנצענטרירן זיך געווענליך אויף איגנארירטע MSP-ספעציפישע ריזיקעס, איבער-אפטימיסטישע SoAs, פראצעדורן וואס קיינער פאלגט נישט און שוואכע אינערליכע פארזיכערונג. פארשטיין די מוסטערן העלפט אייך דיזיינען אן ISMS וואס איז רעאליסטיש, נאכhaltig און פיל גרינגער צו פארטיידיגן ווען אוידיטארן פרעגן דעטאלירטע פראגעס.
ISO 27001 אוידיטס אויף MSPs ווייזן איבער און איבער די זעלבע שוואכקייטן אין ריזיקע, דאקומענטאציע און נאכפאלג. אנאליזן פון סערטיפיקאציע קערפערשאפטן ווי ISOQAR, וועלכע פארעפנטלעכן "הויפּט נישט-קאנפארמיטי" ליסטעס פאר ISO 27001, ווייזן איבערחזרנדיקע טעמעס ארום ריזיקע רעגיסטערס, סטעיטמענטס פון אנווענדבארקייט און מאניטארינג, וואס שפיגלט איבער די מוסטערן פון אומפארענדיגטע אדער נישט-אויסגעגלייכטע גאווערנענס. עטלעכע ביישפילן פון איבערחזרנדיקע געפינסן זענען:
- ריזיקע אפשאצונגען וואָס איגנאָרירן MSP-ספּעציפֿישע ריזיקעס. אַן MSP קען ניצן אַן אַלגעמיינעם ריזיקאָ טעמפּלאַט וואָס לאָזט אויס מולטי-טענאַנט אַקסעס, פּריווילעגירטע מכשירים, ווייטער אַקסעס און סאַפּלייער-אָפּהענגיקייטן. אוידיטאָרן ערוואַרטן אַז די זאָלן ווערן באַטראַכט עקספּליציט.
- אויסזאגן פון אנווענדבארקייט וואָס שפּיגלען נישט אָפּ די ווירקלעכקייט: קאָנטראָלס וואָס זענען געצייכנט ווי "אַנווענדלעך" זענען מעגלעך נישט גאָר דיזיינד אָדער ימפּלעמענטירט, אָדער די באַגרינדונג פֿאַר "נישט אָנווענדלעך" באַשלוסן קען זיין שוואַך געגעבן דעם פאַרנעם און סערוויסעס.
- פּראָצעדורן וואָס שטימען נישט מיט פּראַקטיק: למשל, א פּראָצעדור פֿאַר ענדערונג־פֿאַרוואַלטונג קען פֿאָדערן פֿאָרמעלע הסכּמות און השפּעה־אָפּשאַצונגען, אָבער אין דער ווירקלעכקייט ווערן פֿיל ענדערונגען געמאַכט אַד־האָק און בלויז טיילווײַז דאָקומענטירט.
- שוואַכע באַווײַזן פֿון אינערלעכער אוידיט און פאַרוואַלטונגס-איבערבליק: די אַקטיוויטעטן קענען געטאָן ווערן אינפאָרמעל אָדער בכלל נישט, לאָזנדיק ווייניק שפּורן פון סיסטעמאַטישער קאָנטראָל און פֿאַרבעסערונג.
אַדרעסירן די פּראָבלעמען איז לאַרגעלי וועגן דיסציפּלין און קלאַרקייט: זיכער מאַכן אַז עמעצער איז דער אייגענטומער פון די ריזיקאָ רעגיסטער און SoA, אַז פּראָצעדורן ווערן דערהייַנטיקט ווען באַדינונגען טוישן זיך און אַז אינערלעכע אַודאַץ און פאַרוואַלטונג באריכטן ווערן פּלאַנירט און רעקאָרדירט.
פּלאַנירן רוטינעס וואָס האַלטן אײַך גרייט דאָס גאַנצע יאָר
דיזיינען רוטינעס וואָס האַלטן אייך גרייט דאָס גאַנצע יאָר מיינט צו אַריינפֿלעכטן ISMS טשעקס אין מיטינגען און דאַשבאָרדז וואָס איר נוצט שוין. א קליינע סעט פון כוידעשלעכע און קוואַרטאַלע איבערבליקן, געשטיצט דורך קלאָרע מעטריקס, איז גענוג צו האַלטן דאָקומענטאַציע און רעאַליטעט אין איינקלאַנג אָן צו מאַכן קאָנפאָרמאַנס אין אַ באַזונדער פול-צייט אַרבעט.
צו בלייבן גרייט פאר אוידיטס א גאנץ יאר פארלאנגט נישט קיין שטענדיגע שווערע אוידיטס. אנשטאט, קענט איר:
- בויען איין מאנאטליכע טשעקס אין אפעראציאנעלע מיטינגען, איבערקוקן שליסל זיכערהייט מעטריקס, אויסנעמען און אויסגעשטאנענע אקציעס.
- דורכפירן פאָקוסירטע אינערלעכע אוידיטס יעדן קוואַרטאַל אויף טעמעס ווי צוטריט קאָנטראָל אָדער אינצידענט פאַרוואַלטונג.
- פּלאַנירן אַ יערלעכע פאַרוואַלטונג איבערבליק, וואו די פירערשאַפט באַטראַכט די פאָרשטעלונג פון די ISMS, ענדערונגען אין קאָנטעקסט, הויפּט אינצידענטן און רעסורסן באדערפענישן.
- פֿאָלגט אַ קליינעם סכום פֿירנדיקע אינדיקאַטאָרן, ווי באַשטעטיקטע ענדערונגען, פֿולשטענדיקע אינצידענט רעקאָרדס און צייטיקע צוטריט אָפּרופונגען.
איר קענט אויך כאַפּן די קאָסטן פון לעצטע-מינוט אוידיט צוגרייטונג - איבערצייט, פארשפעטיקטע פראיעקטן, פארקויף שטערונגען - און נוצן דאָס צו רעכטפארטיקן אינוועסטמענט אין אויטאָמאַציע און פּראָצעס פֿאַרבעסערונג. פילע MSPs געפֿינען אַז אַמאָל זיי זענען דורכגעגאנגען איין אָדער צוויי אוידיט ציקלען מיט אַ גוט-געוואָרצלטן ISMS, פאַלט די מאַרדזשינאַלע מי באַדייטנד.
אַמאָל איר פֿאַרשטייט ווי אָדיט גרייטקייט אַרבעט קאָנצעפּטועל און פּראַקטיש, קענט איר באַשליסן צי צו צוזאַמענשטעלן און פירן דאָס אַלץ אַליין, צי אַן MSP-פאָקוסירטע ISMS פּלאַטפאָרמע קען באַשנעלערן און סטאַביליזירן אייער רייזע.
בוך אַ דעמאָ מיט ISMS.online הייַנט
ISMS.online ערמעגליכט אייך צו צענטראליזירן אייער ISO 27001 ארבעט אזוי אז אייער ריזיקא רעגיסטער, SoA, פאליסיס, קאנטראלס און באווייזן זאלן לעבן אין איין ארט אנשטאט איבער ספּרעדשיטס, שערד דרייווס און אינבאקסן, אזוי אז איר פארברענגט ווייניגער צייט צו צוזאמענשטעלן באווייזן און מער צייט צו באדינען קאסטומערס. יענע צענטראלע איבערבליק מאכט עס גרינגער צו האלטן די דאקומענטאציע אין איינקלאנג מיט דער רעאליטעט און צו ווייזן, אין יעדן מאמענט, ווי אייער ISMS ארבעט פאר אוידיטארן און קאסטומערס.
וואָס איר קענט זען אין אַן ISMS.online דעמאָ
א פאָקוסירטע דעמאָ לאָזט אײַך זען ווי אַן MSP-גרייטע ISMS פּלאַטפאָרמע שפּיגלט אָפּ דעם וועג ווי איר אַרבעט שוין. איר קענט נאָכפֿאָלגן דעם וועג פֿון פּאָליטיקס און ריזיקאָ ביז טיקעטס, ווײַטער פאַרוואַלטונג קאָנפיגוראַציעס און לאָגס, און זען ווי יעדער קאָנטראָל פֿאַרבינדט זיך מיט ISO 27001 קלאָזולעס און אַנעקס A קאָנטראָלס. דאָס מאַכט די אַבסטראַקטע שפּראַך פֿון דעם סטאַנדאַרט פֿיל מער קאָנקרעט פֿאַר אײַערע מאַנשאַפֿטן.
אין אַן MSP-גרייטער סביבה, קענט איר זען ווי קאָנטראָלן מאַפּן זיך גלייך אויף טיקעטס, ווייט-פאַרוואַלטונג קאָנפיגוראַציעס און לאָגס און ווי באַווייזן זענען לינגקט צו ספּעציפֿישע קלאָזולעס און אַנעקס A קאָנטראָלן. בעת אַ געפֿירטער דעמאָנסטראַציע, קענט איר אויספאָרשן ווי שנעל אַן אוידיט-גרייט באַווייז פּאַק קען גענערירט ווערן פֿאַר אַ געגעבענעם קאָנטראָל, סערוויס אָדער קונה און פאַרגלייכן דאָס מיט דער מאַנועלער מי וואָס איר אינוועסטירט היינט.
איר קענט אויך נוצן א שמועס מיט ISMS.online צו דרוק-טעסטן אייער וועג-פלאן: זענען אייערע צייט-פלאנען רעאליסטיש געגעבן אייער יעצטיגע צייטיגקייט, קומענדיגע RFP'ס און רעסורסן, אדער וואלט אן אנדערע פאזירונג פארקלענערט ריזיקע און שטערונגען? אויספארשן די גאנצע קאסט פון אייגנטומערשאפט – אינערליכע צייט, קאנסולטאנט פיז און אוידיט איבערארבעט – צוזאמען מיט די פלאטפארמע'ס מעגלעכקייטן גיט אייך א קלארערע בליק אויף וואו א סטרוקטורירטע ISMS אינוועסטירונג מאכט עקאנאמישן זין.
פֿראַגן צו ברענגען צום שמועס
אנקומען צו א דעמא מיט קלארע פראגעס העלפט אייך שנעל באקומען ווערט. טראכט וועגן וואו אייער יעצטיגע ISMS פילט זיך שוואך, וואס נעמט די מערסטע מי פאר אוידיטס און וועלכע קאסטומערס אדער רעגולאטארן פירן אייערע צייט-פלעצער. טיילן די דעטאלן ערלויבט די דיסקוסיע צו פאקוסירן אויף אייערע עכטע באגרענעצונגען אנשטאט א גענערישע טור.
איר קענט אפשר פרעגן ווי אנדערע MSP'ס פון ענלעכער גרייס און סערוויס מישונג האבן סטרוקטורירט זייערע ISO 27001 פראיעקטן, וועלכע באווייזן זייערע אוידיטארן האבן געשעצט מערסטנס און ווי זיי האבן ארגאניזירט אחריות צווישן טעכנישע און נישט-טעכנישע טימס. איר קענט אויך אויספארשן ווי זיי האבן געהאנדלט איבערגעחזרטע קאסטומער זיכערהייט אפשאצונגען, נישט נאר סערטיפיקאציע אוידיטארן.
רעדן מיט MSP'ס וואָס נוצן שוין ISMS.online קען אייך געבן אַ באַגרינדעטן געפיל פון וואָס גוט קוקט אויס אין פּראַקסיס: ווי לאַנג זייער סערטיפיקאַציע האָט גענומען, ווי פיל אינערלעכע מי איז געווען ינוואַלווד, ווי אָפט קאַסטאַמערז פרעגן פֿאַר די סערטיפיקאַט און ווי זייער אָדיט דערפאַרונג האָט זיך געביטן. אויב איר ווילט אַז ISO 27001 אָדיט גרייטקייט זאָל ווערן אַ סטאַביל, ווערט-צוגעבנדיק טייל פון דיין MSP, אַנשטאָט אַ קעסיידערדיקע כאַאָס, איז אַ קורצע, געפירטע טור פון ISMS.online אַ פּראַקטישער ווייַטער שריט צו זען צי די פּלאַטפאָרמע איז די ריכטיקע פּאַסיק פֿאַר איר.
ספר אַ דעמאָאָפֿט געשטעלטע פֿראגן
וואָס מיינט טאַקע ISO 27001 אוידיט גרייטקייט פֿאַר אַ געראטן סערוויס פּראַוויידער?
פֿאַר אַ געראטן סערוויס פּראַוויידער, מיינט ISO 27001 אוידיט גרייטקייט אַז איר קענט פאַרלעסלעך ווייַזן, אויף יעדן געגעבענעם טאָג, אַז אייער אינפֿאָרמאַציע זיכערהייט פאַרוואַלטונג סיסטעם (ISMS) איז דעפינירט, אַרבעט און באַוויזן איבער אייערע סערוויסעס - נישט נאָר אַז איר "נעמט זיכערהייט ערנסט".
ווי אזוי ווײַזט זיך "שטענדיק גרייט" אויף אין טעגלעכער MSP אַרבעט?
אין אַ שטענדיק-גרייטן MSP, שטימט אייער סקאָפּעד ISMS מיט ווי איר פירט טאַקע דעם געשעפט: סערוויס דעסק, NOC/SOC, האָסטינג פּלאַטפאָרמעס, ווייטע מכשירים און די אינערלעכע טימז וואָס שטיצן זיי, אַזאַ ווי HR, פינאַנץ און פּראָקורמענט. אייער סקאָפּ סטעיטמענט שפיגלט אָפּ אייער איצטיקע קונה-מישונג און פּלאַטפאָרמעס, אייער ריזיקאָ אַסעסמענט נעמט עקספּליציט אָן מולטי-טענאַנט מכשירים, פּריווילעגירט אַקסעס און שליסל סאַפּלייערז, און אייער סטעיטמענט פון אַפּליקאַביליטי שטימט מיט די קאָנטראָלס וואָס איר נוצט טאַקע, נישט אַן אידעאַליזירטן צוקונפֿטיקן צושטאַנד.
טאָג־טעגלעך ווײַזט זיך דאָס אָן ווי קאָנסיסטענטע באַווײַזן איבער די לעצטע 6–12 חדשים: אינצידענט־טיקעטס מיט קלאַסיפֿיקאַציעס, ענדערונג־רעקאָרדס מיט באַשטעטיקונגען, צוטריט־איבערבליקן מיט רעזולטאַטן, באַקאַפּ־טעסט־לאָגס, סאַפּלייער־איבערבליקן, אינערלעכע אויספֿאָרשונגען און מאַנאַגעמענט־איבערבליק־פּראָטאָקאָלן. אויב אַן אויספֿאָרשער – אָדער אַ גרויסער קונה – בעט פֿאַר "אַ P1 אינצידענט וואָס האָט אַפֿעקטירט קייפל טענענטן לעצטן קוואַרטאַל" אָדער "אַן אַדמין־צוטריט־ענדערונג פֿאַר אַ שליסל־קונה," קענט איר צוזאַמענברענגען דעם שפּור אין מינוטן פֿון אייערע סיסטעמען אַנשטאָט דורכצופֿאַלן אינבאָקסעס און פּערזענלעכע טעקעס.
ניצן אַ ספּעציעלע פּלאַטפאָרמע ווי ISMS.online העלפֿט אײַך האַלטן די רואיגע גרייטקייט. פּאָליטיקס, ריזיקעס, קאָנטראָלן, אויডিץ און אַקציעס זיצן אין איין סטרוקטורירטן ISMS אַנשטאָט אין צעוואָרפֿענע ספּרעדשיטס, אַזוי איר און אײַער מאַנשאַפֿט קענען ווײַזן ווי פּאָליטיק, פּראָצעס און רעקאָרדס פֿאַרבינדן זיך אָן אַ גערויש.
ווי איז דאָס אַנדערש פֿון נאָר זײַן "זיכערהייט באַוואוסטזיניק"?
זיכערהייט-באוואוסטזיניג זיין מיינט אפט אז איר ניצט קלוגע מכשירים און פארלאזט זיך אויף גוטע מענטשן; זיין גרייט פאר אן אוידיט מיינט אז יענע מכשירים און מענטשן זיצן אין א געראטן, דאקומענטירטן און איבערגעקוקטן סיסטעם וואס איר קענט מסביר זיין און באווייזן פאר א דריטן פארטיי.
איר קענט טראַכטן וועגן דעם אויף דעם וועג:
| אַספּעקט | זיכערהייט באוואוסטזיניק | אוידיט-גרייט ISMS |
|---|---|---|
| יידעס - זאָגן | איין-מאליקע סקרינשאטס, מונדליכע דערקלערונגען | דאַטירטע רעקאָרדס צוגעפּאַסט צו ספּעציפֿישע ISO 27001 קאָנטראָלן |
| קאָנסיסטענסי | ווענדט זיך אויף אינזשעניר, קונה אדער שיכט | געוויינטלעכע פּראָצעסן געווענדט אַריבער קאַסטאַמערז און טימז |
| גאָווערנאַנסע | אד-האָק אויפהערונגען, רעאַקטיווע פֿאַרריכטונגען | פּלאַנירטע רעצענזיעס, גענאַנטע אייגנטימער, אינערלעכע אויספֿאָרשונגען, פֿאַרפֿאָלגטע אַקציעס |
| קונה געשיכטע | מיר ניצן גוטע מכשירים און בעסטע פּראַקטיקעס. | "דאָ איז ווי מיר פאַרוואַלטן ריזיקע, און דאָ איז דער באַווייַז איבער צייט." |
ווען אייער ISMS ווערט געלעבט אנשטאט לאַמינירט, הערט איר אויף צו פֿאַרלאָזן זיך אויף יחידישע זכּרון און הייבט אָן צו דערציילן אַ קאָנסיסטענטע, איבערחזרנדיקע געשיכטע פֿון פּאָליטיק ביז טיקעטס און לאָגס. דאָס איז דער מדרגה פֿון דיסציפּלין וואָס אָדיטאָרס און פֿאָדערנדיקע קויפֿער ערוואַרטן ווען זיי זען ISO 27001 אויף אַ MSP'ס וועבזייטל.
ווי זאָל אַ מענעדזשד סערוויס פּראַוויידער דיזיינען אַ רעאַליסטישע ISO 27001 אוידיט גרייטקייט ראָודמאַפּ?
א רעאליסטישע ראָודמאַפּ פֿאַרוואַנדלט "מיר זאָלן באַקומען ISO 27001" אין אַ סעקווענץ פֿון קאָנטראָלירבארע טריט וואָס פּאַסן אַרום SLAs און פּראָיעקטן, אַנשטאָט צו קאָנקורירן מיט זיי אָדער זיך פֿאַרלאָזן אויף איין איבערגעלאָפֿן אינזשעניר.
וואָס זענען די הויפּט פאַזעס פון אַ MSP-ספּעציפֿיש ISO 27001 ראָאַדמאַפּ?
רובֿ MSP'ס וואָס דערגרייכן און האַלטן סערטיפיקאַציע נאָכפאָלגן דרייַ ברייטע פאַזעס וואָס שפּיגלען דעם פּלאַנירן-טאָן-קאָנטראָלירן-אַקט ציקל אין ISO 27001:2022.
1. דעפינירן דעם פארנעם און פארשטיין די לעכער (ארום חדשים 0–3)
איר הייבט אן מיט באשטעטיגן וועלכע סערוויסעס, פלאטפארמעס, ראיאנען און לעגאלע ענטיטיס איר וועט ארייננעמען. פון דארט, אפשאצט איר אייער יעצטיגע פראקטיק קעגן ISO 27001:2022 און די אנעקס A טעמעס וואס זענען וויכטיגסט פאר MSPs: פריווילעגירטע צוטריט, ווייטער שטיצע, קלאָוד און האָסטינג, לאָגינג און סאַפּלייער ריזיקע. אנשטאט צו פרובירן צו אדרעסירן אלעס אויף איין מאל, פאקוסירט איר אויף א קורצע ליסטע פון הויך-אימפאקט פארבעסערונגען באזירט אויף רעאלע ריזיקע און שליסל קונה ערווארטונגען.
2. בויען און איינפלוסן דעם ISMS (ארום חדשים 3–6)
אין דעם פאַזע לייגט איר אויף דעם "סקעלעט" פון דער פאַרוואַלטונג סיסטעם: אַ ריזיקאָ רעגיסטער, אַ דערקלערונג פון אַפּליקאַביליטי, אַ פּאָליטיק סעט, דעפינירטע ראָלעס און אַ רעאַליסטישע גאַווערנאַנס קאַדענץ. איר פֿאַרבינדט שליסל וואָרקפלאָוז אין מכשירים וואָס אייער מאַנשאַפֿט ניצט שוין – סערוויס דעסק טיקאַץ, ענדערונג און מעלדונג פּראָצעסן, אידענטיטעט פּלאַטפאָרמעס, פּאַטשינג מכשירים און סאַפּלייער רעקאָרדס – אַזוי אַז אייער ISMS ווערט געטריבן דורך טעגלעכע אַקטיוויטעטן אַנשטאָט פּאַראַלעל אַדמיניסטראַציע. באַווייזן הייבן אָן צו אָנקלייַבן נאַטירלעך ווי איר אַרבעט.
3. זיכער מאַכן פאָרשטעלונג און צוגאַנג סערטיפיקאַציע (אַרום חדשים 6-9+)
אזוי שנעל ווי די סטרוקטור איז שוין אויף זיין פלאץ און די אויפפירונגען בארואיגן זיך, פירט איר אויס כאטש איין אינערליכן אוידיט ציקל קעגן ISO 27001:2022 און פירט אויס א מענעדזשמענט רעוויו וואס קוקט טאקע אויף ריזיקעס, אינצידענטן, אוידיט רעזולטאטן און געפלאנטע פארבעסערונגען. ווען יענער שלייף ארבעט, לאדנט איר איין א סערטיפיקאציע קערפער פאר סטאַגע 1 און סטאַגע 2 אוידיטס, מיט ווייניגער איבערראשונגען ווייל איר האט שוין געטעסט אייער אייגענע סיסטעם.
קאָאָרדינירן דאָס דורך ISMS.online מאַכט עס גרינגער צו שפּורן ווער עס באַזיצט וואָס, וואָס איז גאַנץ און וווּ באַווייזן געפינען זיך. יעדער זעט די זעלבע ריזיקעס, קאָנטראָלן און אַקציעס אַנשטאָט צו האַלטן זייער אייגענע ווערסיע אין באַזונדערע דאָקומענטן אָדער מכשירים.
ווי לאַנג נעמט סערטיפיקאַציע געוויינטלעך פֿאַר אַן MSP?
פֿאַר קליינע ביז מיטלגרויסע MSP'ס מיט גלייַכגעוויכטיק זיכערהייט היגיענע, איז נייַן ביז צוועלף חדשים פֿון ערנסטער גאַפּ אַנאַליז ביז סערטיפֿיקאַציע אַ געוויינטלעכער מוסטער, אויב מיר נעמען אָן אַז אַ קליין קערן מאַנשאַפֿט קען אָפּגעבן קאָנסיסטענט צייט יעדע וואָך. פּראַוויידערז מיט עקזיסטירנדיקע SOC 2 באַריכטן אָדער פֿריִערדיקע ISO דערפֿאַרונג רירן זיך מאַנטשמאָל שנעלער; יינגערע געשעפֿטן אָדער די וואָס גייען דורך גרויסע פּלאַטפאָרמע ענדערונגען קענען אויסציען דעם צייטפּלאַן צו צופּאַסן ISO 27001 מיט ברייטערער טראַנספֿאָרמאַציע.
אויב איר ווילט קאָמפּרעסירן יענע צייט־וואָג אָן אויסמאַטערן אייער מאַנשאַפֿט, ווידער־ניצן פאַר־געבויטע ISO 27001 סטרוקטורן און וואָרקפֿלאָוז אין אַ פּלאַטפאָרמע ווי ISMS.online נעמט אַוועק אַ סך פֿון דער אַרבעט מיטן דיזיין און דאָקומענט פֿאָרמאַטירן, אַזוי אַז אייער מי גייט אַרײַן אין באַשלוסן און פֿאַרבעסערונגען אַנשטאָט אויסלייג.
וועלכע ISO 27001:2022 קאָנטראָלן קאָנטראָלירן אוידיטאָרן אַם מײַסטנס פֿאַר MSP'ס, און ווי זאָלט איר צוגרייטן באַווײַזן?
פֿאַר געראטן סערוויס פּראַוויידערז, באַצאָלן אָדיטאָרס און ענטערפּרייז קאַסטאַמערז באַזונדערע ופֿמערקזאַמקייט צו די קאָנטראָלן וווּ אַן איינציקער דורכפֿאַל קען אַפֿעקטירן פֿיל קאַסטאַמערז אין דער זעלבער צייט. דאָס נעמט געוויינטלעך אַרײַן פּריווילעגירט אַקסעס, אָפּעראַציעס זיכערהייט, אינצידענט פאַרוואַלטונג, באַקאַפּ און אָפּזוך, און סאַפּלייער השגחה.
וועלכע קאָנטראָל קלאַסטערס טענד צו צוציען די מערסטע פֿראַגעס?
כאָטש אַ פונקציאָנירנדיק ISMS דאַרף קאַווערידזש איבער אַלע אַנעקס A טעמעס, זען MSPs געוויינטלעך טיפערע אויספאָרשונגען אין פינף געביטן:
- פריוויליגירטער צוטריט און אידענטיטעט: – ווי איר גיט, איבערקוקט און בטל געמאכט טיפע צוטריט אין קאסטומער סיסטעמען און געטיילטע פלאטפארמעס, אריינגערעכנט מולטי-פאקטאר אויטענטיפיקאציע און ענגע אדמין גרופע מיטגלידערשאפט.
- אָפּעראַציעס זיכערהייט: – באַזישע קאָנפיגוראַציעס און פֿאַרהאַרטונג אין אייערע RMM און וואָלקן סביבות, פּאַטש און וואַלנעראַביליטי פאַרוואַלטונג, און לאָגינג געהאלטן לאַנג גענוג צו שטיצן אויספֿאָרשונגען.
- אינצידענט דעטעקציע און רעאקציע: – ווי אזוי איר דעטעקטירט און קלאַסיפֿיצירט אינצידענטן, פֿאַרשפּרייט זיך צווישן קאַסטאָמערס, און זאָרגט אַז די געלערנטע לעקציעס ווערן איבערגעזעצט אין בלייַביקע לייזונגען.
- באַקאַפּ און אָפּזוך: – סטראַטעגיעס, סקעדזשולז, סטאָרידזש אַראַנזשירונגען און באַווייַזן אַז טעסט רעסטאָראַטיאָנס פּאַסירן און טרעפן מסכים אָפּזוך צילן.
- דריט-פּאַרטיי און וואָלקן ריזיקע: – ווי אזוי איר קלייבט אויס, קאנטראקטירט מיט און באריכטעט די פארקויפער וועמענס סערוויסעס שטיצן אייערע אייגענע.
די קלאַסטערס רעפּרעזענטירן אייער גרעסטן "בלאַסט ראַדיוס" אויב עפּעס גייט שלעכט, אַזוי אָדיטאָרס אָפט נאָכפאָלגן זייערע פֿראַגעס פֿון פּאָליטיק און ריזיקע צו עכטע טיקאַץ און לאָגס.
ווי זעט אויס שטאַרקע, MSP-רעלעוואַנטע באַווײַזן אין די געביטן?
איבערצייגנדיקע באווייזן זענען צייטלעך, איבערחזרבאר און קלאר פארבונדן מיט קאנטראלן און ריזיקעס, אנשטאט צו זיין אן איינמאליגער באריכט צוגעגרייט פאר אן איינציקער אוידיט. למשל:
| קאָנטראָל געגנט | ביישפילן פון שטאַרקע באַווייזן |
|---|---|
| פריוויליגירטער צוטריט | טיקעטן וואָס ווייַזן באַשטעטיקונגען, ענדערונגען אין אַדמין גרופּעס, פּעריאָדישע צוטריט באריכטן און רעזולטאַטן |
| לאָגינג און מאָניטאָרינג | באַזעליין און ריטענשאַן סעטטינגס, מוסטער געשעעניש טראַסעס, נאָכפאָלגן הערות פון אַלערץ |
| ינסידענט אַדמיניסטראַציע | אינצידענט רעקאָרדס מיט השפּעה, וואָרצל גרונט, אַקשאַנז און פֿאַרבונדענע ענדערונגען |
| באַקקופּ & אָפּזוך | רוטינע באַקאַפּ באַריכטן פּלוס דאָקומענטירטע טעסט רעסטאָרס מיט טיימינג קעגן RPO/RTO |
| סאַפּלייער פאַרוואַלטונג | דיו דילידזשענס רעקאָרדס, קאָנטראַקטן מיט זיכערהייט קלאָזולעס, דאַטירטע פאַרקויפער אָפּשאַצונג פּראָטאָקאָלן |
אויב יענע רעקאָרדס זענען פארבונדן צו אייערע קאָנטראָלן און סטעיטמענט פון אַפּליקאַביליטי אין ISMS.online, קענט איר עפענען א קאָנטראָל, ווייזן אייער באַשלוס, און גלייך אריינשפרינגען אין שטיצנדיקע ביישפילן פון אייערע PSA, RMM, אידענטיטעט אדער באַקאַפּ פּלאַטפאָרמעס. יענע ענד-צו-ענד שפּור פון ריזיקע ביז פאַקטישע טעטיקייט איז וואָס פאַרוואַנדלט א ליסטע פון מכשירים אין אן אוידיטאַבלע סיסטעם, און עס באַרואיקט ביידע אוידיטאָרן און סאָפיסטיקירטע קאַסטאַמערז.
וואָס ISO 27001 אוידיט פּראָבלעמען טרעפן MSPs זיך אָפטסט אָן, און ווי קען מען זיי פֿאַרמייַדן?
פילע ISO 27001 רעזולטאַטן אין MSPs שטאַמען ווייניקער פון פעלנדיקע קאָנטראָלן און מער פון אַ ריס צווישן וואָס איז געשריבן און וואָס טאַקע פּאַסירט. אוידיטאָרן באַמערקן שנעל ווען די ISMS אויף פּאַפּיר איז גלאַט אָבער די וועג ווי די סערוויס דעסק, NOC אָדער אינזשענירינג טימז אַרבעטן פּאַסט נישט גאַנץ.
וואו טרעפֿן זיך געוויינטלעך דאָקומענטאַציע און ווירקלעכקייט?
געוויינטלעכע מוסטערן אַרייַננעמען:
- אלגעמיינע ריזיקע רעגיסטערס: וואָס דערמאָנען נישט MSP-ספּעציפֿישע עקספּאָוזשערז ווי למשל מולטי-טענאַנט אַדמיניסטראַציע מכשירים, שערד אַקאַונץ, "שאָטן" ווייַט אַקסעס סאַלושאַנז אָדער אָפּעראַציאָנעל איין פונקטן פון דורכפאַל.
- איבער-אפטימיסטישע סטעיטמענטס פון אנווענדבארקייט: וואָס מאַרקירן קאָנטראָלס ווי גאָר אימפּלעמענטירט ווען זיי זענען בלויז טיילווייז דיפּלוייד, אָדער געווענדט נישט קאָנסיסטענט צווישן קונה גרופּעס.
- פּראָצעדורן וואָס ליגן אויף אַ פּאָליצע: , ספּעציעל אַרום ענדערונג קאָנטראָל, צוטריט אָפּשאַצונגען אָדער אינצידענט קלאַסיפיקאַציע, ווײַל זיי זענען געשריבן אין אַ דעקער סטאַנדאַרד שפּראַך אַנשטאָט די שפּראַך וואָס אײַערע טימז נוצן אין טיקאַץ.
- אויבערפלעכלעך אינערלעכע אוידיט און פאַרוואַלטונג איבערבליק: וואו רעקאָרדס עקזיסטירן אָבער ווײַזן נישט אַז פּראָבלעמען ווערן נאָכגעפֿאָלגט ביזן סוף.
די פראבלעמען שוואכן אנדערש שטארקע טעכנישע ארבעט ווייל זיי ווייזן אז אייער ISMS עקזיסטירט בעיקר פאר סערטיפיקאציע, אנשטאט אלס דער וועג ווי איר פירט א מענעדזשד סערוויס.
ווי קענען MSP'ס בלייבן גרייט פֿאַר אַן אוידיט דאָס גאַנצע יאָר, אַנשטאָט זיך צו יאָגן פֿאַר באַזוכן?
די MSP'ס וואָס פֿאַרמייַדן לעצטע-מינוטיקע געשלעגן פֿאַרוואַנדלען געוויינטלעך זיכערהייט אין אַ לייכטן אָבער שטאַרקן ריטעם אַנשטאָט אַ פּראָיעקט וואָס ווערט אַמאָל אַ יאָר. דאָס קען אַרייַננעמען:
- דורכפירן קליינע, טעמאַטישע אינערלעכע אויספארשונגען יעדן קווארטל וואָס פאָקוסירן אויף איין אָדער צוויי געביטן ווי באַקאַפּ טעסטינג, צוטריט איבערבליקן אָדער אינצידענט האַנדלינג.
- דורכפירן א יערליכע מענעדזשמענט איבערבליק וואס קוקט אויף טרענדס אין ריזיקעס, אינצידענטן, אוידיט רעזולטאטן, הויפט ענדערונגען און פארבעסערונג פריאריטעטן, מיט קלארע רעזולטאטן און אייגענטימער.
- נאכפאלגן א קורצע ליסטע פון פשוטע אינדיקאטארן יעדן חודש, ווי צום ביישפיל ווי שנעל דער צוטריט פון פארלאזנדע ווערט אוועקגענומען, צי באקאפ טעסט רעסטאָרס זענען לויטן פּלאַן, און דער סטאַטוס פון הויך-פּריאָריטעט קאָרעקטיווע אַקציעס.
איינפאקן די טשעקפונקטן אין עקזיסטירנדע אפעראציאנעלע מיטינגען מאכט זיי גרינגער צו אויפהאלטן. מיט ISMS.online אלס דער צענטער פאר אייער ריזיקא רעגיסטער, SoA, אינערליכע אוידיטס, קארעקטיווע אקציעס און מענעדזשמענט רעצענזיעס, קענט איר האלטן דעם ISMS אין איינקלאנג מיט אייער פאקטישן סערוויס אנשטאט זיך צו פארדריפטן.
ווען די רוטינעס זענען אין פלאץ, ווערט א קורץ-נאטיגער אויפזיכט באזוך אדער אן אומגעריכטע קונה אפשאצונג ווייניגער שרעקעדיג. איר קענט ווייזן אקטועלע ISO 27001 ארטיפאקטן וואס שפיגלען אפ ווי אייער אפעראציע ארבעט היינט, אנשטאט זיך צו פארלאזן אויף א שטראם פון לעצטע-מינוט אפדעיטס.
ווי קען אַן MSP ניצן אַן ISMS פּלאַטפאָרמע צו ברענגען ISO 27001 באַווייַזן צוזאַמען אַריבער מכשירים און קאַסטאַמערז?
מענעדזשד סערוויס פּראַוויידערז האָבן אָפט באַווייַזן צעוואָרפן איבער פאַרשידענע סיסטעמען: טיקעטינג פּלאַטפאָרמעס, RMM מכשירים, וואָלקן קאַנסאָולז, אידענטיטעט באַדינונגען, קאָנטראַקט ריפּאַזאַטאָריז און HR אָדער לערנען מכשירים. אַן ISMS פּלאַטפאָרמע פאַרבייַט נישט די סיסטעמען; עס גיט די אָרגאַנייזינג שיכט וואָס קאַנעקץ ISO 27001 רעקווירעמענץ צו ווו די אַרבעט איז טאַקע געטאן.
ווי זעט אויס גוטע באווייז-צענטראליזאציע פאר אן MSP?
אין אַ גוט־סטרוקטורירטן ISMS, דעפינירט מען יעדן ISO 27001:2022 קאָנטראָל איין מאָל און דערנאָך פֿאַרבינדט מען עס צו איין אָדער מער באַווײַז־קוואַלן, למשל:
- סערוויס דעסק אינצידענט און ענדערונג רעקאָרדס אין אייער PSA אדער ITSM
- באַניצער, גרופּע און אַדמין ראָלע דאַטן אין דיין וועגווייַזער און אידענטיטעט פּלאַטפאָרמעס
- באַסעליין, פּאַטש און סקריפּט קאָנפיגוראַציעס אין דיין RMM
- טעסט-רעסטאָר רעזולטאַטן און קאַפּאַציטעט באַריכטן פֿון אייערע באַקאַפּ מכשירים
- קאנטראקטן, דאטן פראסעסינג אפמאכן און סופלייער רעצענזיע נאטיצן אין אייערע דאקומענט סיסטעמען
- טרענירונג קאמפלישאַנז און פּאָליטיק דערקענטענישן פון HR אָדער לערנען פּלאַטפאָרמעס
אין ISMS.online, ווערט יעדע קאנטראל א קליין צענטער: א קלארע באשרייבונג, איר SoA באשלוס, און די באווייז לינקס אדער אטעטשמענטס אויף וועלכע איר פארלאזט זיך. איר דארפט נישט ארויפלאדן יעדן לאג אין די ISMS; אנשטאט, צענטראליזירט איר די "מאפע" פון וואו צוטרויליכע רעקארדס געפינען זיך, און ווייזט אז איר קוקט זיי איבער רעגלמעסיג.
מיט דער צייט מאכט די סטרוקטור דריי זאכן גרינגער: אינערליכע אויספארשונגען, ווייל אויספארשער ווייסן וואו צו נעמען מוסטערן; עקסטערנע אויספארשונגען, ווייל איר און די סערטיפיקאציע קערפערשאפט ארבעטן פון דער זעלבער ISMS בליק; און פארקויף אדער אקאונט טימס וואס ענטפערן קאסטומער זיכערהייט קוועסטיאנערן, ווייל זיי קענען ציען פון אויסגעקליבענע באווייזן אנשטאט איבערצומאכן די ענטפערס יעדעס מאל.
ווי אזוי שטיצט די דאזיגע צוגאנג מולטי-טענאַנט און מולטי-רעגיאָן MSP מאָדעלן?
אנשטאט אויפצוהאלטן באזונדערע ISMS דאקומענטן פאר יעדן טענענט אדער ראיאן, דעפינירט איר סערוויס-לעוועל קאנטראלן און ווייזט דערנאך ווי די קאנטראלן גילטן איבער קאסטומערס און געאגראפיעס. למשל, איר קענט האבן איין פריווילעגירטן צוטריט פראצעס פארבונדן צו אייער אדמין אידענטיטעט פלאטפארמע, מיט ביישפיל טיקעטס פון פארשידענע ראיאנען אדער קאסטומער גרופעס צו ווייזן קאווערידזש.
מיט ISMS.online אַקטינג ווי די צענטראַלע ISMS, קענט איר ענטפֿערן אויף פֿראַגעס ווי "ווי אַזוי פאַרוואַלטעט איר צוטריט פֿאַר אונדזער סביבה אין ראַיאָן X?" דורך ערשט ווייַזן די גלאָבאַלע קאָנטראָל און דערנאָך דורכגיין אַ ספּעציפֿיש בייַשפּיל פֿון די באַטייַטיק מכשירים. יענע קאָמבינאַציע - איין קאָנסיסטענט סיסטעם געשטיצט דורך פאַקטישע, קאָנטעקסט-ספּעציפֿישע רעקאָרדס - איז וואָס ענטערפּרייז קויפער דערוואַרטן ווען איר פּרעזענטירן ISO 27001 סערטיפיקאַציע ווי טייל פֿון דיין סערוויס אָפֿער.
וואָס זאָל אַ מענעדזשד סערוויס פּראַוויידער אַרייַננעמען אין אַן ISO 27001 אָדיט גרייטקייט טשעקליסט?
פֿאַר אַן MSP, אַ נוצלעכע ISO 27001 אוידיט גרייטקייט טשעקליסט פירט זיך מער ווי אַ שנעלע געזונטהייט קאָנטראָל פון דיין ISMS ווי אַ סטאַטישע דאָקומענט אינווענטאַר. עס זאָל דיר העלפֿן אויסאַרבעטן, אויף איין בליק, צי דיין פאַרוואַלטונג סיסטעם שפּיגלט נאָך אָפּ ווי דו אַרבעטסט היינט און צי דו קענסט דאָס ווייַזן צו אוידיטאָרן און קאַסטאַמערז אָן אַ יאָגעניש.
וועלכע זאכן געהערן אויף אַן MSP-פאָקוסירטער גרייטקייט טשעקליסט?
אן עפעקטיווע טשעקליסט באהאנדלט געווענליך:
- א קלארע, אַקטועלע ISMS פאַרנעם סטעיטמענט וואָס פּאַסט צו אייערע אָפפערס, פּלאַטפאָרמעס, געאָגראַפֿיעס און שליסל סאַפּלייערז.
- אן אַקטועלע ריזיקאָ אַסעסמענט וואָס אַדרעסירט עקספּליציט מכשירים פֿאַר קייפל טענאַנטן, פּריווילעגירט צוטריט, ווײַט שטיצע מעקאַניזמען און קריטישע דריט-פּאַרטיי באַדינונגען.
- א דערקלערונג פון אנווענדבארקייט וועמענס קאנטראל דיסיזשאַנז שטימען מיט יענעם ריזיקע בילד און די קאנטראלן וואָס איר האָט טאַקע אימפּלעמענטירט.
- פּאָליטיקס און פּראָצעדורן וואָס סערוויס דעסק, NOC/SOC און אינזשעניריע טימז דערקענען, ווײַל זיי שפּיגלען אָפּ דעם וועג ווי טיקעטן, ענדערונגען און אינצידענטן ווערן טאַקע באַהאַנדלט.
- באווייזן סעטס פאר הויך-אימפּאַקט קאָנטראָל געביטן ווי צוטריט איבערבליקן, לאָגינג, אינצידענט פאַרוואַלטונג, באַקאַפּ און אָפּזוך, און סאַפּלייער השגחה.
- אינטערנע אוידיט באריכטן און מענעדזשמענט רעקארדס פון אייער לעצטן ציקל, פלוס באווייז אז איינגעשטימטע אקציעס ווערן דורכגעארבעט.
- א קורצע ליסטע פון רעאליסטישע פֿאַרבעסערונג אַקטיוויטעטן מיט אייגנטימער און דאַטעס, וואָס ווײַזט אָנגייענדיקע אַנטוויקלונג אַנשטאָט אַ סטאַטישע "צו-טאָן" ליסטע.
- צוגעגרייטע, קאָנסיסטענטע ווערטער וואָס באַשרײַבן אײַער זיכערהייט־שטעלונג און אילוסטרירן ווי איר רעאַגירט צו שווערע קונה־זיכערהייט־פֿראַגעבאָגן, גרייט צו אַרײַנלייגן אין RFP'ס און באַנײַונגען.
אין ISMS.online, קענט איר באַהאַנדלען די טשעקליסט ווי אַ לעבעדיקע אַרבעטספּלאַץ, מיט יעדן פּונקט באַשטימט מיט אַן אייגנטימער, אַ סטאַטוס און פֿאַרבונדענע באַווייַזן. דאָס מאַכט עס גרינגער צו זען פּראָגרעס און דריפֿט, און צו ווייַזן צו אָדיטאָרס און ענטערפּרייז קויפער אַז אייער ISO 27001 ISMS ווערט אַקטיוו געראטן אַנשטאָט מיינטיינד בלויז אין די צייט פון אָדיט.
ווי אזוי שטיצט א גרייטקייט טשעקליסט אונטערנעמונג RFPs און באנייאונגען?
גרויסע קאסטומערס ווילן וויסן צי זיי קענען אייך איצט צוטרויען און צי דאס צוטרוי וועט מסתמא האלטן איבערן גאנצן לעבן פונעם קאנטראקט. א געהאלטענע אויספארשונג-גרייטקייט טשעקליסט העלפט אין ביידע זייטן ווייל עס האלט אייערע באווייזן סטרוקטורירט און אייער סטארי קאנסיסטענט.
ווען טשעקליסט זאכן זענען גלייך פארבונדן מיט גוט-ארגאניזירטע אינהאלט אין ISMS.online, קענען אייערע טימז שנעל ענטפערן אויף RFP זיכערהייט סעקציעס און באנייאונג קוועסטיאנערן און מיט ווייניגער אינערליכע צוריק-און-צוריק שמועסן. די ענטפערס פילן זיך צוגעגרייט אנשטאט אימפראוויזירט, און אקאונט מענעדזשערס קענען ווייזן ווי אייער ISMS איז אויסגעוואקסן זינט די לעצטע איבערבליק אנשטאט אנהייבן פון נול.
מיט דער צייט ווערט יענע צוטרויערדיקייט א טייל פון ווי אזוי אייער בראַנד ווערט באַטראַכט. איר זענט נישט נאָר דער MSP וואָס קען האַלטן די סערוויסעס אין גאַנג; איר זענט דער שותף מיט אַ קענטיק, גוט-געפירט ISO 27001 אינפֿאָרמאַציע זיכערהייט פאַרוואַלטונג סיסטעם וואָס באַרואיקט די פּראָקורעמענט, ריזיקאָ און אָדיט טימז אַז זיי מאַכן אַ זיכערע ברירה ווען זיי פאָרזעצן אָדער יקספּאַנדירן זייער שייכות מיט איר.
