פארוואס ISO 27001 דאקומענטאציע שאדט MSPs פאר סטאַגע 1
ISO 27001 דאָקומענטאַציע שאַטן MSPs ווען שטאַרקע זיכערהייט איז באַהאַלטן הינטער כאַאָטישע, נישט קאָנסיסטענטע פּאַפּירן. איידער סטאַגע 1, איז אייער הויפּט ריזיקע נישט צו פעלן קאָנטראָלן, נאָר צו נישט דערציילן אַ קלאָרע, ווידער-ניצלעכע געשיכטע וועגן ווי איר פאַרוואַלטעט אינפֿאָרמאַציע זיכערהייט. אַ פאָקוסירטע דאָקומענטאַציע טשעקליסט פאַרוואַנדלט צעוואָרפענע טעקעס אין אַ קאָוכירענטע דערציילונג, פאַרקירצט פארקויפונג ציקלען און מאַכט אָדאַץ פילן רואיקער אַנשטאָט כאַאָטיש.
אוידיטארן און פירמע קאסטומערס נעמען אפט אן שוואכע קאנטראל ווען זיי זעהן אומארגאניזירטע דאקומענטאציע, אפילו אויב אייער מאנשאפט גיט א שטארקע טעגליכע זיכערהייט ארבעט. אינדוסטריע אנווייזונגען פאר MSP'ס פון ארגאניזאציעס ווי CompTIA באמערקט אז ווען באווייזן זענען נישט פולשטענדיג אדער נישט קאנסיסטענט, זענען קאסטומערס און אפשאצער מער מסתבר צו פרעגן צי קאנטראלן זענען טאקע אין פלאץ. יארן פון ארגאנישן וואוקס, פארשפרייטע טעקעס און קאסטומער דרוק קאלידיזירן מיט סטרוקטורירטע אוידיט ערווארטונגען, און איר בלייבט דערקלערן די זעלבע זאכן איבער און איבער אין פארשידענע פארמאטן.
א געוויינטלעכער פרי סימפּטאָם איז "סאַפּלייער דיו דילידזשענס פּורגאַטאָריום". גרעסערע פּראָספּעקטן שיקן כסדר לאַנגע זיכערהייט פֿראַגעבאָגן, בעטנדיק פֿאַר פּאָליטיק און באַווײַזן וואָס איר קענט נישט שנעל אויפֿדעקן. אײַער מאַנשאַפֿט כאַפּט זיך צו ענטפֿערן, שניידנדיק און פּייסטנדיק פֿון פֿריִערדיקע ענטפֿערס, נאָר צו געפֿינען אַז דאָקומענטן סותר זיך אָדער שטימען נישט מיט ווי די סערוויסעס ווערן טאַקע געגעבן. יעדער פֿילט אַז זיי טוען עקסטרע אַרבעט אָן צו קומען נענטער צו סערטיפֿיקאַציע אָדער פֿאַרמאַכטע אָפּמאַכן.
כּמעט אַלע רעספּאָנדענטן אין דער 2025 ISMS.online אַנקעטע האָבן אויסגערעכנט דערגרייכן אָדער אויפהאַלטן זיכערהייט סערטיפיקאַציעס, ווי ISO 27001 אָדער SOC 2, ווי אַ הויפּט פּריאָריטעט פֿאַר זייער אָרגאַניזאַציע.
דער פארבאָרגענער קאָסט איז עלטערע מענטשן'ס צייט. גרינדער, טעכנישע דירעקטאָרן און הויפּט אינזשענירן ווערן אַרײַנגעצויגן אין אַד-האָק דאָקומענטאַציע פייערלעשן, ענטפֿער איבערקוקן און קונה באַרויִגונג. אויב איר רעכנט צוזאַמען די שעה וואָס זענען פארבראכט געוואָרן אויף דעם רעאַקטיוון אַרבעט, קען אַ סטרוקטורירטע ISO 27001 דאָקומענטאַציע מי אָפט זיין ביליקער און ווייניקער סטרעספול ווי פאָרזעצן מיט גאָר אַד-האָק ענטפֿערס, ספּעציעל ווען איר וואַקסט.
אוידיטאָרן באַרואיקן זיך ווען אייער דאָקומענטאַציע דערציילט איין קלאָרע, צוזאַמענגעשטעלטע געשיכטע.
דאָקומענטאַציע פאַרשפּרייטונג איבער מכשירים
דאָקומענטאַציע פאַרשפּרייטונג שאַטן MSPs ווען עכטע זיכערהייט אַרבעט איז באַגראָבן אין מכשירים, דאָקומענטן און מענטשנס קעפּ. די אַרבעט פּאַסירט יעדן טאָג, אָבער באַווייַזן לעבן אומעטום און נישט אין איין מאָל, אַזוי איר קענט נישט געבן אָדיטאָרס אָדער קאַסטאַמערז אַ פּשוט, צוזאַמענגעשטעלטן בליק אויף ווי איר פאַרוואַלטעט ריזיקירן.
רובֿ MSP'ס "טוען שוין זיכערהייט": איר פּאַטשט, באַקאַפּט, מאָניטאָרט, רעאַגירט אויף אינצידענטן און ענטפֿערט SLA'ס יעדן טאָג, אָבער דער באַווייַז פֿון דער אַרבעט לעבט אין אַלטע וואָרד פּאָליטיקס, וויקי בלעטער, ראַנבוקס, טיקעטינג סיסטעמען, פּראָפּאָסאַלס און סלייד דעקס וואָס אַלע קאָנקורירן צו דערציילן אייער געשיכטע. אָדיטאָרס, ענטערפּרייז קאַסטאַמערז און סייבער פֿאַרזיכערונג קאָמפּאַניעס דאַרפֿן אַ קלאָרע, קאָנסיסטענטע בליק אויף ווי איר פאַרוואַלטעט אינפֿאָרמאַציע זיכערהייט ריסקס, נישט אַ גיידעד טור פֿון יעדער פּלאַטפאָרמע וואָס איר באַזיצט.
ווען איר קענט נישט פּראָדוצירן איין, אַקטועלע ווערסיע פֿון שליסל פּאָליטיקס אָדער רעגיסטערס, פֿאַרשווינדט דאָס צוטרוי איידער עמעצער קוקט אפילו אויף אייערע טעכנישע קאָנטראָלן. טימז פֿאַרברענגען דאַן מער צייט צו דערקלערן די דאָקומענטאַציע ווי צו דיסקוטירן אייער פאַקטישע זיכערהייט שטעלונג. מיט דער צייט, פֿאַרלאַנגזאַמט דאָס פֿאַרקויף ציקלען, ברענגט אַרויף פֿאַרזיכערונג פֿראַגעס און מאַכט יעדן אוידיט פֿילן ווי אַ ערשטער פּרוּוו, אפילו ווען איר האָט יאָרן פֿון דערפֿאַרונג.
א פאָקוסירטע דאָקומענטאַציע טשעקליסט הייבט זיך אָן מיטן אַרויסציען די וויכטיקסטע פּאָליטיקעס, רעגיסטערס און פּראָצעדורן פון יענעם פאַרשפּרייטונג און אַרײַננעמען אין אַ קליינעם, פאַרוואַלטעטן סכום. איר דאַרפט נישט דאָקומענטירן אַלץ אויף איין מאָל; איר דאַרפט אַ קלאָרן רוקן-ביין וואָס איר קענט ווידער נוצן אין אויספֿאָרשונגען, דיו-דילידזשענס פּאַקס און קונה שמועסן.
פארמישונג צווישן פארנעם און געטיילטע אחריות
מולטי-טענענט פארנעם און געטיילטע אחריות ווערן ריזיקאליש ווען אייער דאקומענטאציע שטימט נישט מיט ווי פארשידענע קאסטומערס ווערן טאקע באדינט. אויב איר קענט נישט ווייזן ווער באזיצט וועלכע ריזיקעס איבער סערוויסעס און טענענטס, וועלן אוידיטארן און קאסטומערס שנעל פרעגן אייער קאנטראל איבער דער סביבה.
איר שטיצט מסתּמא קייפל קליענטן, איבער עטלעכע סערוויס שטאפלען, אָפט מיט פאַרשידענע קאָנטראַקטואַלע פֿאַרפֿליכטונגען. עטלעכע קאַסטאַמערז פאַרוואַלטן אידענטיטעט, עטלעכע ערוואַרטן אַז איר זאָלט האַנדלען מיט פּאַטשינג, עטלעכע ברענגען זייערע אייגענע וואָלקן פּלאַטפאָרמעס און זיכערהייט מכשירים. אויב אייער דאָקומענטאַציע שפּיגלט נישט קלאָר אָפּ די וועריאַציעס, ריזיקירט איר צו איבערטרייבן וואָס איר קאָנטראָלירט אָדער, ערגער, לאָזן לעכער וואו קיינער באַזיצט נישט באמת קיין ריזיקע.
נאך א מקור פון רייבונגען איז דער שפאלט צווישן טעכנישע מעגלעכקייטן און גאַווערנאַנס. עס איז פארלעקנדיק צו פירן אוידיטאָרן דורך אייער ווייטער מאָניטאָרינג און פאַרוואַלטונג פּלאַטפאָרמע, ענדפּוינט זיכערהייט סטאַק אָדער SIEM דאַשבאָרדז און אננעמען אַז דאָס באַווייַזט קאָנטראָל. אָן אַ דאָקומענטירטן פאַרנעם, ריזיקאָ פּראָצעס, פּאָליטיק און ראָלעס, קוקן די מכשירים אויס ווי פּונקט סאַלושאַנז אלא ווי טיילן פון אַ געראטן סיסטעם.
א גוטע דאקומענטאציע טשעקליסט צווינגט אייך צו ווייזן נישט נאר וואס איר טוט, נאר פארוואס איר טוט עס, ווער איז פאראנטווארטלעך און ווי אזוי איר האלט עס ארבעטנדיג. אנשטאט צו פרובירן צו דאקומענטירן אלעס, אידענטיפיצירט איר א קליינע, ווידער-ניצלעכע זאמלונג פון ISMS דאקומענטן וואס זענען גילטיג איבער אייער ביזנעס, און דערנאך הענגט איר סערוויס-ספעציפישע דעטאלן פון יענעם קערן. יענע פארשיבונג – פון אומפארשטענדלעכן דאקומענטאציע כאאס צו א באגרענעצטע ליסטע – איז וואס מאכט ISO 27001 פילן זיך באהאנדלט אנשטאט אומענדלעך און העלפט אייך דערקלערן אייער פאזיציע צו קאסטומערס, באארדס און פארזיכערונג געזעלשאפטן אין דער זעלבער שפראך.
באַהאַנדלט די אנווייזונגען דאָ ווי אינפאָרמאַטיווע שטיצע וואָס איר אַדאַפּטירט צו אייער אייגענעם ריזיקע פּראָפיל, אַנשטאָט אַ רעצעפּט וואָס פּאַסט צו אַלעמען.
ספר אַ דעמאָוואָס אַ סטאַגע 1 אוידיט טאַקע קאָנטראָלירט אין אַן MSP
א שטאפל 1 אוידיט טשעקט צי אייער ISMS דיזיין און דאקומענטאציע מאכן זינען פאר ווי אייער MSP ארבעט טאקע. סערטיפיקאציע אנווייזונגען באשרייבן שטאפל 1 אלס א רעצענזיע צי אייער דאקומענטירטע ISMS איז פאסיג דיזיינט און גרייט פאר אימפלעמענטאציע איידער אוידיטארן טעסטן די אפעראציע אין דעטאל ביי שטאפל 2, אנשטאט א טיפע טעסט פון טעגליכע רעקארדס אין דעם פונקט. אוידיטארן ווילן זען אז די פארנעם, פאליסי, ריזיקע מעטאד און קאנטראל ברירות זענען קאָוכערענט, גלויבווערדיק און גרייט צו ווערן אימפלעמענטירט, אנשטאט יארן פון גאנץ גוטע רעקארדס.
אויב איר פֿאַרשטייט וואָס אוידיטאָרן זוכן אין דעם פּונקט, קענט איר פֿאַרמייַדן ביידע אונטער-צוגרייטונג און איבער-אינזשעניריע. סטאַגע 1 איז אייער געלעגנהייט צו פּרובירן דעם פּלאַן פֿון אייער ISMS קעגן ISO 27001 ערוואַרטונגען, זאַמלען סטרוקטורירטע פֿידבעק און פֿאַרוואַנדלען די רעזולטאַטן אין אַ פּריאָריטיזירטן פֿאַרבעסערונג פּלאַן איידער סטאַגע 2 פּרובירט די אָפּעראַציע אין דעטאַל.
פֿאַר CISOs און עלטערע זיכערהייט פירער, איז דאָס אויך אַ געלעגנהייט צו ווייַזן דעם דירעקטאָריום אַז איר קאָנטראָלירט דעם פּלאַן פֿון אייער ISMS, אַנשטאָט פשוט רעאַגירן אויף אָדאַץ. פֿאַר פּריוואַטקייט און לעגאַלע סטייקהאָולדערז, איז סטאַגע 1 דאָקומענטאַציע וווּ איר הייבט אָן צו באַווייַזן אַז זיכערהייט און פּריוואַטקייט רעקווייערמענץ ווערן עקספּליציט באַטראַכט צוזאַמען, נישט צוזאַמענגעבונדן אין באַזונדערע סיילאָס.
א רואיגע שטאפל 1 פילט זיך ווי א דורכגעטראכטע דיזיין איבערבליק, נישט אן אויספארשונג.
קאָר ISMS דאָקומענטן וואָס אוידיטאָרן ערוואַרטן ביי סטאַגע 1
קערן ISMS דאקומענטן אין סטאַגע 1 זענען די קליינע סכום וואָס באַווייַזן אַז איר האָט דורכגעטראַכט די אויסוואַל פון פאַרנעם, ריזיקע און קאָנטראָל. אוידיטאָרן פאַרלאָזן זיך אויף זיי ווייל זיי ווייַזן צי אייער סיסטעם האט אַ געזונטן יסוד וואָס איז צוגעפּאַסט צו די הויפּט ISO 27001 פּונקטן איידער זיי קוקן אויף דיטיילד פּראָצעדורן.
אין פּראַקטיק, ערוואַרטן זיי אַ דאָקומענטירטן פאַרנעם, אַן אינפֿאָרמאַציע זיכערהייט פּאָליטיק, אַ ריזיקאָ אַסעסמאַנט און באַהאַנדלונג מעטאָדאָלאָגיע, אַ באַפעלקערט ריזיקאָ רעגיסטער, אַ ריזיקאָ באַהאַנדלונג פּלאַן און אַ סטעיטמענט פון אַפּליקאַביליטי וואָס דערקלערט וועלכע אַנעקס A קאָנטראָלס איר האָט אויסגעקליבן און פארוואס. פֿאַר אַן MSP, קאָנטראָלירן זיי אויך צי די קערן דאָקומענטן מאַכן זינען אין דעם קאָנטעקסט פון אייערע געראטן סערוויסעס, וואָלקן אָפפערס און קונה קאָנטראַקטן.
אויב איר זאָגט אַז אייער פאַרנעם דעקט "מאַנאַדזשד וואָלקן האָסטינג און זיכערהייט באַדינונגען", דאַרף אייער ריזיקאָ רעגיסטער, באַהאַנדלונג פּלאַן און קאָנטראָלס שפּיגלען די רעאַליטעט. אוידיטאָרן פרעגן טיפּיש ווי איר פאַרוואַלטעט צוטריט צו קליענט סיסטעמען, האַנדלט באַקאַפּס און רעסטערז, רעאַגירט צו אינצידענטן און פאַרוואַלטעט סאַפּלייערז. זיי דערוואַרטן נישט קיין טיפע באַווייַזן פון אָפּעראַציע נאָך, אָבער זיי דערוואַרטן יאָ צו זען אַז די פּראָצעסן זענען דעפינירט און אַז ראָלעס און פֿאַראַנטוואָרטלעכקייטן זענען קלאָר.
האבן די הויפט דאקומענטן אין גוטן צושטאנד מאכט שטאפל 1 א סטרוקטורירטע שמועס אנשטאט א גערויש. איר און אייער אוידיטאר קענט זיך דעמאלט קאנצענטרירן אויף פארבעסערן אייער פלאן, נישט דעבאטירן וואס די ISMS איז געמיינט צו באדעקן.
ניצן סטאַגע 1 ווי אַ פּלאַן איבערבליק, נישט אַ דורכגיין/דורכפאַל עקזאַמען
איר באַקומט די מערסטע ווערט פון סטאַגע 1 ווען איר באַהאַנדלט עס ווי אַ סטרוקטורירטע פּלאַן איבערבליק פון דיין ISMS, נישט אַ דורכגעגאַנגען/דורכגעפאַלן עקזאַמען. אויב איר גייט אריין צוגעגרייט צו לערנען, ווערן די רעזולטאַטן אַ פּרייאָריטעט פֿאַרבעסערונג רשימה אלא ווי אַ רשימה פון איבערראַשונגען.
שטאפל 1 אונטערשטרייכט גאפעס אדער אומקאנסיסטענצן כדי איר זאלט קענען זיי אדרעסירן פאר שטאפל 2, ווען אוידיטארן טעסטן ווי גוט די סיסטעם ארבעט אין פראקטיק. אקרעדיטאציע און סערטיפיקאציע אנווייזונגען דערקלערן אז די שטאפל איז ספעציפיש בדעה צו אידענטיפיצירן דיזיין און דאקומענטאציע גאפעס כדי זיי זאלן קענען אדרעסירט ווערן פאר די מער דעטאלירטע שטאפל 2 אפשאצונג, אנשטאט צו דורכפאלן ארגאניזאציעס אויף פריע שוואכקייטן.
עס העלפט צו געבן א קורצע אינפארמאציע צו די מענטשן מיט וועמען אוידיטארן וועלן מסתמא רעדן: געווענליך א גרינדער אדער עלטערער מענעדזשער, דער זיכערהייט אדער קאמפלייענס פירער און איינער פון אפעראציעס אדער סערוויס דעליווערי. גייט מיט זיי דורך די הויפט ISMS דאקומענטן און ווי זיי זענען פארבונדן מיט טעגליכער MSP ארבעט, אזוי אז זייערע ענטפערס זענען אין איינקלאנג מיט די דאקומענטאציע.
ווען שטאב מעסעדזשעס און דאקומענטן שטימען איבער, באקומען אוידיטארן בטחון אז די ISMS איז נישט נאר א פאפירענע געניטונג. איר קענט דעמאלט באהאנדלען סטאַגע 1 געפינסן ווי א סטרוקטורירטע פארבעסערונג צוריקבלאג. אנשטאט צו זיין איבערראשט שפעטער אז אייער ריזיקע מעטאד דעקט נישט קאסטומער סביבות ריכטיג אדער אז אייער סטעיטמענט פון אפליקאציע איז נישט אין שריט מיט אייערע סערוויסעס, באקומט איר א קלארע ליסטע פון אקציעס צו פארשטארקן דאקומענטן, אויספילן לעכער און צופּאַסן פראקטיקעס.
זיך צונעמען צו שטאפל 1 מיט דעם געדאנקענגאנג מאכט עס גרינגער צו באלאנסירן אמביציע און פראגמאטיזם. איר קאנצענטרירט זיך אויף פראדוצירן די הויפט דאקומענטן וואס דער סטאנדארט ערווארטעט, אקצעפטאנט אז זיי וועלן זיך אנטוויקלען און ניצט דעם אוידיטאר'ס באמערקונגען צו פארבעסערן און פארברייטערן אייער דאקומענטאציע אויף א באוואוסטזיניגן אופן.
ISO 27001 געמאַכט גרינג
א 81% פֿאָרשפּרונג פֿון טאָג איינס
מיר האָבן געטאן די שווער אַרבעט פֿאַר איר, געבן איר אַ 81% העאַדסטאַרט פון דעם מאָמענט איר קלאָץ אויף. כל איר האָבן צו טאָן איז צו פּלאָמבירן די בלאַנקס.
פארלאנגטע ISO 27001:2022 דאקומענטן און קלאָזולעס
פארפליכטעטע ISO 27001:2022 דאקומענטן זענען די וואס דער סטאנדארט באשרייבט אלס "דאקומענטירטע אינפארמאציע" געשטיצט דורך "זאל" רעקווייערמענטס. אין פראקטיק, דאס זענען די פונקטן וואו ISO 27001 פארלאנגט אויסדריקליך דאקומענטירטע אינפארמאציע, און פראקטיצירער צוזאמענפאסונגען גרופירן זיי אלס די הויפט פארפליכטעטע דאקומענטן פאר סערטיפיקאציע אונטער קלאוזעס פיר ביז צען. אוידיטארן ניצן זיי צו באורטיילן צי אייער ISMS איז דיזיינט אין לויט מיט קלאוזעס פיר ביז צען, ממילא איז עס וויכטיג צו פארוואנדלען די אבסטראקטע פראזן אין א פראקטישע MSP-פריינדליכע ליסטע.
פֿאַר MSP'ס, איז די שוועריקייט נישט צו מעמערירן קלאָז נומערן, נאָר צו באַשליסן וועלכע קלאָרע, צוטריטלעכע דאָקומענטן וועלן באַפרידיקן יעדע פֿאַרפֿליכטונג. אַ קאָנקרעטע רשימה פֿון פאַרוואַלטונג-סיסטעם דאָקומענטן און הויפּט רעקאָרדס העלפֿט אײַך פּלאַנירן אַרבעט קלוג, פֿאַרמײַדן גאַפּס און זיך קעגנשטעלן דעם פֿאַרזוך צו שאַפֿן אומנייטיקע פּאַפּיראַרבעט וואָס קיינער וועט נישט אויפֿהאַלטן.
פארוואנדלען 'דאקומענטירטע אינפארמאציע' אין א פראקטישע MSP ליסטע
איבערמאַכן די דאָקומענטירטע אינפֿאָרמאַציע־פֿאָדערונגען אין אַ MSP־פֿרײַנדלעכע רשימה באַדײַט דורכגיין קלאָזולן פֿיר ביז צען און באַשליסן וועלכע קלאָרע, צוטריטלעכע דאָקומענטן וועלן דעקן יעדע פֿאַרפֿליכטונג. די דאָקומענטן ווערן דער רוקן־ביין פֿון אײַער ISMS און שטעלן ערוואַרטונגען פֿאַר שפּעטערדיקע פּראָצעדורן און רעקאָרדס.
אייער ערשטע אויפגאבע איז צו דעקן די פּונקטן פיר ביז צען רעקווייערמענץ מיט קורצע, קאָוכירענטע דאָקומענטן. די פאַרוואַלטונג-סיסטעם דאָקומענטן פאָרמען דעם רוקן-ביין פון אייער ISMS און שטעלן ערוואַרטונגען פֿאַר ווי איר וועט פירן ריזיקאָ פאַרוואַלטונג, אָפּעראַציעס, מאָניטאָרינג און פֿאַרבעסערונג.
קאנטעקסט און פארנעם (פּונקט 4). איר דאקומענטירט די אינערלעכע און אויסערלעכע פראבלעמען וואס האבן אן איינפלוס אויף אייער ISMS, די אינטערעסירטע פארטייען און זייערע באדערפענישן, און דעם פארנעם פון אייער ISMS אין קלארע טערמינען. פאר אן MSP, מיינט דאס צו זאגן וועלכע סערוויסעס, לאקאציעס, סיסטעמען און טיפן קאסטומערס זענען אין דעם פארנעם און וועלכע נישט.
פירערשאפט און פאליסי (קלאָז 5). איר שאַפט אַן אינפֿאָרמאַציע זיכערהייט פּאָליטיק באַשטעטיקט דורך דער הויפּט פאַרוואַלטונג, אין איינקלאַנג מיט אייער סטראַטעגישער ריכטונג און געשטיצט דורך דעפינירטע ראָלעס און פֿאַראַנטוואָרטלעכקייטן. דאָס איז געוויינטלעך אַ קורץ, פֿאָרמאַל דאָקומענט וואָס ווײַזט דאַן אויף מער דעטאַלירטע סטאַנדאַרדן און פּראָצעדורן אויף וועלכע פּראַקטיצירער פֿאַרלאָזן זיך.
פּלאַנירונג און ריזיקע (פּונקט 6). איר דעפינירט א דאקומענטירטן ריזיקע אפשאצונג און באהאנדלונג פראצעס, אריינגערעכנט קריטעריעס פאר אימפאקט און מעגלעכקייט, און א ריזיקע באהאנדלונג פלאן וואס דערקלערט ווי איר וועט באהאנדלען יעדן אידענטיפיצירטן ריזיקע. MSPs אויסדריקן דאס אפט אלס א ריזיקע מעטאדאלאגיע דאקומענט פלוס א ריזיקע רעגיסטער און באהאנדלונג רעגיסטער וואס ביזנעס און טעכנישע פירער קענען פארשטיין.
שטיצע און רעסורסן (פּונקט 7). איר פירט רעקאָרדס פון קאָמפּעטענץ, וויסיקייַט, קאָמוניקאַציע און דאָקומענטאַציע קאָנטראָל. דאָס נאָרמאַלי כולל טריינינג רעקאָרדס, וויסיקייַט קאָמוניקאַציעס און דאָקומענט קאָנטראָל פּראָוסידזשערז וואָס באַשרייַבן ווי איר שאַפֿן, באַשטעטיקן, אָפּשאַצן און צוריקציען דאָקומענטן, וואָס איז ספּעציעל וויכטיק ווען איר אָנבאָאַרדינג נייַע אינזשענירן און קאָנטראַקטאָרס.
אָפּעראַציע (פּונקט 8). איר באַשרײַבט אָפּעראַציאָנעלע פּלאַנירונג און קאָנטראָל, אַרײַנגערעכנט ווי איר ימפּלעמענטירט דעם ריזיקאָ באַהאַנדלונג פּלאַן און פאַרוואַלטעט אַוטסאָורסט פּראָצעסן. פֿאַר אַן MSP, דאָס איז וווּ פילע טעגלעכע פּראָצעדורן לעבן: אַקסעס קאָנטראָל, ענדערונג פאַרוואַלטונג, באַקאַפּ און רעסטאָר, אינצידענט פאַרוואַלטונג און סאַפּלייער פאַרוואַלטונג.
פאָרשטעלונג עוואַלואַציע (פּונקט 9). איר האַלט באַווייזן פון מאָניטאָרינג, מעסטונג, אַנאַליז און עוואַלואַציע, אַרייַנגערעכנט אינערלעכע אוידיט רעזולטאַטן און פאַרוואַלטונג איבערבליק רעזולטאַטן. טיפּישע דאָקומענטן דאָ אַרייַננעמען מאָניטאָרינג פּלענער, אינערלעכע אוידיט פּראָגראַמען, אוידיט באַריכטן און פאַרוואַלטונג איבערבליק אַגענדאַז און פּראָטאָקאָלן וואָס פֿאַרבינדן זיכערהייט, פּריוואַטקייט און געשעפט פאָרשטעלונג.
פֿאַרבעסערונג (פּונקט 10). איר האַלט רעקאָרדס פון נישט-קאָנפאָרמאַטיז און קאָרעקטיווע אַקציעס, ווײַזנדיק ווי איר רעאַגירט צו פּראָבלעמען און פֿאַרבעסערט זיך מיט דער צײַט. דאָס העלפֿט ווײַזן צו אָדיטאָרס און אינערלעכע סטייקהאָולדערס אַז איר באַהאַנדלט טעותים ווי אַ הילף צו ווידערשטאַנד, נישט נאָר פּראָבלעמען צו באַהאַלטן.
אוידיטארן ערווארטן טיפיש צו זען די דאקומענטן, אבער זיי פארשטייען אויך אז א קלענערע MSP קען זיי האלטן קורץ אזוי לאנג ווי זיי זענען קאָוכירענט און פולשטענדיג. אקרעדיטאציע קערפערשאפטן און סערטיפיקאציע גיידליינז באטאנען אז דאקומענטירטע אינפארמאציע זאל זיין פאסיג צו דער ארגאניזאציע'ס גרייס און קאמפלעקסיטעט, אזוי אז קורץ איז אקצעפטירבאר ווען די באדעקונג איז קלאר און פולשטענדיג.
דערקלערונג פון אנווענדבארקייט און פּראַגמאַטישע 'פאַרפליכטעטע' אַרטיפאַקץ
די סטעיטמענט פון אַפּליקאַביליטי (SoA) איז ISO 27001'ס בריק צווישן אַנעקס A קאָנטראָלן און אייער פאַקטישע סביבה. אוידיטאָרן פאַרלאָזן זיך אויף איר צו פֿאַרשטיין וועלכע קאָנטראָלן איר האָט אנגענומען, וווּ איר האָט גילטיקע אויסשליסונגען און ווי אייער קאָנטראָל סעט פּאַסט צו אייערע סערוויסעס און ריזיקאָ שטעלונג.
די SoA ליסט יעדן אנעקס א קאנטראל, ווייזט צי עס איז אנwendbar און דערקלערט אייער בארעכטיקונג און אימפלעמענטאציע סטאטוס. פאר MSPs, איז דאס דאקומענט באזונדערס וויכטיג ווייל עס פארבינדט אייערע אויסגעקליבענע קאנטראלס צו אייערע סערוויס אנבאטן, מולטי-טענאנט ארכיטעקטור און סופּליי טשיין.
צוזאמען מיט די SoA, באהאנדלען אסאך פראקטיצירער געוויסע ארטיפאקטן ווי דע-פאקטא פארלאנגט ווייל זיי זענען דער מערסט פראקטישער וועג צו ווייזן קאמפלייענס אין אוידיטס. די שליסן געווענליך איין אן אסעט רעגיסטער, א ריזיקא רעגיסטער, אן אינפארמאציע קלאסיפיקאציע סכעמע, צוטריט קאנטראל ליסטעס פאר שליסל סיסטעמען און אינצידענט און ענדערונג לאגס. דער סטאנדארט פארלאנגט נישט די ספעציפישע נעמען, אבער זיי ווערן ברייט ערווארטעט ווייל זיי צושטעלן קלארע, באקאנטע באווייזן אז אייער סיסטעם ארבעט.
נאָר בערך איינע פון יעדע פינף אָרגאַניזאַציעס אין דער 2025 ISMS.online אַנקעטע האָבן געמאָלדן אַז זיי האָבן נישט דערפאַרן קיין פאָרעם פון דאַטן פאַרלוסט אין די פריערדיקע יאָר.
עס איז אויך קלוג צו האַלטן דאָקומענטירטע פּראָצעדורן אָדער סטאַנדאַרדן פֿאַר שליסל קאָנטראָל געביטן אַזאַ ווי אַקסעס קאָנטראָל, קריפּטאָגראַפֿיע, אָפּעראַציעס זיכערהייט און סאַפּלייער פאַרוואַלטונג. טאן דאָס מאכט עס גרינגער פֿאַר פּראַקטיצירער צו נאָכפאָלגן קאָנסיסטענט פּאַטערנז אַריבער קאַסטאַמערז און פֿאַר אַדאַטאָרס צו שפּור אַנעקס אַ קאָנטראָלס אין טעגלעך אַרבעט.
אויב איר ווייסט שוין אז דאקומענטאציע איז אייער שווערע פלעשפלעק, קען מען באטראכטן אן אינטעגרירטע ISMS פלאטפארמע וואס שפיגלט נאטירלעך אפ דעם קלאוז אויסלייג און SoA סטרוקטור, און דאס קען אייך שפארן א סך איבערארבעט שפעטער, וועלכע פראוויידער איר וועלט אויס.
MSP-ספּעציפֿישע דאָקומענטאַציע: סערוויסעס, SLAs און קונה דאַטן האַנדלינג
MSP-ספּעציפֿישע דאָקומענטאַציע דערקלערט ווי ISO 27001 פּרינציפּן אַפּלייזן זיך צו אייערע פאַקטישע סערוויסעס, SLAs און קונה דאַטן פלאָוז. אָדיטאָרס און קאַסטאַמערז ווילן זען ווי איר איבערזעצט אַלגעמיינע קאָנטראָלס אין קאָנקרעטע פֿאַראַנטוואָרטלעכקייטן, פּראָצעסן און שוץ פֿאַר די סערוויסעס וואָס זיי קויפן פון אייך, אַנשטאָט אַבסטראַקטע סטייטמאַנץ וואָס קענען אַפּלייזן זיך צו יעדער אָרגאַניזאַציע.
אלגעמיינע ISO 27001 דאקומענטן זענען נישט גענוג פאר אן MSP; זיי מוזן זיין פארבונדן צו אייער סערוויס קאטאלאג, קאנטראקטועלע פארפליכטונגען און מולטי-טענענט טעכנישע סביבה. ווען MSP-ספעציפישע דאקומענטאציע איז קלאר, ווערט עס פיל גרינגער צו בארואיגן באארדס, באפרידיקן קאסטומער דיו-דילידזשענס פארלאנגען און ווייזן פאר אוידיטארן אז אייערע קאנטראלן ארבעטן וואו זיי זענען וויכטיגסט.
דעפינירן און דאקומענטירן קלאר אייערע מענעדזשד סערוויסעס
דעפינירן און דאקומענטירן אייערע מענעדזשד סערוויסעס הייבט זיך קלאר אן מיט א רעאליסטישן סערוויס קאטאלאג געשריבן אין זיכערהייט-באוואוסטזיניגע טערמינען. אן דעם קאטאלאג קענט איר נישט איבערצייגנד מאפירן ISO 27001 קאנטראלן אדער ריזיקעס צו דער ארבעט וואס אייערע טימס טוען טאקע פאר קאסטומערס, אדער דערקלערן אייער פאזיציע צו אוידיטארן.
דער וויכטיגסטער MSP-ספּעציפֿישער אַרטיפֿאַקט איז אַ געהאַלטן סערוויס קאַטאַלאָג וואָס באַשרײַבט יעדן געראטן סערוויס אין זיכערהייט-רעלעוואַנטע טערמינען. אָן דעם, קענט איר נישט איבערצייגנדיק מאַפּירן קאָנטראָלן אָדער ריזיקעס צו עכטע אָפפערס.
א גוטער סערוויס קאַטאַלאָג באַשרײַבט יעדן געראטן סערוויס וואָס איר אָפפערט, אַזאַ ווי ווײַט מאָניטאָרינג און פאַרוואַלטונג, געראטן באַקאַפּ, געראטן דעטעקציע און רעספּאָנס, כאָוסטיד אינפראַסטרוקטור און וואָלקן מיגראַציע. פֿאַר יעדן סערוויס, דערקלערט איר וואָס איז אַרייַנגערעכנט און אויסגעשלאָסן, וועלכע סיסטעמען זענען אין דעם פאַרנעם, וווּ זיי לויפן, וועלכע קאַסטאַמערז נוצן זיי און ווי זיי זענען שייך צו אייער קוילעלדיק ISMS פאַרנעם.
פון דארט דאקומענטירט איר מאָדעלן פֿאַר געטיילטע פֿאַראַנטוואָרטלעכקייט פֿאַר יעדער סערוויס ליניע. די מאָדעלן דערקלערן ווער איז פֿאַראַנטוואָרטלעך פֿאַר וועלכע אַספּעקטן פֿון זיכערהייט: איר, אייער קונה אָדער אַ דריט-פּאַרטיי סאַפּלייער. למשל, אין אַ געראטן וואָלקן סערוויס קענט איר האַנדלען מיט אָפּערייטינג סיסטעם פּאַטטשינג און מאָניטאָרינג, בשעת דער קונה פאַרוואַלטעט אַפּליקאַציע-לעוועל אַקסעס. שרייבן די פֿאַראַנטוואָרטלעכקייטן אַראָפּ אין סערוויס באַשרייַבונגען און SLAs ראַדוסאַז אַמביגיואַטי און גיט אָדיטאָרס אַ קלאָרע מיינונג פֿון וווּ אייערע קאָנטראָל פֿאַרפֿליכטונגען אָנהייבן און ענדיקן.
די דאזיגע קלארקייט שטיצט אויך פארזיכערונג אויף דער דירעקטער דירעקטער מדרגה. די פירערשאפט קען זען וואו די ארגאניזאציע טראגט דירעקטע ריזיקע, וואו זי פארלאזט זיך אויף קאסטומערס און וואו דריטע פארטייען ביישטייערן, וואס מאכט אינוועסטמענט שמועסן מער באגרינדעט און ווייניגער ספעקולאטיוו.
דערקלערן קונה דאַטן פלאָוז און האַנדלינג אַריבער מכשירים
קלאר דערקלערן קונה דאַטן פלוסן מיינט ווייזן וואו אינפֿאָרמאַציע ווערט געזאַמלט, פּראַסעסט, געהיט, באַקאַפּט און אויסגעמעקט, ווער קען עס זען אויף יעדן בינע און ווי איר האַלט טענאַנץ אפגעזונדערט. פּשוטע דיאַגראַמען און קורצע דערציילונגען זענען אָפט גענוג צו געבן אָדיטאָרס און קאַסטאַמערז בטחון אַז איר פֿאַרשטייט און קאָנטראָלירט די פלוסן אַריבער אייערע מכשירים און מולטי-טענאַנט פּלאַטפאָרמעס.
דאקומענטאציע וועגן קאסטומער דאטן באהאנדלונג ווייזט אוידיטארן און קאסטומערס ווי אינפארמאציע באוועגט זיך דורך אייער סביבה. קלארע דיאגראמען און קורצע דערציילונגען מאכן עס גרינגער צו דערקלערן קראָס-טענאַנט צעשיידונג און רעגולאַטאָרישע קאָנפאָרמאַטי.
איר זאָלט ווײַזן ווי קונה דאַטן ווערן געזאַמלט, טראַנספערירט, געהיט, באַקאַפּט, אַרכיווירט און אויסגעמעקט איבער אײַערע סיסטעמען. נאַראַטיווע באַשרייַבונגען און פּשוטע דיאַגראַמען זאָלן אָנווײַזן וועלכע מכשירים איר ניצט, וווּ דאַטן ווערן געאָגראַפֿיש געהיט און ווי איר טיילט אָפּ איין קונה'ס אינפֿאָרמאַציע פֿון אַן אַנדערן'ס.
אייערע SLAs און סערוויס באשרייבונגען זאלן באצייכענען וויכטיגע זיכערהייט פראצעסן אין א פשוטער שפראך. ווען איר באשרייבט רעאקציע צייטן, קענט איר זיי פארבינדן צו אייער אינצידענט מענעדזשמענט פראצעדור. ווען איר רעדט וועגן אויפהאלטונג פענצטער, קענט איר באצייכענען אייער טויש מענעדזשמענט פראצעס. ווען איר דיסקוטירט אפטיים גאראנטיעס, קענט איר ווייזן אויף בעקאפ, רעסטאר און ווידערשטאנד אראנדזשירונגען. טאן דאס איין מאל אין א סטרוקטורירטן סעט פון דאקומענטן פארקלענערט די נויטווענדיקייט צו אויסטראכטן נייע ווערטער אין יעדן קאסטומער קאנטראקט און שטיצט פראקטיצירער וואס מוזן האלטן די הבטחות אפעראציאנעל.
א מערהייט פון אָרגאַניזאַציעס אין דער 2025 ISMS.online אַנקעטע האָבן געמאָלדן אַז זיי זענען געווען אַפעקטירט דורך לפּחות איין דריט-פּאַרטיי אָדער פאַרקויפער-פֿאַרבונדענע זיכערהייט אינצידענט אין די לעצטע יאָר.
איר זאָלט אויך דאָקומענטירן ווי איר פאַרוואַלטעט אייערע אייגענע סאַפּלייערז און סובקאָנטראַקטאָרס. פֿאַר יעדער סערוויס ליניע, באַמערקט אויף וועלכע דריט-פּאַרטיי פּלאַטפאָרמעס איר פֿאַרלאָזט זיך, וואָס זיכערהייט און קאָנפאָרמאַנס אַשוראַנסעס זיי צושטעלן און ווי איר מאָניטאָרירט זיי. דאָס שטיצט אַנעקס א קאָנטראָלס אַרום סאַפּלייער באַציִונגען און איז טייל פֿון אייערע באַווייזן אַז ריזיקעס וואָס שטאַמען פֿון אייער סאַפּליי קייט ווערן אידענטיפֿיצירט און באַהאַנדלט.
ווען די MSP-ספּעציפֿישע דאָקומענטן זענען אין פּלאַץ און צוגעשטעלט מיט אייערע קערן ISMS דאָקומענטן, ווערט עס פיל גרינגער צו ווייַזן אוידיטאָרן ווי ISO 27001 איז אָנווענדלעך צו אייער פאַקטישער אָפּעראַציע און צו ווידער נוצן דעם זעלבן מאַטעריאַל ווען זיי ענטפֿערן אויף קונה דיו-דילידזשענס ריקוועסץ אָדער רעגולאַטאָר פֿראַגעס וועגן דאַטן האַנדלינג.
באַפֿרײַ זיך פֿון אַ באַרג פֿון ספּרעדשיטן
איינבעטן, פארברייטערן און סקאַלירן אייער קאמפלייענס, אָן קיין כאַאָס. IO גיט אייך די ווידערשטאנד און בטחון צו וואַקסן זיכער.
מאַפּירן עקזיסטירנדיקע SOPs און SLAs צו ISO 27001:2022
דורך מאַפּירן עקזיסטירנדיקע SOPs און SLAs צו ISO 27001:2022, קענט איר ווידער נוצן אָפּעראַציאָנעלע וויסן וואָס איר שוין טראַסט. אַנשטאָט אָנהייבן פֿון אַ ליידיק בלאַט, ווייזט איר ווי עקזיסטירנדיקע פּראָצעדורן און אָפּמאַכן ימפּלעמענטירן קלאָז רעקווייערמענץ און אַנעקס A קאָנטראָלס, בשעת איר אַנטפּלעקט עכטע גאַפּס וואָס דאַרפֿן נײַע אָדער דערהייַנטיקטע דאָקומענטאַציע.
די צוגאַנג רעספּעקטירט די ווירקלעכקייט אַז רובֿ MSP'ס האָבן אויפגעבויט אַרבעטספֿעיקע פּראָצעסן לאַנג איידער זיי האָבן באַטראַכט ISO 27001. דורך ערשט מאַפּירן און שפּעטער איבערשרייבן, פֿאַרמייַדט איר אומנייטיקע ענדערונגען, רעדוצירט פּראַקטישנער קעגנשטעל און שאַפֿט אַ מער גענויע בילד פֿון ווי אייער ISMS וועט אַרבעטן אין פּראַקטיק.
בויען אַ קאָנטראָל-צו-דאָקומענט מאַפּע וואָס ניצט ווידער וואָס איר האָט שוין
א קאָנטראָל-צו-דאָקומענט מאַפּע פֿאַרבינדט יעדן ISO 27001 פּונקט און אַנעקס A קאָנטראָל צו ספּעציפֿישע SOPs, SLAs, ראַנבוקס און רעקאָרדס, אַזוי אַז אָדיטאָרס און באָרדס קענען זען ווי פאַקטישע פּראָצעדורן ימפּלעמענטירן דעם סטאַנדאַרט. אויב עס ווערט גוט געטאָן, פֿאַרוואַנדלט עס צעוואָרפֿענע דאָקומענטן אין אַ נאַוויגירבאַרן באַווײַז-זאַמלונג אַנשטאָט אַ הויפֿן אַטאַטשמענץ, וואָס מאַכט אָדיטאָרס און אינערלעכע איבערבליקן שנעלער און מער פֿאָקוסירט.
א פּראַקטישער וועג צו אָנהייבן איז צו שאַפֿן אַ טאַבעלע אָדער רעגיסטער וואָס ליסט יעדע קלאָז פאָדערונג און יעדע אָנווענדלעך אַנעקס א קאָנטראָל, און דערנאָך ווייזט וועלכע אינערלעכע דאָקומענטן און רעקאָרדס העלפֿן צו ימפּלעמענטירן אָדער באַווייַזן עס. למשל, אַן אַקסעס קאָנטראָל פּאָליטיק קען זיין געשטיצט דורך אָנבאָרדינג און אָפבאָרדינג פּראָצעדורן, אידענטיטעט פאַרוואַלטונג ראַנבוקס און אַקסעס קאָנטראָל ליסטעס עקספּאָרטירט פון דיין מכשירים. אַן אינצידענט פאַרוואַלטונג קאָנטראָל קען זיין געשטיצט דורך אַן אינצידענט פּראָצעדור, טיקעט וואָרקפלאָוז און פּאָסט-אינצידענט אָפּשאַצונג טעמפּלאַטעס.
ווען איר בויט די מאַפּינג, וועט איר כּמעט זיכער געפֿינען קאָנטראָלס וואָס זענען בלויז "טיילווייז באדעקט". אפשר איז דאָ אַ ענדערונג פּראָצעדור פֿאַר אינפֿראַסטרוקטור אָבער גאָרנישט פֿאַר קאָנפיגוראַציע ענדערונגען אין געוויסע וואָלקן סערוויסעס. אפשר עקזיסטירט אייער באַקאַפּ ראַנבוק אָבער איז נישט געוואָרן אַפּדייטעד צו אַרייַננעמען נייַערע פּלאַטפאָרמעס. צו באַמערקן טיילווייז קאַווערידזש ערלעך איז פיל בעסער ווי צו טאָן ווי אַלץ איז גאַנץ; עס גיט איר אַ קלאָרע צו-טאָן רשימה און ווייזט אָדיטאָרס אַז איר פֿאַרשטייט אייער איצטיקן צושטאַנד.
שריט 1 – ליסט אייערע קאנטראלן און קלאָזולעס
ליסט די ISO 27001 קלאָזולעס און אַנעקס A קאָנטראָלס וואָס זענען אָנווענדלעך צו אייערע MSP סערוויסעס, באַזירט אויף אייער פאַרנעם און סטעיטמענט פון אַפּליקאַביליטי. כאַפּט זיי איין מאָל אַזוי אַז אַלעמען איז מאַפּינג קעגן דעם זעלבן סעט.
איר קענט אָנהייבן מיט די הויפּט קלאָז רעקווייערמענץ און די אַנעקס א קאָנטראָלס וואָס איר האָט אָנגעצייכנט ווי אָנווענדלעך, און דערנאָך פֿאַרבעסערן די רשימה ווי אייער פארשטאנד פון פאַרנעם און ריזיקע אַנטוויקלט זיך.
שריט 2 – צוטשעפּען עקזיסטירנדע דאקומענטן און רעקארדס
צוטשעפּן די SOPs, SLAs, לויף-בוקס און רעקאָרדס וואָס העלפֿן אײַך שוין אימפּלעמענטירן אָדער באַווײַזן יעדן קאָנטראָל, אפילו אויב די קאַווערידזש איז טיילווייז. האַלט די ערשטע פֿאַרבינדונג פּשוט אַזוי אַז פּראַקטיצירער קענען שנעל בײַשטײַערן.
איר זאלט באַמערקן, למשל, אַז אַנעקס א צוטריט קאָנטראָל מיטלען ווערן געשטיצט דורך אָנבאָרדינג טשעקליסטן, אידענטיטעט ראַןבוקס און עקזיסטירנדיקע צוטריט אָפּשאַצונג באַריכטן.
שריט 3 – מאַרקירן גאַפּס און טיילווייזע קאַווערידזש
צייכנט אָן וואו די דעקונג פעלט אָדער איז נישט גאַנץ, און מאַכט די לעכער אין ספּעציפֿישע דאָקומענטאַציע אָדער פּראָצעס פֿאַרבעסערונג אויפֿגאַבעס מיט גענאַנטע אייגנטימער און דאַטעס. האַלט די אַקציעס קענטיק אַזוי אַז זיי זאָלן נישט פֿאַרגעסן ווערן.
דאָס מאַכט די מאַפּינג אַ פּריאָריטעטירטן פֿאַרבעסערונג פּלאַן, אַנשטאָט אַ סטאַטישן אינדעקס. עס גיט אויך די אויטאָרן בטחון אַז איר פֿאַרמאַכט סיסטעמאַטיש גאַפּס אַנשטאָט זיי צו איגנאָרירן.
סעגמענטירן לויט סערוויס ליניע און טאַגן דאָקומענטן ביי דער מקור
סעגמענטירן די מאַפּינג לויט סערוויס ליניע און טאַגינג דאָקומענטן ביים מקור מאַכט די גאַנצע סטרוקטור גרינגער צו וישאַלטן, ספּעציעל אין אַ מולטי-סערוויס, מולטי-טענאַנט סביבה. מיט קלאָרע סעגמענטן און טאַגס קענט איר ציען באַווייַזן לויט סערוויס, קאָנטראָל אָדער פריימווערק אין מינוטן, וואָס רעדוצירט פּראַקטישנער אַרבעטסלאָוד און אוידיט-צוגרייטונג צייט.
סעגמענטאַציע און טאַגינג מאַכן אייער מאַפּינג גרינגער צו וישאַלטן, ספּעציעל אין אַ מולטי-סערוויס, מולטי-טענאַנט סביבה. זיי אויך רעדוצירן פּראַקטישנער אַרבעטסלאָוד בעת אָדיט צוגרייטונג.
כדי צו מאַכן די אַרבעט פאַרוואַלטלעך, סעגמענטירט אייער מאַפּינג לויט סערוויס ליניע. איר קענט מאַפּירן אַלע קאָנטראָלן שייך צו ווייַט מאָניטאָרינג און פאַרוואַלטונג, דערנאָך די שייך צו פאַרוואַלטעט באַקאַפּ, און דערנאָך די שייך צו פאַרוואַלטעט זיכערהייט. דאָס מאַכט עס גרינגער צו אַרייַנציען די ריכטיקע מענטשן און צו פּרייאָריטיזירן גאַפּס וואָס ווירקן די מערסטע קאַסטאַמערז אָדער טראָגן די העכסטע ריזיקירן.
נאך א נוצלעכער שריט איז צו מארקירן דאקומענטן ביים מקור. צולייגן א קורצע "ISO 27001 מאַפּינג" סעקציע צו יעדן SOP אדער SLA, מיט א ליסטינג פון די קלאָזולעס און קאָנטראָלס וואָס עס שטיצט, מיינט אז איר קענט שפּעטער פילטערן און עקספּאָרטירן די רעפערענצן ווען איר גרייט זיך צו אן אוידיט. עס דערמאָנט אויך מחברים און רעצענזענטן צו טראַכטן וועגן ISO 27001 ווען זיי דערהייַנטיקן אָפּעראַציאָנעלע דאָקומענטאַציע.
דורכאויס דעם פּראָצעס, זאָלט איר אַרייננעמען סערוויס דעליווערי מאַנאַדזשערס און טעכנישע פירער. זיי ווייסן ווי די אַרבעט פּאַסירט טאַקע און קענען דערקענען וואו אַ שיינע דיאַגראַמע שפּיגלט נישט אָפּ די אָפּעראַציאָנעלע רעאַליטעט. זייער אַרייַנשרייַב גאַראַנטירט אַז אייער קאַרטירטע דאָקומענטאַציע וועט זיין גלויבווערדיק אין אינטערוויוז און אַז נייע פּראָצעדורן וועלן ווערן אנגענומען אַנשטאָט איבערגעלאָזט.
אן אינטעגרירטע ISMS פּלאַטפאָרמע ווי ISMS.online קען האַלטן די מאַפּינג אין איין אָרט, און איר קענט פֿאַרבינדן קאָנטראָלן, קלאָזולעס, SOPs און באַווייַז רעקאָרדס אָן צו זשאַנגלירן מיט ספּרעדשיטס. אפילו אויב איר ניצט אַן אַנדערן צוגאַנג, צענטראליזירן די מאַפּע רעדוצירט די צוגרייטונג צייט פֿאַר אָדאַץ און באָרד באַריכטן.
א פּראַקטישע ISO 27001 דאָקומענטאַציע טשעקליסט און טאַבעלע פֿאַר MSPs
א פּראַקטישע ISO 27001 דאָקומענטאַציע טשעקליסט גיט אײַך איין בליק אויף וואָס דאַרף געשאַפֿן ווערן, ווער עס באַזיצט עס און ווי גרייט עס איז. פֿאַר MSP'ס, קען די זעלבע טשעקליסט דינען ווי אַן אוידיט אינדעקס און אַ פּלאַנירונג געצייַג פֿאַר צוקונפֿטיקע פריימווערקס ווי NIS 2 אָדער SOC 2, וואָס רעדוצירט איבערגעחזרטע מי. אינדוסטריע און פֿאַרבאַנד גיידאַנס אויף מולטי-פרייווערק זיכערהייט פּראָגראַמען מוטיקן צו בויען אַן איין קאָנטראָל און באַווײַז מאַפּע וואָס קען שטיצן עטלעכע סטאַנדאַרדן אין דער זעלבער צײַט, וואָס איז פּונקט וואָס אַ גוט-געפּלאַנטע טשעקליסט גיט.
ווען אוידיטאָרן אדער דירעקטאָרן-ראַטן פרעגן "וואו שטייען מיר מיט ISO 27001 דאָקומענטאַציע?", לאָזט אַ גוט-סטרוקטורירטע טשעקליסט אייך ענטפֿערן מיט בטחון, אַנשטאָט זוכן איבער טעקעס און סיסטעמען. עס מאַכט עס אויך גרינגער צו ווייַזן ווי די זעלבע דאָקומענטן שטיצן קייפל סטאַנדאַרדן און קונה-פאָדערונגען.
ארום פיר פון צען ארגאניזאציעס אין דער 2025 ISMS.online אנקעטע האבן באשריבן דריט-פארטיי ריזיקע און קאמפלייענס טרעקינג אלס א הויפט אינפארמאציע-זיכערהייט שוועריקייט.
דיזיינט אַ טשעקליסט וואָס דינט אויך ווי אַן אוידיט אינדעקס
דיזיינען די טשעקליסט ווי אַן אוידיט אינדעקס מיינט סטרוקטורירן עס אַרום ווי אוידיטאָרן און אינערלעכע סטייקהאָולדערס טראַכטן: פאָדערונג → דאָקומענט אָדער רעקאָרד → באַזיצער → סטאַטוס. ווען עמעצער פרעגט "ווי טרעפט איר דעם פּונקט?", לאָזט אייער טשעקליסט אייך ענטפֿערן אין איין שורה און מאַכט עס קלאָר וועלכע דאָקומענט אָדער רעקאָרד שטיצט יעדע פאָדערונג און ווער איז פאַראַנטוואָרטלעך פֿאַר האַלטן עס אַקטועל.
אייער טשעקליסט ארבעט בעסטן ווען עס שפיגלט אפ ווי אוידיטארן און אינערליכע אינטערעסירטע שטאנדפונקטן טראכטן וועגן אייער ISMS. עס זאל מאכן קלאר וועלכע דאקומענט אדער רעקארד שטיצט יעדע פארלאנג און ווער איז פאראנטווארטלעך פארן האלטן עס אקטועל.
א נוצלעכער וועג צו סטרוקטורירן די טשעקליסט איז ווי א טאבעלע מיט לפחות די פאלגנדע קאלום'ס: קלאָז אדער קאנטראל רעפערענץ, פארלאנג אדער טעמע, MSP-ספעציפישן דאקומענט אדער באווייז, אייגענטימער, סטאטוס און איבערבליק אָפטקייט. עטלעכע טימז לייגן אויך צו קאלום'ס פאר פארבינדענע פריימווערקס, ווי NIS 2 אדער SOC 2, אזוי אז יעדע שורה שטיצט קלאר מער ווי איין פארפליכטונג.
א קליינער אויסצוג קען אויסזען אזוי:
| געגנט | בייַשפּיל דאָקומענט אָדער רעקאָרד | הויפּט אייגנטימער |
|---|---|---|
| ISMS פאַרנעם און קאָנטעקסט | ISMS פאַרנעם סטעיטמענט פֿאַר אַלע געראטן סערוויסעס | זיכערהייט אדער קאמפלייענס פירער |
| פּאָליטיק און פירערשאַפט | אינפֿאָרמאַציע זיכערהייט פּאָליטיק | סעניאָר פאַרוואַלטונג ספּאָנסאָר |
| ריזיקירן אַדמיניסטראַציע | ריזיקע מעטאדאלאגיע און ריזיקע רעגיסטער | זיכערהייט אדער ריזיקע אייגענטימער |
| אָפּעראַציעס און מאָניטאָרינג | ענדערונג, באַקאַפּ און אינצידענט פּראָצעדורן | סערוויס דעליווערי מענעדזשער |
| סאַפּלייער פאַרוואַלטונג | סאַפּלייער רעגיסטער און דיו דילידזשענס רעקאָרדס | קויפן אדער זיכערהייט |
| קונה-פייסינג באווייזן | סטאַנדאַרט זיכערהייט איבערבליק און SLA אַנעקס | אקאונט אדער פארקויף ליד |
דיזער אויסצוג ווייזט ווי יעדע געגנט אין אייער ISMS קען זיין פארבונדן מיט א ספעציפישן ארטעפאַקט און אייגענטימער. אין אייער פולער טשעקליסט, וואלט איר אויסגעברייטערט יעדע שורה אין מער דעטאלירטע איינטראגעס, ספעציעל פאר קריטישע MSP רעגיסטערס ווי פארמעגן, ריזיקעס, אינצידענטן, ענדערונגען און נישט-קאנפארמיטיעס.
הינטער יעדער שורה אין דער טאַבעלע וועט איר האָבן איין אָדער מער פאַקטישע אַרטיפֿאַקטן: דאָקומענטן אין אייער ISMS, קאָנפֿיגוראַציע עקספּאָרטן פֿון אייערע מכשירים, זיצונג פּראָטאָקאָלן אָדער לאָגס פֿון אייער טיקעטינג סיסטעם. די טשעקליסט האַלט פשוט אַ חשבון צי די אַרטיפֿאַקטן עקזיסטירן, צי זיי זענען אין באַנוץ און צי זיי זענען לעצטנס איבערגעקוקט געוואָרן, וואָס איז באַרויִגנדיק פֿאַר באָרדס און רעגולאַטאָרן.
אַמאָל איר האָט די סטרוקטור אין זינען, קוקן אויף ווי אַן ISMS פּלאַטפאָרמע ווי ISMS.online אָרגאַניזירט טשעקליסטן, אייגנטימער און אָפּשאַצונג דאַטעס אין אַ לעבעדיקער סביבה קען זיין אַ שנעלער וועג צו זען וואָס "גוט" קוקט אויס אין פּראַקטיק.
מאַכט די טשעקליסט אַ לעבעדיקן קאָמפלייאַנס אַסעט, נישט אַן איינמאָליקע אויפגאַבע
א טשעקליסט ווערט א לעבעדיגע קאמפלייענס רעזולטאט ווען איר ניצט עס צו פירן אקציעס נאך סערטיפיקאציע, נישט נאר צו דורכגיין דעם ערשטן אוידיט. באהאנדלען עס ווי אן ארבעטס אינדעקס פון אייער ISMS העלפט אייך נאכפאלגן מאטוריטעט, פלאנירן אוידיטס און פארמיידן שפעטע איבערראשונגען.
א טשעקליסט שטיצט נאר ווידערשטאנדסקראפט אויב איר האלט עס לעבעדיג נאך אייער ערשטער סערטיפיקאציע. עס צו פארוואנדלען אין א לעבעדיגן קאמפלייענס אסעט העלפט אייך פלאנירן ארבעט, נאכפאלגן מאטוריטעט און פארמיידן שפעטע איבערראשונגען פאר אויפזיכט אוידיטן.
פֿאַר MSP-קריטישע רעגיסטערס און לאָגס, העלפֿט עס צו דעפֿינירן דעם קאָר סעט עקספּליציט:
- ריזיקע רעגיסטער: – שליסל ריזיקעס, אויסווירקונגען, באַהאַנדלונגען, אייגנטימער און איבערבליק דאַטעס.
- אַסעט רעגיסטער: – וויכטיגע קונה און אינערליכע סיסטעמען אויף וועלכע איר פארלאזט זיך.
- אינצידענט לאָג: – געשעענישן, השפּעה, גענומעןע אַקציעס און דעטאַלן פון שלוס.
- ענדערונג קלאָץ: – ענדערונגען וואָס האָבן אַן השפּעה אויף פּראָדוקציע סיסטעמען און קונה סביבות.
- נישט-קאנפארמיטי לאג: – פּראָבלעמען, וואָרצל־אורזאַכן און קאָרעקטיווע אַקציעס.
אזוי שנעל ווי די זענען קלאר, קען אייער טשעקליסט נאכפאלגן צי יעדער רעגיסטער האט די פעלדער, אייגענטימער און איבערבליק קאדענס וואס איז נויטיג צו האלטן זיך אין אן אוידיט. איר קענט אויך זען וואו רעקארדס עקזיסטירן נאר אין מענטשנס קעפ אדער אין אד-האק געצייג און פלאנירן רעאליסטישע טריט צו פארמאליזירן זיי.
עס איז נוצלעך צו אונטערשיידן שטאפלען אין דער טשעקליסט: דאקומענטן וואס זענען פארלאנגט פאר שטאפלען 1, דאקומענטן וואס מוזן זיין אפעראציאנעל מיט רעקארדס ביז שטאפלען 2 און פארבעסערונגס-פונקטן וואס קענען זיך אנטוויקלען מיט דער צייט. דאס באצייכענען זאכן אויף דעם אופן העלפט אייך אויסמיידן ווארטן אויף פערפעקציע איידער איר גייט ווייטער און גיט א רעאליסטישע וועג-פלאץ פאר פראקטיצירער וואס מוזן זשאגלירן אפעראציאנאלע ארבעט און קאמפלייענס.
איר זאָלט אויך באַשליסן ווי איר וועט פירן די טשעקליסט. באַשטימען אַן אַלגעמיינעם באַזיצער, מסכים זיין אויף אָפּשאַצונג אָפטקייטן און פֿאַרבינדן טשעקליסט דערהייַנטיקונגען צו אינערלעכע אָדאַץ און פאַרוואַלטונג אָפּשאַצונגען פאַרהיט עס פון ווערן אַ סטאַטישע ספּרעדשיט וואָס ווערט פֿאַרגעסן אַמאָל איר דורכגייט אייער ערשטער אָדיט.
אויב איר באַהאַנדלט די טשעקליסט ווי אַ לעבעדיקן אינדעקס, וואָס ווערט דערהייַנטיקט נאָך אינערלעכע אויספֿאָרשונגען, עקסטערנע אויספֿאָרשונגען און גרויסע ענדערונגען אין אייערע סערוויסעס, ווערט עס אַ צענטראַלער רעפֿערענץ־פּונקט פֿאַר אייער גאַנצער קאָנפאָרמאַנס־מי. יענע דיסציפּלין מאַכט עס גרינגער צו ענטפֿערן פֿראַגעס פֿון דער דירעקטאָרן־ראַט, צופֿרידנשטעלן רעגולאַטאָרן און אָנבאָטן נײַע מאַנשאַפֿט־מיטגלידער אָן איבערצובויען אייער פֿאַרשטאַנד פֿון דאָקומענטאַציע פֿון אָנהייב.
פאַרוואַלטן אַלע אייערע קאָנפאָרמאַנס, אַלץ אין איין אָרט
ISMS.online שטיצט איבער 100 סטאַנדאַרדס און רעגיאַליישאַנז, געבן איר אַ איין פּלאַטפאָרמע פֿאַר אַלע דיין העסקעם דאַרף.
שטאַפּל 1 קעגן שטאַפּל 2: דאָקומענטאַציע צייַטיקייט און געוויינטלעכע גאַפּס
שטאַפּל 1 און שטאַפּל 2 אויספֿאָרשונגען קוקן אויף דאָקומענטאַציע דורך פֿאַרשידענע לענסעס: דיזיין ביי שטאַפּל 1 און אָפּעראַציע ביי שטאַפּל 2. אויב איר פּלאַנירט די מאַטוריטעט אַקאָרדינגלי, קענט איר פֿאַרשפּרייטן די מי איבערן אויספֿאָרשונג ציקל און פֿאַרמייַדן געוויינטלעכע MSP גאַפּס וואָס אונטערמינירן קרעדיביליטי, אפילו ווען איר טעכניש דורכגעגאַנגען.
ארום צוויי דריטל פון אָרגאַניזאַציעס אין דער 2025 ISMS.online אַנקעטע האָבן געזאָגט אַז די שנעלקייט און באַנד פון רעגולאַטאָרישע ענדערונגען מאַכן זיכערהייט און פּריוואַטקייט קאָנפאָרמאַטי שווערער צו האַלטן.
אוידיטאָרן ערוואַרטן אַז אייער דאָקומענטאַציע זאָל זיך אַנטוויקלען צווישן שטאַפּל 1 און שטאַפּל 2. פֿאַרשטיין דעם פּראָגרעס מאַכט עס גרינגער צו באַשליסן וואָס מוז זיין אין פּלאַץ פרי און וואָס קען אויסוואַקסן מיט דער צייט, אַנשטאָט זיך צו יאָגן צו פאַרפֿולקאָמען אַלץ אין איין מאָל.
פּלאַנירן דאָקומענטאַציע מאַטוריטי באַוואוסטזיניק איבער דעם אָדיט ציקל
פּלאַנירן דאָקומענטאַציע מאַטוריטעט מיינט באַוואוסטזיניק באַשליסן וועלכע אַרטיפאַקץ דאַרפֿן נאָר געשאַפֿן ווערן פֿאַר סטאַגע 1 און וועלכע מוזן ווייַזן פאַקטיש רעקאָרדס ביז סטאַגע 2. א פּשוט לעוועל סיסטעם גיט איר אַ געמיינזאַמע שפּראַך פֿאַר דעם אַריבער טימז און אַדאַץ.
דאָקומענטאַציע־מאַטוריטעט מיינט צו גיין פֿון אויסגעאַרבעטע קאָנצעפּטן צו באַווײַז־געטריבענע פֿאַרבעסערונגען. איר קענט דאָס מאַכן קלאָר דורך צוגעבן פּשוטע לעוועלס צו יעדן דאָקומענט און רעגיסטרירן און פּלאַנירן ווי די לעוועלס וועלן וואַקסן צווישן סטאַגע 1 און סטאַגע 2.
איין פּשוטער צוגאַנג איז צו דעפינירן לעוועל איינס ווי "געשריבן", לעוועל צוויי ווי "באשטעטיקט", לעוועל דריי ווי "אין רעגולערן באַנוץ מיט רעקאָרדס" און לעוועל פיר ווי "איבערגעקוקט און פֿאַרבעסערט באַזירט אויף באַווייזן". פֿאַר שטאַפּל 1, צילט איר בפֿרט אויף לעוועלס איינס און צוויי אויף אייערע קערן דאָקומענטן, מיט די וויכטיקסטע פּראָצעדורן וואָס הייבן אָן צו אַרבעטן. ביז שטאַפּל 2, זאָלן מער זאַכן זיין אויף לעוועלס דריי און פיר, ספּעציעל די וואָס זענען פֿאַרבונדן מיט הויך-ריזיקירטע געביטן אָדער אָפֿטמאָליקע קונה אינטעראַקציעס.
שטאפל 1 קאנצענטרירט זיך אויף צי אייער דאקומענטאציע עקזיסטירט, איז קאכערענט און פאסט צו אייער אנגעגעבענעם פארנעם און סערוויסעס. דער אוידיטאר לייענט רעפרעזענטאטיווע דאקומענטן, קאנטראלירט אז זיי זענען פארבונדן איינער מיטן צווייטן אויף א קלוגן אופן און באשטעטיגט אז עס איז דא א רעאליסטישער פלאן זיי צו דורכפירן. זיי מעגן בעטן צו זען א קליינעם מוסטער פון רעקארדס, אבער זיי ערווארטן נישט קיין ברייטע היסטאריעס.
שטאַפּל 2 לייגט מער אַ טראָפּ אויף אָפּעראַציע און עפעקטיווקייט. אוידיטאָרן שפּורן ספּעציפֿישע קאָנטראָלן דורך אייער דאָקומענטאַציע און אין פּראַקטישע ביישפילן: ענדערונג טיקאַץ, אינצידענט לאָגס, אָנבאָאַרדינג רעקאָרדס, סאַפּלייער באריכטן און זיצונג פּראָטאָקאָלן. זיי ווילן זען אַז די פּראָצעסן וואָס איר האָט באַשריבן אין שטאַפּל 1 זענען אין באַנוץ, אַז איר מעסט און באריכטן זיי און אַז איר קאָריגירט פּראָבלעמען ווען זיי קומען אויף.
שריט 1 – באַשטימען מאַטוריטי לעוועלס צו שליסל דאָקומענטן
באַשטימט יעדער פּאָליטיק, פּראָצעדור און רעגיסטרירן אַ פּשוטן לעוועל פֿון איינס (געשריבן) ביז פֿיר (באַווײַז-געטריבענע פֿאַרבעסערונג), באַזירט אויף דער איצטיקער רעאַליטעט. זײַט ערלעך, כּדי די צילן זאָלן בלייבן דערגרייכבאַר.
איר קענט רעקאָרדירן לעוועלס אין אייער דאָקומענטאַציע טשעקליסט און זיי דערהייַנטיקן נאָך יעדן אינערלעכן אָדער אויסערלעכן אוידיט צו שפּיגלען פּראָגרעס.
שריט 2 – שטעלן צילן פאר שטאפל 1 און שטאפל 2
מסכים זיין וועלכע אַרטיפאַקץ מוזן דערגרייכן לעוועל צוויי איידער בינע 1 און וועלכע מוזן דערגרייכן לעוועל דריי אָדער פיר איידער בינע 2. פּלאַנירן די אַרבעט אַקאָרדינגלי אַזוי אַז טימז זאָלן נישט זיין אָוווערוועלמד.
זיך קאנצענטרירן פרי אויף הויך-ריזיקירטע געביטן אדער שווערע קונה אינטעראקציעס גיט אייך די גרעסטע נוץ פון באגרענצטע צייט.
שריט 3 – ניצן אוידיטס צו רירן לעוועלס ארויף
ניצט אינערלעכע און אויסערלעכע אוידיט רעזולטאטן צו באשליסן וועלכע דאקומענטן דארפן מער באווייזן, בעסערע מעטריקס אדער פארמאלע פארבעסערונגען. הייבט זייערע מאטוריטעט לעוועלס באוואוסטזיניק אנשטאט רעאקטיוו.
דאָס מאַכט אויס אויডিץ אַ טייל פֿון אייער פֿאַרבעסערונג מאָטאָר, אַנשטאָט ספּאָראַדישע געשעענישן וואָס פֿאַראורזאַכן קורץ-טערמין פּאַניק.
געוויינטלעכע MSP דאקומענטאציע גאַפּס און ווי זיי צו ויסמיידן
געוויינטלעכע MSP דאקומענטאציע גאפעס דערשייַנען אָפט ביי סטאַגע 2 ווען אָדיטאָרס זוכן פֿאַר פאַקטישע רעקאָרדס הינטער די פּאָליטיקס. וויסן די פּאַטערנז אין שטייַגן אַלאַוז איר צו פּלאַן דיין דאָקומענטאַציע און באַווייַזן קאַלענדאַר צו ויסמיידן זיי, אַנשטאָט צו אַנטדעקן זיי אונטער צייט דרוק.
פילע MSPs זען די זעלבע דאקומענטאציע שוואכקייטן ארויסגעברענגט אין סטאַגע 2 אוידיטס. MSP-פאָקוסירטע ISO 27001 מאַטעריאַלן און קאָנסולטינג אַנאַליזעס, אַזאַ ווי די פון ספּעציאַליסט פירמעס וואָס אַרבעטן מיט מענעדזשד סערוויס פּראַוויידערז, באַשרייבן רעגולער איבערחזרנדיקע געפינסן ווי אומקלאָרע פאַרנעם, אומפארענדיקטע אַסעט אינווענטאַרן און אומדאָקומענטירטע געטיילטע פֿאַראַנטוואָרטלעכקייטן. פֿאַרשטיין די פּאַטערנז גיט איר אַ פֿאָרשפּרונג און ראַדוסירט פּראַקטישנער דרוק ווען איר דערנענטערט זיך צו סערטיפיקאַציע.
דער ערשטער איבערחזרנדיקער חסרון איז אומקלארער פארנעם. דאקומענטאציע קען רעדן בכלל וועגן "מענעדזשד איי-טי סערוויסעס" אן דערקלערן וועלכע סערוויסעס זענען אין דעם פארנעם, וועלכע נישט, און ווי קאסטומער-געהאוסטעד סביבות ווערן באהאנדלט. דאס פארמישט אוידיטארן, קאסטומערס און אינערליכע טימס און מאכט ריזיקא מענעדזשמענט אומקלאר.
די צווייטע איז שוואַכע אַסעט אינווענטאַרן פֿאַר קונה סביבות, ספּעציעל וווּ איר אַדמיניסטרירט סיסטעמען וואָס טעכניש געהערן צו דעם קליענט. אויב דיין ריזיקירן און ענדערונג דיסיזשאַנז הענגען אָפּ פון די אַסעץ, איר דאַרפֿן לפּחות אַ פּראַגמאַטיש, דאָקומענטירט מיינונג פון זיי.
די דריטע איז מאָדעלן פֿאַר געטיילטע פֿאַראַנטוואָרטלעכקייט וואָס עקזיסטירן אינפאָרמעל אָבער זענען נישט אַראָפּגעשריבן אויף אַ וועג וואָס אָדיטאָרס און קאַסטאַמערז קענען זיך פֿאַרלאָזן אויף. ווען אַ זיכערהייט אינצידענט פּאַסירט, קען דאָס פֿירן צו שולד-פֿאַרשייבונג און צעמישונג, וואָס איז פּונקט וואָס רעגולאַטאָרן און באָרדס ווילן פֿאַרמייַדן.
איר קענט זיך מיט די דאזיגע זאכן אפגעבן דורך ניצן אייער דאקומענטאציע טשעקליסט און מאפירונג ארבעט אלס א וועגווייזער. אויב איר זעט אז אסאך קאנטראלן ווייזן אויף דאקומענטן וואס עקזיסטירן נאך נישט אדער אויף פראצעדורן וואס ווערן נישט קאנסיסטאנט נאכגעפאלגט, קענט איר צילן די דאזיגע געביטן אין אייערע אינערליכע אויספארשונגען און פארבעסערונג פלענער פון סטאַגע 1 ביז סטאַגע 2.
עס העלפט אויך צו פארשפרייטן דאקומענטאציע ארבעט איבערן סערטיפיקאציע ציקל. בויען א פשוטן באווייז קאלענדאר וואס סקעדזשולירט אינערליכע אויספארשונגען, מענעדזשמענט איבערבליקן, ריזיקע איבערבליקן און וויכטיגע רעקארד דערהיינטיקונגען (ווי איבערקוקן דעם אסעט רעגיסטער אדער סופלייער ליסטע) פארקלענערט די פארזוכונג צו "צוריקפילן" דאקומענטן אין א יאגעניש גלייך פאר סטאַגע 2. פאר באארדס און רעגולאטארן, איז א שטענדיגע באווייז קאדענס א שטארקער סיגנאל אז אייער ISMS איז באמת איינגעווארצלט.
ווען איר פארבעסערט אייער דאקומענטאציע צווישן שטאפל 1 און שטאפל 2, איז וויכטיג צו איבערקוקן אייער ריזיקע אפשאצונג. אויב די אימפלעמענטאציע ארבעט אנטפלעקט נייע ריזיקעס אדער ווייזט אז עקזיסטירנדע ריזיקעס זענען מער באדייטנד ווי איר האט געמיינט, האלט דער אפדעיט פון דעם ריזיקע רעגיסטער און באהאנדלונג פלאן אייער דאקומענטירטע בליק אויף ריזיקע אין איינקלאנג מיט ווי סערוויסעס ווערן טאקע געגעבן. יענע איינקלאנג צווישן דאקומענטן, אפעראציעס און ריזיקע באשלוסן איז פונקט די סארט מאטוריטעט וואס אוידיטארן און אינפארמירטע קאסטומערס ערווארטן צו זען מיט דער צייט.
בוך אַ דעמאָ מיט ISMS.online הייַנט
ISMS.online איז דיזיינט צו העלפן אייך פארוואנדלען די דאקומענטאציע סטרוקטורן וואס זענען באשריבן אויבן – קערן קלאָזולעס, MSP-ספּעציפֿישע אַרטעפאַקטן, מאַפּינגס און טשעקליסטן – אין א ארבעטנדיקן ISMS וואס אוידיטאָרן און קאַסטאַמערז קענען גרינגער פֿאַרשטיין. דורך צענטראליזירן אייערע פּאָליטיקס, רעגיסטערס, סערוויס דאָקומענטאַציע און באַווייזן אין איין סביבה, פארשטארקט איר אוידיטן, פארקירצט פארקויף ציקלען און מאַכט טעגלעכע קאָנפאָרמאַנס ווייניקער מיד פֿאַר אייער מאַנשאַפֿט.
זעט ISO 27001 דאָקומענטאַציע אין אַ ארבעטנדיקן ISMS
זען ISO 27001 דאקומענטאציע אין א ארבעטנדיקן ISMS איז אפט דער שנעלסטער וועג צו פארשטיין וואס "גוט" זעט אויס. א לעבעדיגע סביבה ווייזט ווי אזוי פארנעם, ריזיקע, פאליסיס און MSP-ספעציפישע דאקומענטן קענען אלע זיצן אין איין קאָוכערענטער סטרוקטור אנשטאט אין באזונדערע טעקעס און מכשירים.
אן אינטעגרירטע פּלאַטפאָרמע וואָס איז צוגעפּאַסט צו ISO 27001:2022 פּונקט אויסלייג און אַנעקס A קאָנטראָלן נעמט אַוועק אַ סך פון די רייַבונג וואָס קומט מיטן פּלאַנירן אייערע אייגענע סטרוקטורן. אַנשטאָט אויסטראַכטן טעקעס און נאַמינג קאָנווענשאַנז, שטעלט איר אייער אינפֿאָרמאַציע זיכערהייט פּאָליטיק, פאַרנעם, ריזיקאָ מעטאָדאָלאָגיע, ריזיקאָ רעגיסטער, סטעיטמענט פון אַפּליקאַביליטי און MSP-ספּעציפֿישע דאָקומענטן אין אַ פריימווערק וואָס אָדיטאָרס דערקענען.
ווייל ISMS.online איז דיזיינט פאר קאנטינעווער קאמפלייענס, שטיצט עס איבערבליק ציקלען, באשטעטיגונגען, אויפגאבע צוטיילונג און אוידיט טרעילס גלייך פון דער שאכטל. דאס מיינט אז איר גייט ווייטער ווי פשוט שאפן דאקומענטן און איר גייט זיי אקטיוו פירן: באשטימען אייגענטימער, סקעדזשולירן איבערבליקן און נאכפאלגן ענדערונגען איבער צייט. פאר MSP'ס איז דאס ספעציעל נוצלעך וואו פארשידענע ראלעס דארפן קאלאבארירן איבער סערוויסעס און וואו קונה, באארד און רעגולאטורישע ערווארטונגען אנטוויקלען זיך כסדר.
די מאַפּינג אַרבעט וואָס איר טוט אַמאָל – פֿאַרבינדן קאָנטראָלן צו דאָקומענטן און באַווײַזן – לוינט זיך אויך ווען איר דאַרפֿט ווײַזן אַליינמאַנט מיט אַנדערע פריימווערקס ווי NIS 2 אָדער SOC 2. זיכערהייט און קאָנפאָרמאַנס גיידאַנס פֿון אינדוסטריע גופים, אַרייַנגערעכנט די קלאָוד סעקוריטי אַליאַנס, אונטערשטרייכט אַז אַן איינציקע, גוט-סטרוקטורירטע קאָנטראָל מאַפּע קען שטיצן עטלעכע פֿאַרבונדענע סטאַנדאַרדן, אַזוי דאָס ווידער-באַניץ איז אַ ברייט רעקאָמענדירטער וועג צו רעדוצירן דופּליקאַט מי.
נעמט דעם נעקסטן שריט ווען דער ווייטאג פילט זיך באַקאַנט
איר זאָלט נאָר נעמען דעם ווייטערדיקן שריט ווען דער דאָקומענטאַציע ווייטיק וואָס ווערט דאָ באַשריבן פילט זיך דערקענטלעך אין אייער אייגענעם MSP. אויב איר זשאַנגלירט מיט נישט-קאָנסיסטענטע טעקעס, ראַנגלט זיך מיט זיכערהייט פֿראַגעבאָגן אָדער זאָרגט זיך וועגן וואָס סטאַגע 1 וועט אַנטדעקן, איז דאָס געוויינטלעך אַ סימן אַז אַ מער סטרוקטורירטער ISMS וואָלט געהאָלפֿן.
אויב איר דערקענט אייער אָרגאַניזאַציע אין די סצענאַרן וואָס ווערן דאָ באַשריבן – זיך מוטשענען מיט זיכערהייט פֿראַגעבאָגן, זיך אויסרעכענען מיט נישט-קאָנסיסטענטע דאָקומענטן אָדער זאָרגן זיך וועגן וואָס סטאַגע 1 וועט אַנטדעקן – איז זען דעם צוגאַנג אין אַ לעבעדיקער סביבה אַ קלוגער ווייטערדיקער שריט. א קורצע ISMS.online דורכגאַנג קען אייך ווייַזן ווי אַן ISO 27001-אויסגעריכט דאָקומענטאַציע טשעקליסט קוקט אויס אין אַ אַרבעטנדיקער פּלאַטפאָרמע, ווי MSP-ספּעציפֿישע טעמפּלאַטן קענען באַשנעלערן אייער בויען און ווי איר קענט האַלטן אַלץ אַקטועל נאָך סערטיפֿיקאַציע אָן זיך דערטרינקען אין אַדמיניסטראַציע.
אויסקלויבן ISMS.online ווען איר ווילט א פראקטישן, אוידיטאר-פריינדלעכן ISMS גיט אייך א פארשפרייטונג אויף ISO 27001 דאקומענטאציע, באפרייט אייערע עלטערע מענטשן פון פייערלעשעריי און העלפט אייך פארוואנדלען קאמפלייענס אין א שטענדיגע מקור פון צוטרוי מיט קאסטומערס, באארדס און רעגולאטארן.
ספר אַ דעמאָאָפֿט געשטעלטע פֿראגן
וואָסערע ISO 27001 דאָקומענטן דאַרף אַן MSP טאַקע האָבן אין פּלאַץ איידער אַ סטאַגע 1 אוידיט?
פאר שטאפל 1, דארף אייער MSP א קאמפאקטן, צוזאמענגעשטעלטן ISMS וואס ווייזט כוונה און דיזיין, אנשטאט א וואנט פון פארענדיגטע פאפירן. די עכטע פראגע פונעם אוידיטאר איז צי איר פארשטייט אייערע ריזיקעס, האט געמאכט באוואוסטזיניגע ברירות, און ווייסט ווי אזוי די סיסטעם וועט ארבעטן נאכדעם וואס זי וועט זיין סערטיפיצירט.
וועלכע דאקומענטן פארמען דעם מינימום "סטעידזש 1 רוקן-ביין" פאר אן MSP?
פֿאַר רובֿ געראטן סערוויס פּראַוויידערז, אַ גלויבווערדיק סטאַגע 1 פּאַק כולל:
- ISMS פאַרנעם סטעיטמענט:
א קורצע, פּינקטלעכע באַשרייַבונג פון וואָס איז אין און אַרויס פון דעם פאַרנעם:
- לעגאַלע ענטיטיז און לאָקאַציעס (אַרייַנגערעכנט ווייַט אַרבעט).
- אינטערנע סיסטעמען, געטיילטע פּלאַטפאָרמעס און געראטן סערוויסעס וואָס איר אַדמיניסטרירט.
- קלאָרע גרענעצן פֿאַר קונה סביבות, סאַפּלייערז און יעדע אויסשליסונג וואָס איר רעכטפארטיקן.
- אינפֿאָרמאַציע זיכערהייט פּאָליטיק:
א הויך-לעוועל פאליסי וואס:
- שטאַטן פאַרוואַלטונג היסכייַוועס און זיכערהייט צילן.
- שפיגלט אפ MSP רעאליטעטן: ווייטער אדמיניסטראציע, 24/7 אפעראציעס, אויטאמאציע, מולטי-טענאנט טולינג און פארלאז אויף סופלייער.
- ווײַזט אויף די רעשט פֿון די ISMS, אַנשטאָט צו פּרובירן צו זײַן די ISMS אַליין.
- ריזיקע מעטאדאלאגיע און ערשטע ריזיקע רעגיסטער:
- א דאקומענטירטע ריזיקע אפשאצונג און באהאנדלונג פראצעס צוגעפּאַסט צו אייער געשעפט.
- א ריזיקאָ רעגיסטער מיט עכטע איינטראַגעס וואָס דעקן סיי אייער אייגענע אינפראַסטרוקטור און סיי קונה-פייסינג סערוויסעס.
- ריזיקע באַהאַנדלונג פּלאַן און דערקלערונג פון אַפּליקאַביליטי (SoA):
- אַקציעס, אייגנטימער און צייטפֿריימען פֿאַר באַהאַנדלען שליסל ריזיקעס.
- אַן SoA וואָס ליסטירט וועלכע אַנעקס A קאָנטראָלן איר אַפּליקירט, וועלכע איר אויסשליסט, און פאַרוואָס די באַשלוסן מאַכן זינען פֿאַר אַן MSP.
- הויפּט אָפּעראַציאָנעלע פּראָצעדורן:
קורצע, נוצלעכע פּראָצעדורן וואָס פּאַסן צו ווי אייערע מאַנשאַפֿטן אַרבעטן טאַקע, טיפּיש דעקנדיק:
- צוטריט פאַרוואַלטונג און דזשוינערס/movers/dismissers.
- ענדערונג פאַרוואַלטונג פֿאַר לעבן און קונה סביבות.
- באַקאַפּ, רעסטאָר און קאָנטינויִטעט אַריבער שליסל פּלאַטפאָרמעס.
- אינצידענט דעטעקציע, טריאזש, עסאַקאַלאַציע און קאָמוניקאַציע.
- סאַפּלייער אויסוואַל, אָנבאָאַרדינג, אָפּשאַצונג און טערמאַניישאַן.
- פאַרוואַלטונג פלענער:
- אן אינערלעכער אוידיט פּלאַן וואָס שטעלט אַ רעאַליסטישן אָפּשאַצונג ציקל.
- א מענעדזשמענט איבערבליק פּלאַן וואָס ווייזט ווי פירערשאַפט וועט קוקן אויף ריזיקע, פאָרשטעלונג און פֿאַרבעסערונג.
אויב די דאקומענטן שטימען זיך צו און באשרייבן קלאר ווי אייער MSP וועט אפערירן זיין ISMS, קענען סטאַגע 1 אוידיטאָרן געווענליך אייך אריבערפירן צו סטאַגע 2 מיט א קאנטראלירבארע אקציע ליסטע אנשטאט גרויסע איבערדיזיין ארבעט.
ווי פולשטענדיג דארפן די דאקומענטן טאקע זיין?
שטאפל 1 איז א דיזיין און גרייטקייט טשעק, נישט קיין דורכגעגאנגען/דורכגעפאלן עקזאמען אויף היסטאריע:
- שליסל פאליסיס און פראצעדורן זאלן זיין געשריבן, באזיצט און אדער באשטעטיגט אדער זייער נאנט, מיט גרונטלעכע ווערסיע קאנטראל קענטיק.
- רעגיסטערס (ריזיקע, פארמעגן, אינצידענטן) זאָלן עקזיסטירן און אַנטהאַלטן פריע איינטראַגעס, אפילו אויב זיי זענען נאָך נישט פולשטענדיק.
- אינטערנע אוידיט און מענעדזשמענט איבערבליק זאָלן זיין פּלאַנירט, מיט לפּחות די ערשטע דאַטעס וואָס זענען מסכים געווען און קענטיק אין אייער ISMS.
רובֿ אוידיטאָרן זענען באַקוועם אויב איר האָט אַ קאָוכירענטן פּלאַן און קענט ווייַזן אַז די סיסטעם האָט שוין אָנגעהויבן צו רירן זיך. אויב אייער מאַטעריאַל איז איצט צעוואָרפן איבער שעירפּאָינט, טיקעטינג מכשירים און פּערזענלעכע טעקעס, קאָנסאָלידירן עס אין אַן ISMS פּלאַטפאָרמע ווי ISMS.online העלפֿט איר פאָרשטעלן אַן איינציקן, סטרוקטורירטן בליק און גיט איר ערגעץ פּראַקטיש צו זאַמלען באַווייַזן צווישן סטאַגע 1 און סטאַגע 2.
ווי זאָל אַן MSP אָרגאַניזירן ISO 27001 דאָקומענטאַציע אַזוי אַז עס זאָל פּאַסן צו מולטי-טענאַנט, סערוויס-באַזירטע אַרבעט?
אייער דאקומענטאציע איז פיל גרינגער צו ניצן אויב עס איז ארגאניזירט ארום די מענעדזשד סערוויסעס וואס איר פארקויפט און שטיצט טאקע, אנשטאט ארום אלגעמיינע קלאוזאלן. ווען קאנטראלן זענען קלאר פארבונדן מיט סערוויסעס און אחריותן, קענען אינזשענירן, אוידיטארן און קאסטומערס אלע נאכפאלגן די לאגיק אן קיין איבערזעצונג.
ווי קענט איר מאַכן אייער ISMS "סערוויס-באַוואוסטזיניק" פֿאַר מולטי-טענאַנט סביבות?
א פּראַגמאַטישער מוסטער איז צו שפּיגלען אייער סערוויס מאָדעל אין דעם וועג ווי איר סטרוקטורירט דאָקומענטן:
- פאַרנעם און קאָנטעקסט געבויט פֿון סערוויסעס:
- ליסט יעדן מענעדזשד סערוויס אין דעם פאַרנעם: סערוויס דעסק, RMM, מענעדזשד באַקאַפּ, MDR, ענדפּוינט מענעדזשמענט, כאָוסטיד אינפראַסטרוקטור און אַזוי ווייטער.
- באַשרײַבט שליסל-אָפּהענגיקייטן פֿאַר יעדן: וואָלקן פּראַוויידערז, דאַטן-צענטערס, קאָר SaaS מכשירים, טעלעפאָניע און קאָנעקטיוויטי.
- פּאָליטיקס וואָס באַצייכענען פאַקטישע MSP פּראַקטיקעס:
- שטעלט קלארע ערווארטונגען פאר ווייטערן צוטריט, ברייק-גלאז אקאונטס, איבערשפרינגענע האוסטס און VPN באנוץ.
- דערקלערט ווי איר האַלט די טענענט צעשיידונג און ויסמיידן קראָס-קונה דאַטן ויסשטעל.
- באַשרײַבט אײַער צוגאַנג צו לאָגינג, מאָניטאָרינג און אינצידענט האַנדלינג אַריבער פילע קאַסטאַמערז.
- פּראָצעדורן איינגעוואָרצלט אין אייערע מכשירים און וואָרקפלאָוז:
- צוטריט קאָנטראָל פּראָצעדורן וואָס רעפֿערירן אייערע דירעקטאָרי סערוויסעס, RMM, PSA און קרעדענשאַל וואָלטס.
- ענדערן פּראָצעדורן לויט אייערע עקזיסטירנדיקע בילעט קאַטעגאָריעס, ענדערן פֿענצטער און אויטאָריזאַציע מוסטערן.
- באַקאַפּ און צוריקשטעלן טריט פארבונדן מיט די פּלאַטפאָרמעס וואָס איר טאַקע אָפּערירט, מיט אָונערשיפּ און וועראַפאַקיישאַן איינגעבאַקן.
- אינצידענט רעאַקציע פּלייבוקס וואָס שטימען מיט אייערע אַלערט קוועלער, אויף-רוף ראָוטיס און קאָמוניקאַציע קאַנאַלן.
- סערוויס קאַטאַלאָג מיט געטיילטע פֿאַראַנטוואָרטלעכקייט מאַטריץ:
פֿאַר יעדן געראטן סערוויס, האַלט אַ פּשוטע מאַטריץ וואָס ווייזט ווער טוט וואָס אַריבער:
- פּאַטשינג און קאָנפיגוראַציע באַסליינז.
- לאָגינג און מאָניטאָרינג.
- אידענטיטעט און צוטריט פאַרוואַלטונג.
- באַקאַפּ, ריטענשאַן און אָפּזוך.
- אינצידענט מעלדונג און קונה קאָמוניקאַציע.
א דריי-קאלום מאטריץ (קונה / MSP / סאַפּלייער) מיט סערוויסעס אין די רייען איז געוויינטלעך גענוג צו מאַכן פֿאַראַנטוואָרטלעכקייטן קלאָר און פֿאַרטיידיקבאַר אין אויডিץ און קונה טרעפֿונגען.
פארוואס מאכט די סטרוקטור אוידיטס און קאסטומער שמועסן גרינגער?
ווען אַלץ איז סערוויס-אָריענטירט:
- אוידיטארן קענען גיין פון א אַנעקס א קאָנטראָל, דורך די SoA און פּראָצעדור, צו אַ ספּעציפֿישן סערוויס און די טיקעטן אָדער לאָגס וואָס באַווייַזן עס, אָן אַז איר זאָלט ימפּראַוויזירן דערקלערונגען.
- אינזשענירן און סערוויס דעסק טימז קענען זען פּונקט וועלכע טיקעטן, סקריפּטן און אויטאָמאַציע מקיים וועלכע קאָנטראָל פֿאַר יעדן סערוויס, און דאָס רעדוצירט דעם ריזיקאָ פֿון נישט-אָפיציעלע פּראַקטיקעס וואָס דערגרייכן קיינמאָל נישט אייער ISMS.
- פארקויף און אקאונט מענעדזשערס קענען ווידער נוצן די זעלבע פֿאַראַנטוואָרטלעכקייט מאָדעלס אין פאָרשלאָגן, קאָנטראַקט סקעדזשולז און זיכערהייט פֿראַגעבאָגן, אַנשטאָט צו שרייבן נייַע ווערטער יעדעס מאָל.
צענטראליזירן די סטרוקטור אין ISMS.online ערלויבט אייך צו פארבינדן יעדן סערוויס צו זיינע קאנטראלן, פראצעדורן און באווייזן. ווען איר פירט איין א נייעם מענעדזשד סערוויס אדער פארטרעט א סופלייער, דערהיינטיקט איר דעם קאטאלאג און פארבינדענע זאכן איין מאל, און די איבעריגע דאקומענטאציע פאלגט נאך. דאס האלט אייער ISMS אין איינקלאנג מיט ווי אזוי איר טאקע צושטעלט מולטי-טענאנט סערוויסעס, אנשטאט איינצופרירן אן אלטמאדיש בילד פון אייער ביזנעס.
ווי קען אַן MSP ווידער נוצן עקזיסטירנדע SOPs און SLAs אַנשטאָט צו שרייבן אַן "ISO-only" כלל-בוך?
רובֿ MSP'ס האָבן שוין אַ סך גוט מאַטעריאַל: SOP'ס, ראַנבוקס, SLA'ס און אָנבאָרדינג פּאַקס וואָס אַרבעטן אין פּראַקסיס. דער עפֿעקטיווסטער וועג צו ISO 27001:2022 איז צו צופּאַסן און לייכט פֿאַרברייטערן וואָס איר האָט, נישט צו שאַפֿן אַ פּאַראַלעל דאָקומענטאַציע־וניווערסום וואָס קיינער ניצט נישט.
וואָס איז אַ פּראַקטישער וועג צו מאַפּירן עקזיסטירנדיק מאַטעריאַל צו ISO 27001:2022?
באַהאַנדלט דאָס ווי אַ קאָנטראָלירטע מאַפּינג געניטונג אַנשטאָט אַ שרייבפּראָיעקט:
- קלארשטעלן די באדערפענישן וואָס זענען אָנווענדלעך צו אײַך
- ליסט די ISO 27001:2022 קלאָזולעס וואָס פאַלן אין דיין אויסגעקליבענעם פאַרנעם.
- באַשליסט, דורך אייער SoA, וועלכע אַנעקס A קאָנטראָלס זענען אָנווענדלעך און וועלכע איר וועט באַרעכטיקן ווי אויסשליסונגען פֿאַר אייער MSP.
- אינווענטאַריזירן דעם מאַטעריאַל אויף וואָס אייערע מאַנשאַפֿטן פֿאַרלאָזן זיך שוין
- אפעראציאנעלע סאפ'ס, אינזשעניריע ראַנבוקס און זיכערהייט פּלייבוקס גענוצט טעגלעך.
- SLAs, הויפּט סערוויס אַגרימאַנץ און זיכערהייט קאַמיטמאַנץ געפֿונען אין קאָנטראַקטן.
- טיקעט וואָרקפלאָוז פֿאַר ענדערונגען, אינצידענטן, ריקוועסץ און פּראָבלעמען אין דיין PSA אָדער ITSM געצייַג.
- HR פּראָצעסן פֿאַר אָנבאָרדינג, אָפבאָרדינג, וויסיקייַט טריינינג און דיסציפּלינאַרי אַקציע.
- בויען אַ מאַפּע פֿון באַדאַרף־צו־אַרטעפֿאַקט
פֿאַר יעדער באַדאַרף, אידענטיפֿיצירט וואָס עקזיסטירט שוין און באַצייכנט עס:
- גאָר באדעקט: – אייער איצטיגע פּראָצעס און רעקאָרדס טרעפן די פאָדערונג.
- טיילווייז באדעקט: – די עסענץ עקזיסטירט, אָבער קלארקייט, פאַרנעם אָדער באַווײַזן דאַרפן פֿאַרשטאַרקט ווערן.
- נישט געדעקט: – אַ נײַער קורצער קאָנטראָל, פּראָצעדור אָדער רעגיסטער־אַרײַנטראָג איז נויטיק.
- איבערזעצן גאַפּס אין קליינע, ספּעציפֿישע אַקציעס
טיפּישע רעזולטאַטן אַרייַננעמען:
- צולייגן סאַפּלייער ריזיקאָ טשעקס און פּעריאָדישע רעצענזיעס אין דיין סאַפּלייער פּראָצעס.
- שרייבן א קורצע וועגווייזער פאר אינזשענירן צו ארבעטן ווייטער ווי ווייט, וואס שפיגלט אפ די עכטע געצייג און באגרענעצונגען.
- אויסברייטערן אן עקזיסטירנדיקן באַקאַפּ ראַנבוק צו אַרייננעמען פּעריאָדישע רעסטאָר טעסטינג און באַווייז קאַפּטשער.
אויב איר צעטיילט דאָס לויט סערוויס ליניע – למשל, אינפראַסטרוקטור, וואָלקן, זיכערהייט און ענד-באַניצער – בלייבט די געניטונג קאָנטראָלירבאר און פּראָדוצירט אַ מאַפּע וואָס איר קענט ווייַזן אוידיטאָרן צו באַווייַזן אַז אייער ISMS איז איינגעוואָרצלט אין ווי אייער MSP אַרבעט טאַקע.
ווי אזוי מאכט אן ISMS פלאטפארמע די מאפינג נאכhalטיק?
ספּרעדשיט מאַפּינג קען אַרבעטן פֿאַר אַן איינמאָליק פּראָיעקט, אָבער טענד צו פאַרערגערן זיך אַזוי שנעל ווי סערוויסעס אָדער קאָנטראָלס טוישן זיך. ניצן אַ דעדאַקייטאַד ISMS פּלאַטפאָרמע ווי ISMS.online לאָזט איר:
- צוטשעפּן יעדע קלאָז און אַנעקס א קאָנטראָל גלייך צו די פּאָליטיקס, סטאַנדאַרט אָפּעראַציעס (SOPs) און רעקאָרדס וואָס ווײַזן עס.
- ניצן ווידער די זעלבע אַרטיפאַקץ אין פאַרשידענע פריימווערקס ווי ISO 27001, SOC 2 און יסאָ קסנומקס, אַזוי איר דאַרפט נישט איבערמאַפן פֿון אָנהייב פֿאַר יעדער נײַער באַדאַרף אָדער קונה-פֿראַגע.
- זעט קאַווערידזש אויף איין בליק, באַשטימט אייגנטימער און פאַל-דאַטעס צו רעשט גאַפּס, און ווייזט פּראָגרעס אָן איבערבויען דעם הויפּט דאָקומענט.
דאָס מאַכט "ניצן ווידער וואָס אַרבעט, שרײַבן נאָר וואָס פעלט" אַ שטענדיקן אַרבעטס־סטיל, נישט קיין ווייטיקדיקע געיעג פֿאַר יעדן אוידיט אָדער גרויסן קונה־פֿראַגעבאָגן. איר האַלט אײַערע אינזשענירן פֿאָלגנדיק באַקאַנטע מאַטעריאַלן, און אײַער ISO 27001 אימפּלעמענטאַציע ווערט אַ דין שיכט סטרוקטור אויף אויבן אַנשטאָט אַ קאָנקורירנדיקער כלל־בוך.
וועלכע רעגיסטערס און לאָגס זאָלן זיצן אין צענטער פֿון אַן MSP-פֿאָקוסירטן ISO 27001 טשעקליסט?
פֿאַר אַן MSP, איז אַ קליין סכום גוט-געהאַלטענע רעגיסטערס געוויינטלעך מער איבערצייגנדיק ווי אַ לאַנגע זאַמלונג פון לייכט גענוצטע טעמפּלאַטן. גוטע רעגיסטערס ווײַזן אַז איר באַמערקט פּראָבלעמען, מאַכט באַשלוסן און שליסט דעם קרייז, וואָס איז פּונקט וואָס אָדיטאָרס און קאַסטאַמערז ווילן זען.
וועלכע קערן רעגיסטערס ווײַזן אַז אײַער ISMS איז טאַקע לעבעדיק?
רובֿ MSP'ס קענען דעקן די עיקר מיט פינף הויפּט רעגיסטערס:
- ריזיקע רעגיסטער:
- כאַפּט ריזיקעס צו אייער אייגענע סביבה און צו די סערוויסעס וואָס איר פאַרוואַלטעט פֿאַר קאַסטאַמערז.
- כולל אימפּאַקט, ליקעליהאָאָד, באַהאַנדלונג, אייגנטימער, איבערבליק דאַטעס און סטאַטוס.
- פֿאַרבינדט יעדן ריזיקאָ צו באַטייַטיקע אַסעץ, קאָנטראָלן און באַדינונגען אַזוי איר קענט דערקלערן באַשלוסן.
- אַסעט רעגיסטער:
- ליסטירט קריטישע אינפראַסטרוקטור, פּלאַטפאָרמעס, מכשירים און קונה-פֿאַרבונדענע אַסעץ אין פאַרנעם.
- רעקאָרדס אייגנטימער, לאָקאַציעס, דאַטן קלאַסיפיקאַציעס און באַציִונגען צו באַדינונגען.
- אונטערשטיצט קאנטראלן פאר צוטריט, בעקאפ, רעקאָווערי און סאַפּלייער פאַרוואַלטונג.
- אינצידענט לאָג:
- רעקאָרדס זיכערהייט און הויפּט סערוויס אינצידענטן, אַרייַנגערעכנט וואָס איז געשען, ווי עס איז געווען דעטעקטירט, פּראַל און רעמעדיאַציע.
- פֿאַרבינדט יעדן אינצידענט צו סערוויסעס, קאַסטאַמערז, פֿאַרבונדענע ענדערונגען און קאָמוניקאַציעס.
- ענדערונג קלאָץ:
- טראַקט ענדערונגען וואָס ווירקן אויף פּראָדוקציע אָדער קונה סביבות.
- ווײַזט באַשטעטיקונגען, אימפּלעמענטאַציע דעטאַלן, צוריק-אויס פּלענער (וואו נייטיק) און וועריפיקאַציע רעזולטאַטן.
- נישט-קאנפארמיטי און קארעקטיווע-אקציע לאג:
- קאָנסאָלידירט רעזולטאַטן פון אינערלעכע אוידיטס, עקסטערנע אוידיטס, אינצידענטן און כּמעט-פאַרפעלן.
- דאָקומענטירט וואָרצל־סיבה, מסכים געווען אַקציעס, אייגנטימער, פאַל־דאַטעס און שליסונג־סטאַטוס.
איר קענט דעמאָלט אַריינלייגן דאָס אין אַ פּשוטן דאַשבאָרד אָדער טשעקליסט וואָס ווייזט, פֿאַר יעדן רעגיסטער, זײַן צוועק, באַזיצער, איצטיקן סטאַטוס און קומענדיקן איבערבליק דאַטע. יענער איינציקער בליק זאָגט אָפט אַן אוידיטאָר מער וועגן דעם געזונט פֿון אײַער ISMS ווי דיקע בינדער פֿון נידעריק-ווערטיקע אַרטיפאַקץ.
ווי האַלט מען רעגיסטערס לייכט גענוג צו וישאַלטן אָבער שטאַרק גענוג פֿאַר אָדיטס?
דער שליסל איז זיי צו אינטעגרירן אין ערטער וואו אייערע טימז ארבעטן שוין, אנשטאט צו צווינגען פאראלעלע אדמיניסטראציע:
- גיב אריין אינצידענט און ענדערונגען אינפארמאציע פון אייער RMM, PSA אדער ITSM אין די באטרעפנדע לאגס, אדער דורך עקספארטן, אינטעגראציעס אדער פשוטע רעפערענץ ID'ס, אנשטאט בעטן אינזשענירן צו אריינלייגן דאטא צוויי מאל.
- באגרענעצן רעגיסטער פעלדער צו די אינפארמאציע וואס האט טאקע אן איינפלוס אויף באשלוסן אין ריזיקע איבערבליקן, מענעדזשמענט איבערבליקן און סערוויס מיטינגען.
- צופּאַסן אָפּשאַצונג ציקלען מיט אָפּעראַציאָנעלע ריטמען: למשל, מאָנטלעכע ריזיקאָ און אינצידענט אָפּשאַצונגען, קוואַרטאַל אַסעט קאָנטראָלס, און אַ קורצע רעטראָספּעקטיוו נאָך יעדן באַדייטנדיקן אויספאַל אָדער זיכערהייט געשעעניש.
פירן די רעגיסטערס אין אן ISMS פלאטפארמע ווי ISMS.online לאזט אייך האלטן די סטרוקטורירטע צוזאמענפאסירונג דארט און פארבינדן צו רייכע דעטאלן אין טיקעטס, דעשבאָרדז אדער מאָניטאָרינג סיסטעמען. יענע קאָמבינאַציע האַלט די אַדמיניסטראַטיווע מי גלייַך בשעת זי גיט נאָך אָדיטאָרס און קאַסטאַמערז אַ קלאָרע, גלויבווערדיגע בילד פון ווי איר פירן ריזיקע און פֿאַרבעסערונג איבער אייער MSP.
ווי זאָל ISO 27001 דאָקומענטאַציע רייפקייט פּראָגרעסירן פֿון סטאַגע 1 צו סטאַגע 2 פֿאַר אַן MSP?
שטאַפּל 1 און שטאַפּל 2 דינען פֿאַרשידענע צוועקן. שטאַפּל 1 פּרובירט צי אייער ISMS איז קלוג דיזיינד און גרייט צו ווערן אָפּערירט. שטאַפּל 2 פּרובירט צי די סיסטעם אַרבעט ווי באַשריבן, מיט עכטע רעקאָרדס, פֿידבעק און פֿאַרבעסערונג. פּלאַנירן ווי די צייַטיקייט וועט וואַקסן צווישן די שטאַפּלען העלפֿט אייך פֿאַרמייַדן צו פֿאַרשווענדן מי פֿרי אָדער לאָזן שווערע אַרבעט צו שפּעט.
וואָסער מדרגה פון צייַטיקייט איז רעאַליסטיש ביי סטאַגע 1?
פֿאַר אַן MSP, זעט אַ פּראַקטישע סטאַגע 1 ציל אַזוי אויס:
- דיזיין קאָוכירענס:
- דער פאַרנעם, פּאָליטיק, ריזיקאָ מעטאָדאָלאָגיע, ריזיקאָ רעגיסטער, באַהאַנדלונג פּלאַן, SoA און פּראָצעדורן פּאַסן אַלע איינער צום אַנדערן און צו אייערע פאַקטישע באַדינונגען.
- MSP-ספּעציפֿישע אַספּעקטן – ווײַט־צוטריט, קונה־פּלאַטפאָרמעס, סאַפּלייערס און מולטי־טענאַנסי – ווערן קלאָר אָפּגעשפּיגלט.
- דאָקומענט קאָנטראָל:
- רובֿ הויפּט דאָקומענטן זענען שוין געשריבן און אָדער באַשטעטיקט אָדער אין דעם לעצטן אָפּשאַצונג ציקל, מיט די אייגנטימער און די קומענדיקע אָפּשאַצונג דאַטעס קענטיק.
- גרונטלעכע ענדערונגען-געשיכטע איז קלאָר אַזוי אַז אוידיטאָרן קענען זען ווי דאָקומענטן וועלן ווערן דערהייַנטיקט.
- פריע אפעראציאנעלע באנוץ:
- שליסל רעגיסטערס (ריזיקע, אַסעץ, אינצידענטן) עקזיסטירן און אַנטהאַלטן אַ קליינע צאָל פון פאַקטישע איינטראַגעס.
- אן אינטערנער אוידיט פלאן און א מענעדזשמענט איבערבליק פלאן עקזיסטירן, מיט לפחות עטליכע טעטיקייטן געפלאנט פאר סטאַגע 2.
איר קענט דאָס מאַכן מער קאָנקרעט דורך צוגעבן פּשוטע מאַטוריטעט לעוועלס צו יעדן אַרטיפאַקט:
- לעוועל 1 – געשריבן.
- לעוועל 2 – באשטעטיגט און מיטגעטיילט.
- לעוועל 3 – אין רעגולערן באנוץ מיט רעקארדס.
- לעוועל 4 – איבערגעקוקט און פֿאַרבעסערט באַזירט אויף באַווײַזן.
אין שטאַפּל 1, זאָלן רובֿ דאָקומענטן זיצן אויף לעוועלס 1-2, מיט אַ פּאָר פריע קאַנדידאַטן (ספּעציעל ריזיקאָ אַסעסמאַנט און אינצידענט לאָגינג) וואָס אָנהייבן צו דערגרייכן לעוועל 3.
וואָס זאָל זיין דעמאָנסטרירט אין פּלאַץ ביז סטאַגע 2?
ביי שטאפל 2, איז דער פאָקוס פעסט אויף אָפּעראַציע:
- קאָנטראָלס אין אַקטיוו נוצן:
- צוטריט, ענדערונג, באַקאַפּ, אינצידענט און סאַפּלייער פּראָצעדורן ווערן רוטינמעסיק נאכגעפאָלגט.
- דער אוידיטאָר קען נעמען מוסטערן פון עטלעכע חדשים פון רעקאָרדס און זען קאָנסיסטענט אַפּליקאַציע.
- באווייזן פון באַמערקונגען און פֿאַרבעסערונג:
- ריזיקעס ווערן איבערגעקוקט, מיט ווארשיינליכקייטן אדער באהאנדלונגען צוגעפאסט ווען די אומשטענדן ענדערן זיך.
- לפּחות איין אינערלעכע אוידיט און אַ פאַרוואַלטונג איבערבליק זענען דורכגעפירט געוואָרן, מיט פּראָטאָקאָלן, באַשלוסן און אַקציעס.
- נישט-קאנפאָרמיטעטן, אוידיט געפינסן און לעקציעס פון אינצידענטן ווערן רעקאָרדירט, צוגעטיילט און פארמאכט אין א צייטיקן וועג.
אייער פּראַקטישע ציל צווישן די סטאַגעס איז צו באַוועגן די העכסט-ריזיקירנדיקע פּראָצעסן און רעגיסטערס פֿון לעוועל 2 צו לעוועל 3 אָדער 4. דאָס מיינט געוויינטלעך פּלאַנירן:
- א פאָקוסירטע אינערלעכע אויספאָרשונג וואָס דעקט אייערע וויכטיקסטע באַדינונגען און די אַנעקס א קאָנטראָלן וואָס באַשיצן זיי.
- א מענעדזשמענט איבערבליק וואס ברענגט צוזאמען ריזיקע, אינצידענטן, ענדערונגען, צילן, קונה באמערקונגען און געלעגנהייטן פאר פארבעסערונג.
- א האַנדפול פון ספּעציפֿישע אַקציעס וואָס קענען ווערן נאָכגעפֿאָלגט פֿון דער ערשטער פּראָבלעם ביז דער לייזונג אין אייער קאָרעקטיווע-אַקציע לאָג.
ניצן אַ פּלאַטפאָרמע ווי ISMS.online גיט אײַך קאַלענדאַרן, פֿאַרבונדענע אַקציעס און אינטעגרירטע באַווײַזן אין איין אָרט. אַנשטאָט צו צוזאַמענשטעלן אימעילס, ספּרעדשיטס און טיקעטס פֿאַר סטאַגע 2, קענט איר ווײַזן דעם אוידיטאָר ווי דיזײַן באַשלוסן פֿון סטאַגע 1 האָבן זיך פֿאַרוואַנדלט אין פאַקטישע נאַטור איבער אײַער MSP.
ווי קען אַן MSP מאַכן ISO 27001 דאָקומענטאַציע באמת נוצלעך פֿאַר קאַסטאַמערז און פארקויפונג, נישט נאָר אָדאַץ?
אויב גוט געטאָן, קען אייער ISO 27001 דאָקומענטאַציע ווערן אַ שליסל טייל פון ווי אַזוי איר געווינט און האַלט קאַסטאַמערז, נישט נאָר עפּעס וואָס איר נעמט אַרויס אַמאָל אַ יאָר פֿאַר אַן אוידיטאָר. אויב איר דיזיינט אַ פּאָר אַרטיפאַקץ מיט ביידע רעגולאַטאָרן און קויפער אין זינען, קענט איר שניידן זיכערהייט רייַבונג אין די פארקויפונג ציקל און פארשטארקן קונה צוטרוי אין אייערע געראטן באַדינונגען.
ווי אזוי פארוואנדלט מען ISMS אינהאלט אין ווידער-ניצלעכע, קונה-גרייטע זיכערהייט באווייזן?
איר קענט אַדאַפּטירן אַ קליין סכום דאָקומענטן אַזוי אַז זיי זאָלן זיין גלייך באַקוועם אין אַן אויডিץ פּאַק און אין אַ פארקויף דעק:
- סערוויס קאַטאַלאָג און SLAs אין קלאָרער שפּראַך:
- באַשרײַבט יעדן מענעדזשד סערוויס, פֿאַראַנטוואָרטלעכקייטן און הויך-לעוועל זיכערהייט שטעלונג אין טערמינען וואָס ניט-ספּעציאַליסטן קענען נאָכפֿאָלגן.
- צופּאַסט די אינהאַלט פֿון די SLA (ענטפֿער צייטן, וישאַלט פֿענצטער, אינצידענט האַנדלינג) מיט אייערע פאַקטישע פּראָצעדורן און ISMS רעקאָרדס, אַזוי אַז עס זאָל נישט זײַן קיין קאָנפליקט צווישן וואָס איר זאָגט אין קאָנטראַקטן און וואָס איר ווײַזט אין די אָדאַץ.
- זיכערהייט איבערבליק אדער "טעכנישע און ארגאניזאציאנעלע מיטלען" פּעקל:
- בויט א קורצע צוזאמענפאסונג פון אייער זיכערהייט צוגאנג פון אייער פאליסי, SoA און שליסל פראצעדורן.
- דעקט צוטריט קאָנטראָל, דאַטן לאָקאַציעס, ענקריפּשאַן, באַקאַפּ, מאָניטאָרינג, אינצידענט פאַרוואַלטונג און סאַפּלייער השגחה אויף אַ וועג וואָס איר קענט טיילן אונטער NDA אָדער דורך אַ זיכער פּאָרטאַל.
- באַשטעטיקטע ענטפֿער ביבליאָטעק פֿאַר זיכערהייט פֿראַגעבאָגן:
- האַלטן קורצע, פאַר-באַשטעטיקטע ענטפֿערס צו קעסיידערדיקע טעמעס ווי טענענט סעגרעגאַציע, וואַלנעראַביליטי פאַרוואַלטונג, לאָגינג, באַקאַפּ און געשעפט קאַנטיניואַטי.
- פֿאַרבינדט יעדן פּאַראַגראַף צוריק צו די אונטערלייגנדיקע פּאָליטיקס, קאָנטראָלן און רעגיסטערס, אַזוי איר ווייסט אַז יעדע ענטפֿער איז געשטיצט דורך פאַקטישער פּראַקטיק.
- אַנאָנימיזירטע פאָרשטעלונג מעסטונגען:
- ניצט נישט-סענסיטיווע סטאַטיסטיק – דורכשניטלעכע אינצידענט רעאַקציע צייטן, פּאַטשינג קאַדענס, צוריקשטעלן טעסט הצלחה, ענדערונג דורכפאַל ראַטעס – גענומען פון אייערע רעגיסטערס און מאָניטאָרינג.
- אַרייַננעמען די אין רינואַל שמועסן און RFP ענטפֿערס צו ווייַזן קאָנטראָל אָן ויסשטעלן יחיד קאַסטאַמערז.
ווייל די דאקומענטן זענען געבויט גלייך אויף אייער ISO 27001 אינהאַלט, פֿאַרמייַדט איר די פֿאַל פֿון אויפֿהאַלטן אַ באַזונדערע "מאַרקעטינג ווערסיע פֿון דער אמת". אַנשטאָט, האָט איר איין קאָנסיסטענטן געשיכטע וועגן ווי אייער MSP באַשיצט אינפֿאָרמאַציע, דערציילט אויף פֿאַרשידענע לעוועלס פֿון דעטאַל פֿאַר אָדיטאָרס, קאַסטאַמערז און אינערלעכע סטייקהאָולדערס.
ווי אזוי פארבעסערט צענטראליזירן דעם ISMS פארקויף און באנייאונג שמועסן?
אויב פּאָליטיקס, מאַפּינגז און באַווייזן זיצן אין פֿאַרשידענע סיסטעמען אָדער מענטשנס קעפּ, ווערן זיכערהייט פֿראַגעס לאַנגזאַם, נישט קאָנסיסטענט און סטרעספֿול. צענטראַליזירן דיין ISMS אין אַ פּלאַטפאָרמע ווי ISMS.online העלפֿט דיר:
- האַלט איין אויטאָריטעטיווע ווערסיע פון יעדער פּאָליטיק, קאָנטראָל קיצער און זיכערהייט איבערבליק, אַזוי אַז אַלעמען ענטפֿערט פֿון דער זעלבער מקור.
- טרעקט צוריק יעדע קונה-פייסינג קלאגע צו עכטע קאנטראלן, רעגיסטערס און רעקארדס, וואס מאכט עס פיל גרינגער צו שטיין הינטער וואס איר לייגט אריין אין פאָרשלאָגן און דיו-דילידזשענס פּאַקס.
- גיט פארקויף און אקאונט טימז לייען-נאר אדער גיידעד צוטריט צו אקטועלע זיכערהייט קאלאטעראל, אזוי זיי קענען רעאגירן שנעל אן איבערחזרן אוועקציען אינזשענירן פון אפעראציאנעלער ארבעט.
מיט דער צייט, דאָס פֿאַרוואַנדלט ISO 27001 פֿון אַ דעפֿענסיווער פֿאַרפֿליכטונג אין אַן אַסעט וואָס שטיצט וווּקס. איר פֿאַרקירצט די זיכערהייט אָפּשאַצונג פֿאַזע אין אָפּמאַכן, רעדוצירט איבערגעחזרטע פֿראַגעבאָגן אַרבעט, און שטעלט אײַער MSP ווי אַ פּראַוויידער וואָס קען ביידע דורכגיין אַדאַץ און קאָמוניקירן זיכערהייט קלאָר צו קאַסטאַמערז וואָס זאָרגן זיך וועגן ווי זייער דאַטן און באַדינונגען זענען פּראָטעקטעד.
