פֿון סערטיפיקאַציע הויך צו אויפֿזיכט רעאַליטעט
אן ISO 27001 אויפזיכט אוידיט איז א געפלאנטע געזונטהייטס-קאנטראל וואס באווייזט אז אייער אינפארמאציע זיכערהייט מענעדזשמענט סיסטעם (ISMS) ארבעט נאך אין פאקט. פאר א מענעדזשד סערוויס פראוויידער (MSP), די קומענדיגע 30 טעג זענען וועגן ווייזן אוידיטארן אז אייערע קאנטראלן ארבעטן נאך ווי געפלאנט, שטימען נאך צו אייערע סערוויסעס און שטיצן נאך קאסטומערס אן צו שטערן די טעגליכע ליפערונג.
אן ISO 27001 אויפזיכט אוידיט איז בעסטן געזען ווי א רוטינע קאנטראל-פונקט אין א דריי-יעריגן ציקל, נישט קיין שאק געשעעניש. נאך די ערשטע שטאפלען 1 און שטאפלען 2 אוידיטס, לויפט אייער סערטיפיקאט געווענליך פאר דריי יאר, מיט קירצערע אויפזיכט באזוכן אין יאר איינס און צוויי און א פולערע ווידער-סערטיפיקאציע אין יאר דריי. אקרעדיטאציע אנווייזונגען פאר ISO/IEC 27001 אוידיטס, ווי ISO/IEC 27006 איבערבליקן, באשרייבט דעם דריי-יעריגן ציקל מיט יערליכער אויפזיכט אלס דער נארמאלער מוסטער. אוידיטארן ערווארטן צו זען אן ISMS וואס איז אויסגעוואקסן זינט דער סערטיפיקאציע, נישט איינס וואס איז צוריקגעלייגט געווארן אין דער שאכטל.
אויפזיכט פילט זיך ווייניגער טרעטנדיק ווען איר קענט עס זען קומען און וויסן וואָס איר וועט ווייַזן.
פֿאַר אַן MSP, קומען די באַזוכן בשעת טימז זענען שוין אויסגעשטרעקט מיטן אויספירן פּראָיעקטן, פאַרוואַלטן אינצידענטן און דערגרייכן SLAs, אַזוי זיי קענען זיך פילן ווי אַן אומגעוואונטשענע איבעררייסונג. די פּראַקטישע אַרויסרופן איז אַז אָדיטאָרס קומען צו פּרובירן גאַווערנאַנס בשעת איר זענט אין מיטן פון קונה ענדערונגען, נישט אין אַ סטאַטישע סביבה.
אויפזיכט אוידיטן זענען נישט וועגן איבערגעבן אייער סערטיפיקאט פון פריש. דער פאָקוס איז אויף צי די ISMS וואָס האָט באַקומען סערטיפיקאַציע איז נאָך אין פּלאַץ, נאָך צוגעפּאַסט צו אייערע סערוויסעס און נאָך עפעקטיוו. דאָס מיינט אַז אוידיטאָרן קוקן נאָענט צו וואָס האָט זיך געביטן זינט דעם לעצטן באַזוך: סערוויסעס, קאַסטאַמערז, לאָקאַציעס, מכשירים, סאַפּלייערז און אָרגאַניזאַציאָנעלע סטרוקטור. זיי נעמען גענוג מוסטערן צו באַשליסן צי אייער סיסטעם איז לעבעדיק, באַטייַטיק און פֿאַרבעסערט זיך.
א נוצלעכער אָנהייב־פונקט איז צו צייכענען אייער אייגענעם ISO 27001 לעבנס־ציקל אויף איין בלאַט: ווען איר האָט דערגרייכט סערטיפיקאַציע, ווען אויפֿזיכט־אויפֿזיכטן וועלן זיך ענדיקן און ווען ווידער־סערטיפיקאַציע איז נויטיק. לייגט צו וויכטיקע געשעפֿט־דאַטעס ווי קאָנטראַקט־באַנייַונגען, שפּיץ־פּראָיעקט־סעזאָנען און הויפּט־פּלאַטפֿאָרם־מיגראַציעס. יענע פּשוטע צייט־ליניע מאַכט עס גרינגער צו פּלאַנירן אַנשטאָט צו רעאַגירן און גיט די פֿירערשאַפֿט אַ געמיינזאַמע בליק ווען די אוידיט־אַרבעט וועט אָנקומען.
עס איז אויך ווערט צו פרעגן א קלארע פראגע: וואס האט זיך געענדערט אין ביזנעס זינט שטאפל 2? נייע געראטן זיכערהייט אנבאטן, וואלקן מיגראציעס, אקווייזישאנס, אויסגעסארסטע שטיצע טישן און נייע דאטן צענטערס אלע טוישן די ריזיקע לאנדשאפט. אויב די ISMS פארנעם און דאקומענטאציע האבן נישט מיטגעהאלטן דעם גאנג, וועט די אויפזיכט אוידיט שנעל אויפדעקן יענעם ריס.
נאך א געזונטע ענדערונג אין מיינדסעט איז אויפצוהערן באהאנדלען ISO 27001 ווי אן איינמאליגן פראיעקט וואס האט זיך געענדיגט ווען דער סערטיפיקאט איז אנגעקומען. אויפזיכט אוידיטן זענען געמאכט צו טעסטן צי אינפארמאציע זיכערהייט איז יעצט א טייל פון געשעפט-ווי-געווענליך: ריזיקע-באזירטע באשלוסן, ענדערונג-פארוואלטונג, סופלייער אויפזיכט און אינצידענט-האנדלונג זאלן אלע ווייזן זיך אין טעגליכער ארבעט, נישט נאר אין א בינדער.
פארקויף און אקאונט מענעדזשמענט טימס נוץ אויך פון דעם איבערמאכן. רעגולערע, ערפאלגרייכע אויפזיכט אוידיטס ווערן א טייל פון אייער פרשה: אומאפהענגיקע פארזיכערונג אז זיכערהייט און גאַווערנאַנס ווערן אָפּגעשטעלט יעדעס יאָר. דאָס איז וויכטיק ווען פירמע קאַסטאַמערז און רעגולאַטאָרן פרעגן שווערערע פֿראגן וועגן ווידערשטאַנד און סאַפּליי-טשיין ריזיקע. פובליק-סעקטאָר און אַגענטור באריכטן, אַרייַנגערעכנט ENISA ס אַנאַליז פון די סאַקאָנע לאַנדשאַפט פֿאַר מענעדזשד סערוויס פּראַוויידערז, ונטערשטרייַכן ווי זאָרגן וועגן MSP ווידערשטאַנד און סאַפּליי-טשיין קאָמפּראָמיס האָבן געוואקסן אין די לעצטע יאָרן.
צום סוף, קאָנטאַקטירט אייער סערטיפיקאַציע גוף פרי. פרעגט ווי זיי פּלאַנירן צו פּרובירן אייער סביבה דעם יאָר, וועלכע לאָקאַציעס אָדער באַדינונגען זיי פּלאַנירן צו באַזוכן און צי זיי וועלן נאָכפֿאָלגן ספּעציפֿישע נישט-קאָנפאָרמאַטיז פֿון לעצטן מאָל. די אינפֿאָרמאַציע וועט פֿאָרמען ווי די קומענדיקע 30 טעג ווערן גענוצט און וועט אייך אָפּהאַלטן פֿון טרעפֿן וואָס איז וויכטיקסט.
רעספּאָנדענטן צו דער 2025 ISMS.online שטאַט פון אינפֿאָרמאַציע זיכערהייט אַנקעטע האָבן געמאלדן אַז קאַסטאַמערז דערוואַרטן איצט געוויינטלעך אַז סאַפּלייערז זאָלן זיך צופּאַסן צו פֿאָרמעלע פריימווערקס ווי ISO 27001, ISO 27701 , GDPR אָדער SOC 2 אַנשטאָט זיך צו פֿאַרלאָזן אויף אינפֿאָרמעלע פֿאַרזיכערונגען.
פארוואס MSPs פילן סורוועילאַנס אָדאַץ מער אַקוטלי
MSPs פילן סורוועילאַנס אוידיטס שאַרפער ווייל אוידיטאָרן טעסטן זיכערהייט בשעת איר זשאַנגלירט קאָנסטאַנטע קונה ענדערונגען, נישט לויפן אַ סטאַביל-סטעיט סביבה. די הויפּט קשיא איז צי אייער ISMS האט געהאלטן דעם שריט מיט די ענדערונגען אין קליענט נחלות, מכשירים און באַדינונגען, אדער צי גאַווערנאַנס איז שטילערהייט פארלאזט געווארן בשעת איר האט זיך קאנצענטרירט אויף דעליווערי.
פֿאַר אַן MSP, טרעפֿט דער זעלבער דריי־יאָריקער סערטיפֿיקאַציע־ציקל אַ פֿיל מער דינאַמישע סבֿיבֿה ווי אין פֿיל טראַדיציאָנעלע אָרגאַניזאַציעס. קליענט־געגנטן, וואָלקן־פּלאַטפֿאָרמעס, בילעט־וואַליומען און סערוויס־אָפֿערס קענען זיך דראַמאַטיש געביטן האָבן אין איין יאָר. אויפֿזיכט־אויפֿזיכט־אויפֿזיכטן לאַנדן דעריבער אין מיטן פֿון יענער באַוועגונג, און טעסטן צי די גאַווערנאַנס האָט זיך געהאַלטן אָדער איז פֿאַרבליבן הינטערשטעליק בעת דער יאָגעניש.
וואו אַ מער סטאַטישע אָרגאַניזאַציע קען ווייַזן די זעלבע סיסטעמען און פּראָצעסן יאָר נאָך יאָר, דעמאָנסטרירט איר ווי זיכערהייט און סערוויס פאַרוואַלטונג האָבן זיך אַדאַפּטירט אָן צו פאַרלירן קאָנטראָל. דאָס מאַכט עס ספּעציעל וויכטיק צו הויכפּונקט ווי דער פאַרנעם, ריזיקאָ אַסעסמאַנט און קאָנטראָלס זענען געוואָרן דערהייַנטיקט צו שפּיגלען נייע סערוויסעס, פּלאַטפאָרמעס און קונה קאַמיטמאַנץ, אַנשטאָט זיך צו פאַרלאָזן אויף אַ פאַרפרוירן מיינונג פון סערטיפיקאַציע.
פארוואנדלען אויפזיכט אין אן אפערירנדיקן ריטם
אויפזיכט אוידיטן ווערן פיל ווייניגער ווייטיקדיק ווען זיי שפיגלען אפ רוטינעס וואס איר פירט שוין, אנשטאט צו שאפן פאראלעלע ארבעט וואס פאסירט נאר איין מאל א יאר. אייער ציל איז צו איינפלאנצן ריזיקע, איבערבליק און פארבעסערונג אין עקזיסטירנדע פארומס אזוי אז די 30-טאגיקע פענצטער איז וועגן ארגאניזירן באווייזן, נישט אויסטראכטן טעטיקייט.
דער עפעקטיווסטער וועג דאָס צו טאָן איז צו פֿאַרבינדן אויפֿזיכט אין עקזיסטירנדיקע ריטמען אַנשטאָט עס צו פֿאַרבינדן. אויב קוואַרטאַלדיקע געשעפֿט איבערבליקן, סערוויס איבערבליק ברעטער און ראָודמאַפּ פּלאַנירונג עקזיסטירן שוין, קענען יענע פֿאָרומס אָרגאַניזירן ריזיקאָ דיסקוסיעס, פּאָליטיק באַשלוסן און קאָנטראָל איבערבליקן וואָס דינען אויך ווי אוידיט באַווײַזן. די 30-טאָגיקע צוגרייטונג פֿענצטער ווערט דעמאָלט אַ צײַט צו אָרגאַניזירן און נעמען מוסטערן פֿון די באַווײַזן, נישט צו דערפֿינדן אַקטיוויטעטן אין לעצטן מינוט.
ווען קאסטומערס און אינערליכע פירער זעען אז די זעלבע מיטינגען וואס פירן סערוויס באשלוסן ברענגען אויך ארויס זיכערהייט פאָרשטעלונג און פֿאַרבעסערונג אַקציעס, ווערט אויפזיכט נאַטירלעך אַ באַשטעטיקונג שריט. מיט דער צייט, פארוואנדלט יענער ריטעם יערלעכע אויספארשונגען אין פאָרויסזאָגבארע טשעקפּוינטס אנשטאט דיסראַפּטיוו געשעענישן.
ספר אַ דעמאָוואָס ISO 27001 אויפזיכט אויספֿאָרשונג אויספֿאָרשונגען טאַקע זענען פֿאַר MSPs
אן ISO 27001 אויפזיכט אוידיט איז א פעריאדישע עקסטערנע איבערבליק וואס קאנטראלירט צי אייער ISMS איז נאך אין איינקלאנג מיטן סטאנדארט און ארבעט טאג-טעגליך. פאר אן MSP, מיינט דאס צו ווייזן אוידיטארן אז די קאנטראלן אין אייער דאקומענטאציע שטימען מיט וואס פאסירט טאקע אין אייערע מכשירים, טיקעטס און טימס, ספעציעל איבערן לעצטן יאר.
סערטיפיקאציע קערפערשאפטן פאלגן אינטערנאציאנאל אנערקענטע רעגולאציעס וואס פארלאנגען פון זיי צו באזוכן סערטיפיקירטע ארגאניזאציעס נאכאמאל אין געפלאנטע צייטן, געווענליך יערליך, כדי צו האלטן צוטרוי אין סערטיפיקאטן צווישן פולע אוידיטס. אקקרעדיטירטע סערטיפיקאציע קערפערשאפטן דערקלערן אויף זייערע אייגענע ISO 27001 בלעטער, למשל NQA'ס אנווייזונגען, אז סערטיפיקאטן ווערן געהאלטן דורך געפלאנטע, געווענליך יערליכע, אויפזיכט באזוכן צו באשטעטיגן אנגייענדע קאנפארמאציע. דער אוידיטאר קומט אן ערווארטנדיג צו זען א לעבעדיג סיסטעם, נישט נאר די זעלבע דאקומענטן וואס זיי האבן געזען בעת סערטיפיקאציע. זייער ארבעט איז צו באשטעטיגן אז אייער ISMS איז נאך אלץ רעלאוואנט, נאך אלץ אפערירט און נאך אלץ פארבעסערט זיך אין רעאקציע צו ענדערונגען.
כּמעט יעדע אָרגאַניזאַציע אין דער 2025 ISMS.online שטאַט פון אינפֿאָרמאַציע זיכערהייט יבערבליק האָט געזאָגט אַז דערגרייכן אָדער אויפהאַלטן זיכערהייט סערטיפיקאַציעס ווי ISO 27001 אָדער SOC 2 איז אַ פּריאָריטעט.
די סטרוקטור פון אן אויפזיכט באזוך איז געווענליך לייטער ווי דער ערשטער שטאפל 2 אוידיט. אנשטאט צו טעסטן יעדע פארלאנג אין טיפקייט, נעמען אוידיטארן מוסטערן פון אויסגעקליבענע קלאוזלען און קאנטראלן, קוקן אויף ענדערונגען זינט דעם לעצטן באזוך און גייען נאך אויף פריערדיגע נישט-קאנפארמיטיען. זיי קענען זיך קאנצענטרירן אויף באשטימטע זייטלעך, סערוויסעס, פראצעסן אדער ריזיקעס וואס זענען מסכים געווען אין דעם אוידיט פלאן און וועלן געווענליך דערקלערן דעם פלאן פון פאראויס.
פֿאַר MSPs, איז די "לעבעדיקע סיסטעם" דימענסיע ספּעציעל וויכטיק. אַ גרויס טייל פֿון אייער קאָנטראָל סביבה געפֿינט זיך אין מכשירים: PSA אָדער IT סערוויס פאַרוואַלטונג פּלאַטפאָרמעס, ווײַט מאָניטאָרינג און פאַרוואַלטונג, אידענטיטעט און אַקסעס פאַרוואַלטונג, באַקאַפּ סיסטעמען, זיכערהייט מאָניטאָרינג און לאָגינג סאַלושאַנז, HR סיסטעמען און סאַפּלייער פּאָרטאַלן. אָדיטאָרס ווילן זען אַז אייערע דאָקומענטירטע פּראָצעסן זענען באמת אָפּגעשפּיגלט אין ווי די מכשירים ווערן גענוצט.
עס העלפט צו אונטערשיידן צוויי סטילן פון אוידיט טעטיקייט:
- דאָקומענט-צענטרירטע קאָנטראָלן: – פּאָליטיקס, פאַרנעם סטייטמענטס, ריזיקאָ מעטאָדאָלאָגיעס, די סטייטמענט פון אַפּליקאַביליטי, פּראָצעדורן און פאָרמעלע רעקאָרדס ווי אינערלעכע אוידיט און פאַרוואַלטונג איבערבליק פּראָטאָקאָלן. די באַשטעטיקן אַז די ISMS איז נאָך דעפינירט און מיינטיינד.
- אפעראציאנעלע דורכגאנג: – נאכפאלגן דעם לעבן פון א ענדערונג, אינצידענט, צוטריט פארלאנג אדער סופלייער איבערבליק דורך טיקעטס, באשטעטיגונגען, לאגס און באריכטן. די באשטעטיקן אז קאנטראלן ארבעטן און אז מענטשן פאלגן דעם איינגעמאכטן פראצעס.
ביידע פּערספּעקטיוון זענען וויכטיק. אויב דאָקומענטן קוקן פּערפעקט אָבער טיקעטס ווייַזן נישט-פאַרוואַלטעטע ענדערונגען אָדער נישט-קאָנסיסטענטע אינצידענט-האַנדלונג, וועלן אוידיטאָרן פרעגן צי די ISMS איז עכט. אויב אָפּעראַציעס קוקן דיסציפּלינירט אָבער די דאָקומענטאַציע איז נישט-דאַטע, קענען זיי פרעגן די גאַווערנאַנס פריימווערק און אייער פיייקייט צו איבערחזרן גוטע פּראַקטיק.
נאך א דימענסיע פאר MSP'ס איז די קנופ מיט פריוואטקייט און רעגולאציעס. אסאך פראוויידערס אקטירן אלס פראצעסארן פון פערזענליכע דאטן, האנדלען מיט רעגולירטע ארבעטסלאסטן אדער שטיצן קאסטומערס אין שווער רעגולירטע סעקטארן. אויפזיכט אוידיטארן וועלן נישט דורכפירן פריוואטקייט געזעצן גלייך, אבער זיי וועלן ערווארטן צו זען ווי אייער ISMS שטיצט די פארפליכטונגען: דאטן שוץ דורך דיזיין, זיכערע האנדלונג פון קאסטומער דאטן, אויסגלייכונג מיט דאטן פראצעסינג אפמאכן און שטארקע סופלייער פארוואלטונג.
פריערדיגע רעזולטאטן פירן אויך דעם באזוך. נישט-קאנפארמיטיעס און אבזערוואציעס פון פריערדיגע אוידיטן ווערן זעלטן פארגעסן; אוידיטארן ווערן ערווארטעט צו באשטעטיגן אז קארעקטיווע אקציעס זענען אימפלעמענטירט געווארן און עפעקטיוו. סערטיפיקאציע קערפערשאפטן ווי BSI אונטערשטרייכן אז אויפזיכט באזוכן ווערן ערווארטעט צו נאכפאלגן פריערדיגע נישט-קאנפארמיטיעס און קאנטראלירן אז קארעקטיווע אקציעס זענען פארמאכט געווארן ריכטיג, נישט נאר באמערקט איין מאל און איגנארירט.
אויב עס זענען געווען שוואַכקייטן אין געביטן ווי אַקסעס קאָנטראָל, באַקאַפּ, אינצידענט רעספּאָנס אָדער סאַפּלייער השגחה, וועלן די טעמעס כּמעט זיכער ווידער אויפקומען.
טיפּישע פאָקוס געביטן אין אויפזיכט אָדיטס
רובֿ ISO 27001 אויפֿזיכט אוידיטן פֿאַר MSPs קאָנצענטרירן זיך אויף אַ קליינעם סכום פֿון קערן גאַווערנאַנס קלאָזולעס, שליסל אַנעקס A קאָנטראָלס, מאַטעריאַלע ענדערונגען זינט לעצטן יאָר און יעדע פֿריִערדיקע ניט-קאָנפֿאָרמיטי. אויב איר פֿאַרשטייט די קורצע רשימה, קענט איר פֿאָקוסירן אייער 30-טאָגיקע מי וואו עס מעסטבאר רעדוצירט אוידיט ריזיקע. אימפּלעמענטאַציע גיידס געצילט אויף MSPs, אַזאַ ווי אומאָפּהענגיקע אויפֿזיכט אוידיט איבערבליקן, באַשרײַבן אַ זייער ענלעכן טראָפּ אויף קערן קלאָזולעס, שליסל אַנעקס A קאָנטראָלס, לעצטע ענדערונגען און פֿריִערדיקע געפֿינסן אַנשטאָט איבער-טעסטן אַלץ פֿון אָנהייב.
אין פּראַקטיק, רובֿ אויפֿזיכט־אויפֿזיכטן פֿאַר MSP'ס פֿאַרברענגען צײַט אויף:
- קלאָז 4–10 רעקווייערמענץ ווי פאַרנעם, פירערשאַפט היסכייַוועס, ריזיקאָ פאַרוואַלטונג, אינערלעכע אוידיט, פאַרוואַלטונג איבערבליק און קעסיידערדיקע פֿאַרבעסערונג.
- אַנעקס א קאָנטראָלן וואָס רעגירן אַקסעס קאָנטראָל, לאָגינג און מאָניטאָרינג, אינצידענט פאַרוואַלטונג, באַקאַפּ און סאַפּלייער באַציִונגען.
- באַדײַטנדיקע ענדערונגען אין סערוויסעס, לאָקאַציעס, מכשירים, סטרוקטור אָדער שליסל פּערסאָנעל זינט דעם לעצטן באַזוך.
- באווייזן אז פריערדיגע נישט-קאנפארמאציעס זענען אדרעסירט געווארן און ענליכע פראבלעמען קומען נישט צוריק.
צוזאַמען, זאָגן די פאָקוס־געביטן דעם אוידיטאָר צי אייער ISMS איז נאָך באַטייַטיק, אַרבעט נאָך און פֿאַרבעסערט זיך נאָך אין לויט מיט ISO 27001 ערוואַרטונגען. אויב איר באַזיצט דעם ISMS, וועט באַהאַנדלען די ליסטע ווי אייער 30־טאָגיקע פּריאָריטעט־סעט געוויינטלעך געבן אייך די בעסטע צוריקקער אויף מי.
וואָס דאָס מיינט פֿאַר דיין 30-טאָגיקן פֿענצטער
וויסן וואָס אוידיטאָרן קוקן געוויינטלעך אויף העלפֿט אײַך באַהאַנדלען די 30 טעג ווי אַ פֿאָקוסירטע שפּרינט אַנשטאָט אַ וואַגע קראַך. איר פּרוּווט צו באַווײַזן אַז די ISMS שטימט נאָך מיט דער ווירקלעכקייט, אַז די הויפּט פּראָצעסן לויפֿן קאָנסיסטענט און אַז פֿריִערדיקע פּראָבלעמען זענען שוין באַהאַנדלט געוואָרן.
פֿאַרשטיין די צילן פֿונעם אוידיטאָר פֿאָרעמט אײַער צוגרייטונג. איר פּרוּווט נישט איבערצובויען דעם גאַנצן ISMS אין 30 טעג. אַנשטאָט, איר צילט צו:
- באַשטעטיקן אַז די דעפינירטע ISMS שטימט נאָך מיט דער רעאַליטעט.
- ווייזן אז די הויפט פּראָצעסן און קאָנטראָלס האָבן געאַרבעט איבער צייט.
- ווייזן אז אידענטיפיצירטע שוואכקייטן זענען באהאנדלט געווארן פראפעסיאנאל.
- מאַכט עס גרינג פֿאַרן אוידיטאָר צו נאַוויגירן פֿון פאָדערונג צו באַווײַז.
אויב איר האַלט די פיר צילן קענטיק אין יעדער אויפגאַבע-ליסטע און זיצונג, ווערט עס גרינגער צו זאָגן "נישט איצט" צו אַרבעטן מיט אַ נידעריקערן השפּעה און צו נוצן דעם 30-טאָגיקן פֿענצטער מיטן בעסטן עפֿעקט.
ISO 27001 געמאַכט גרינג
א 81% פֿאָרשפּרונג פֿון טאָג איינס
מיר האָבן געטאן די שווער אַרבעט פֿאַר איר, געבן איר אַ 81% העאַדסטאַרט פון דעם מאָמענט איר קלאָץ אויף. כל איר האָבן צו טאָן איז צו פּלאָמבירן די בלאַנקס.
די 30-טאָגיקע קאַמפּרעשאַן פּראָבלעם פֿאַר MSPs
די הויפּט אויפגאַבע פון אַ 30-טאָגיקן אויפזיכט פֿענצטער איז צו באַלאַנסירן די פאַקטישע אוידיט אַרבעט מיט די עקזיסטירנדיקע קונה קאַמיטמענץ. איר קענט נישט איבערבויען אַן ISMS אין אַ חודש, אַזוי איר דאַרפט אַ רעאַליסטישן, ריזיקאָ-באַזירטן פּלאַן וואָס באַשיצט דעם סערטיפיקאַט בשעת די סערוויס ליפערונג גייט גלאַט.
דרייסיק טעג הערט זיך ווי גענוג צייט ביז מען נעמט אין באַטראַכט קונה פּראָיעקטן, אינצידענטן, יום־טובֿים און אַנדערע פֿאַרפֿליכטונגען. אויפֿזיכט־נאָטיצן קומען אָפֿט אָן מיט אַזאַ סאָרט צײַט, לאָזנדיק ISMS אייגנטימער צו זשאַנגלירן די צוגרייטונג פֿון אויספֿאָרשונגען אַרום אַ שוין פֿאַרנומענעם פּלאַן. אָן סטרוקטור איז דער רעזולטאַט אַ באַקאַנט מוסטער: שפּעט־נאַכטיקע באַווײַז־זוכעניש, געשטראָסטע אינזשענירן און פֿירער וואָס פֿרעגן זיך פֿאַרוואָס דאָס ווערט שטענדיק אַ פֿײַער־דריל.
אין דער 2025 ISMS.online שטאַט פון אינפֿאָרמאַציע זיכערהייט אַנקעטע, האָבן בערך צוויי דריטל פון אָרגאַניזאַציעס געזאָגט אַז די שנעלקייט און באַנד פון רעגולאַטאָרישע ענדערונגען מאַכן העסקעם אַלץ שווערער צו האַלטן.
א נוצלעכער ערשטער שריט איז צו באהאנדלען יענעם פייער-דריל ווי דאטן. שאצט, אפילו בערך, וויפיל שעה מען האט פארבראכט אויף אוידיט-פארבערייטונג לעצטע מאל, וועלכע ראלעס זענען געווען פארמישט, וועלכע קאסטומער פראיעקטן זענען פארשפעטיקט געווארן און וויפיל איבערצייט איז געווען פארבראכט. דאס פארוואנדלט אומקלארע פראסטראציע אין א קאנקרעטן "קאסט פון דיסארגאניזאציע" וואס די פירערשאפט קען דערקענען און אדרעסירן.
עס איז אויך וויכטיג צו זיין ערלעך וועגן וואָס 30 טעג קענען און קענען נישט טאָן. א קורצע פֿענצטער קען נישט פאַרבייטן די ערשטע אַרבעט פון ימפּלאַמענטירן אַן ISMS. דער פּלאַן וואָס ווערט דאָ באַשריבן נעמט אָן אַז איר זענט שוין סערטיפיצירט, אַז גרונטלעכע פּראָצעסן עקסיסטירן און אַז אַ געוויסע מדרגה פון מאָניטאָרינג און אָפּשאַצונג איז ווייטער אָנגעגאַנגען. די ציל איז צו פֿאַרבעסערן, פֿאָקוסירן און אָרגאַניזירן, נישט צו בויען פֿון נול.
א פשוטער וועג צו דערקלערן דאָס פאר די פירערשאַפט איז צו פאַרגלייכן די לימיטן און מעגלעכקייטן פון די פֿענצטער:
- דרייסיג טעג קענען ניט שאַפֿן אַ גלויבווערדיק ISMS פֿון גאָרנישט.
- דרייסיג טעג קענען ניט פאררעכטן יעדע טעכנישע שוואכקייט אין אייער נחלה.
- דרייסיג טעג קענען דערפרישן די פאַרנעם, ריזיקע, SoA און שליסל רעקאָרדס.
- דרייסיג טעג קענען אָרגאַניזירן באַווײַזן און פֿאַרמאַכן די ערנסטסטע לעכער.
געזען אויף דעם אופן, ווערט דער שפּרינט אַ ריזיקאָ-באַזירטע רייניקונג, נישט אַן אומריאַליסטישע איבערבוי.
איין וועג צו טראַכטן וועגן דעם באַגרענעצונג איז זיך פֿאָרצושטעלן אַ מער ברייטהאַרציקן, אידעאַליזירטן ציקל. אין אַן אידעאַלער וועלט וואָלטן געווען 90 טעג פֿון ראָולינג גרייטקייט: רעגולערע ריזיקאָ איבערבליקן, אינערלעכע אויספֿאָרשונגען לויט אַ געפּלאַנטן פּלאַן, פאַרוואַלטונג איבערבליקן לפּחות יערלעך און קאָנטינויִערלעכע באַווײַזן כאַפּן. די 30-טאָגיקע פֿענצטער וואָלט פשוט געווען די צײַט צו נעמען מוסטערן און טאָפּל-קאָנטראָלירן די לעצטע רעקאָרדס.
די ווירקלעכקייט פאר אסאך MSP'ס איז אנדערש. ריזיקע רעגיסטערס זענען אפשר נישט געווארן אפדעיטעד אין עטליכע חדשים; אינערליכע אוידיטס זענען אפשר נישט געווען גוט; בעקאפס און צוטריט איבערבליקן זענען אפשר פארגעקומען אבער נישט רעקארדירט אויף א וועג וואס איז גרינג צו ווייזן. מיט דעם אין באטראכט, מוז דער 30-טאגיקער שפרינט זיין באזירט אויף ריזיקע, קאנצענטרירנדיק די מי וואו עס וועט אמאסטנס פארקלענערן די שאנס פון ערנסטע געפינסן.
צייט און ארבעטסלאסט באגרענעצונגען
צייט און ארבעטסלאסט באגרענעצונגען זענען עכטע ריזיקע פאקטארן אין א אויפזיכט אוידיט, נישט נאר סקעדזשולינג שטערונגען. אויב איר דערקענט זיי נישט פרי, ווערט אויפזיכט שנעל נאך אן אויסמאטערנדיקער, לעצטע-מינוט פראיעקט.
הייבט אן דורך מאַפּירן דעם 30-טאָגיקן פּעריאָד קעגן די פאַקטישע קאַמיטמאַנץ: הויפּט קונה מיגראַציעס, רינואַל סעאַסאָנס, שטעקן יום טוּב, שפּיץ שטיצע פּעריאָדן און אינערלעכע פּראָיעקטן. דאָס העלפּס איר זען ווען שליסל מענטשן וועלן טאַקע זיין בנימצא פֿאַר ריזיקירן באריכטן, אינערלעכע אַדאַץ און באַווייַז זאַמלונג, און ווו איר זאל דאַרפֿן צו אַריבערפירן אַרבעט אָדער ברענגען שטיצע.
דורך באַהאַנדלען דעם צייט דרוק ווי אַ פּלאַנירונג אינפוט אלא ווי אַן אומבאַקוועמלעכקייט, קענט איר שטעלן ערוואַרטונגען פרי. פירערשאַפט איז מער מסתּמא צו באַפרייען קאַפּאַציטעט ווען זיי זען די אַלטערנאַטיוו איז אָוווערטיים, פּראָיעקט פאַרהאַלטונגען און אַ סטרעספול אָדיט וואָס קען שאַטן קליענט צוטרוי. אויב איר פירט אָפּעראַציעס, דאָס איז אייער געלעגנהייט צו פאַרהאַנדלען רעאַליסטישע אַרבעטסלאָודז אַנשטאָט צו אַבזאָרבירן אַלץ שטילערהייט.
פאָקוסירן אויף די העכסט-ריזיקירטע געביטן
ווייל די פֿענצטער איז קורץ, איז דער קלוגער צוגאַנג צו פאָקוסירן ערשט אויף געביטן וואָס זענען מערסט מסתּמא צו שאַפֿן גרויסע נישט-קאָנפאָרמאַטיז. אויב איר קענט זיי ריכטיק באַקומען, פאַלט דער ריזיקאָ פֿון ערנסטע איבערראַשונגען שטאַרק, אפילו אויב נידעריקער-ריזיקירטע זאכן וואַרטן ביז נאָך דעם אוידיט.
ארום 41% פון אָרגאַניזאַציעס אין דער 2025 ISMS.online שטאַט פון אינפֿאָרמאַציע זיכערהייט אַנקעטע האָבן געזאָגט אַז פאַרוואַלטן דריט-פּאַרטיי ריזיקירן און טראַקינג סאַפּלייער קאַנפאָרמאַטי איז איינער פון זייערע הויפּט טשאַלאַנדזשיז.
הייבט אן מיט דער פראגע: אויב איר האט נאר צייט צו טון א פאר זאכן ריכטיג, וואס וואלט מערסטנס פארקלענערט די שאנס פון גרויסע געפינסן אדער ערנסטע פראגעס? פאר רוב מעמבערשיפ פארטיי מיטגלידער, ליגט די ענטפער אין א האנטפול פון געביטן:
- א פארנעם סטעיטמענט וואס שפיגלט אפ די איצטיגע סערוויסעס, לאקאציעס און שליסל פלאטפארמעס.
- א פרישע ריזיקע אפשאצונג און באהאנדלונג פלאן וואס באדעקט וויכטיגע ענדערונגען.
- באווייז אז אינטערנע אוידיטס און מענעדזשמענט רעצענזיעס זענען פארגעקומען.
- קלאָרע רעקאָרדס פֿאַר אַקסעס קאָנטראָל, ענדערונג פאַרוואַלטונג, אינצידענטן, באַקאַפּ און סאַפּלייערז.
- דאקומענטירטע קארעקטיווע אקציעס פאר יעדע פריערדיגע נישט-קאנפארמאציע.
אין דער זעלבער צייט, טראַכט וועגן וואו באַווייזן געפינען זיך. טיקעטס קענען זיין אין אַ PSA פּלאַטפאָרמע; לאָגס אין עטלעכע מאָניטאָרינג אָדער לאָגינג מכשירים; HR רעקאָרדס אין אַ באַזונדער סיסטעם; סאַפּלייער אַסעסמאַנץ אין ספּרעדשיטס אָדער קאָנטראַקט ריפּאַזאַטאָריז. איר דאַרפט נישט אַריבערפירן אַלץ, אָבער איר דאַרפט אַ וועג צו ווייַזן אָדיטאָרס געשווינד פֿון אַ קאָנטראָל אָדער פּראָצעס צו ספּעציפֿישע רעקאָרדס.
צום סוף, אנערקענט אז אויספארבערייטונג פון אוידיט קען נישט דערלויבט ווערן צו שטערן די סערוויס צושטעל. לייגט איבער דעם 30-טאגיקן פלאן אויף אייער עכטן קאלענדאר. אויב גרויסע קאסטומער מיגראציעס, באנייאונג סעזאנען אדער נייע סערוויס לאנטשירונגען זענען שוין געפלאנט, פאררעכט דעם פלאן אדער פארהאנדלט אינערליכע שטיצע אזוי אז קאמפלייענס ארבעט און אפעראציאנעלע קאמיטמענטס זאלן נישט קאלאשירן.
פירערשאפט טימס שעצן קלארקייט און האבן נישט ליב איבערראשונגען. איר קענט באקומען בעסערע שטיצע אויב איר פרעזענטירט דעם 30-טאגיקן פלאן ווי א געמאסטענע, הויך-ריזיקירטע ערשטע מי אנשטאט אן אפענע פארלאנג פאר צייט.
שטעלט דעם 30-טאגיקן פּלאַן ווי פאלגנד:
- א וועג צו באַשיצן דעם סערטיפיקאַט און דעם קליענט'ס צוטרוי.
- א געמאסטענע מי, פאקוסירט אויף הויך-ריזיקירטע געביטן.
- א שריט צו א מער פארזעבארן, ווייניגער ווייטיקדיקן אויפזיכט ציקל קומענדיגן יאר.
אויב איר האַנדלט מיט קונה בידס אָדער עקסעקוטיוו ריפּאָרטינג, פאָרמולירן דעם פּלאַן אין די טערמינען העלפּט אײַך אויך דערקלערן צו קליענטן און סטייקהאָולדערז פארוואס אָדיט אַרבעט איז וויכטיק און ווי עס שטיצט זייערע אינטערעסן אַנשטאָט צו קאָנקורירן מיט זיי.
וואָך 1: סטאַביליזירן די ISMS יסוד
וואָך 1 איז וואו איר מאַכט זיכער אַז די רוקן-ביין פון אייער ISMS איז גלייך איידער איר הייבט אָן צו ציען באַווייזן. איר קאָנטראָלירט אַז די פאַרנעם, ריזיקע, די סטעיטמענט פון אַפּליקאַביליטי (SoA), אינערלעכע אויספאָרשונגען און פאַרוואַלטונג באריכטן זענען אַקטועל אַזוי אַז אַלץ וואָס איר ווייזט אין די אויספאָרשונג הענגט צוזאַמען.
אויב די הויפּט דאָקומענטן און פּראָצעסן זענען נישט מער דאַטעסדיק, וועט די שפּעטערדיקע זאַמלונג פון באַווייזן שטיין אויף אַ וואַקלדיקן באָדן. אָנהייבן מיט די יסודות דערמעגלעכט אײַך אויך צו דערקענען ערנסטע פּראָבלעמען פרי גענוג צו האַנדלען. פֿאַר אַן MSP וואָס איז געוואַקסן אָדער געביטן זינט דער סערטיפֿיקאַציע, איז די ערשטע וואָך אָפֿט דער אָרט וואו די מערסט השפּעהדיקע קאָרעקציעס ווערן געמאַכט.
הייבט אן מיט די יסודות: פארנעם, ריזיקע און די SoA. קאָנטראָלירט אַז דער געשריבענער פארנעם באַשרייבט די סערוויסעס, לאָקאַציעס, סיסטעמען און אָרגאַניזאַציאָנעלע איינהייטן וואָס זענען טאַקע אין שפּיל הייַנט. פֿאַר אַן MSP, זאָל דאָס עקספּליציט דעקן געראטן סערוויסעס, שליסל פּלאַטפאָרמעס, דאַטן צענטערס אָדער וואָלקן סביבות און קיין דריט-פּאַרטיי פּראַוויידערז וואָס באַדייטנדיק ווירקן אינפֿאָרמאַציע זיכערהייט.
דערנאך, קוקט איבער די לעצטע ריזיקע אפשאצונג און ריזיקע באהאנדלונג פלאן. באשטעטיגט אז זיי זענען געווארן אפדעיטעד אין א גלייכבארן צייט-פלאן און אז גרויסע ענדערונגען אין אייער סביבה ווערן אפגעשפיגלט. נייע סערוויסעס, הויך-ווערט קליענטן, ענדערונגען אין האוסטינג אראנדזשירונגען, נייע געצייג אדער די נוצן פון סובקאנטראקטארן זאלן אלע זיין באטראכט געווארן. אוידיטארן וועלן ערווארטן צו זען אז ריזיקע איז געווארן איבערגעקוקט זינט סערטיפיקאציע, נישט געבליבן אומגערירט.
די SoA פארדינט באַזונדערע אויפמערקזאַמקייט. עס סומאַריזירט וועלכע אַנעקס A קאָנטראָלן זענען אָנווענדלעך און ווי זיי ווערן ימפּלעמענטירט. באַשטעטיקט אַז עס איז אין לויט מיט די איצטיקע קאָנטראָל סעט און אַז סיבות פֿאַר נישט-אָנווענדלעך קאָנטראָלן מאַכן נאָך זינען. אויב איר האָט איבערגעגאַנגען צו דער 2022 רעוויזיע פון ISO 27001, זאָרגט אַז די SoA שפּיגלט אָפּ די דערהייַנטיקטע קאָנטראָל סטרוקטור און אַלע נייע קאָנטראָלן וואָס זענען אייַנגעפֿירט געוואָרן.
אינטערנע אוידיטס און מענעדזשמענט רעצענזיעס זענען נאך א ווינקלשטיין. קוקט ווען די לעצטע אינטערנע אוידיט איז געענדיגט געווארן, וועלכע געפינסן זענען ארויסגעקומען און וועלכע אקציעס זענען גענומען געווארן. טוט דאס זעלבע פאר מענעדזשמענט רעצענזיעס: זוכט רעקארדס פון דיסקוסיעס וועגן ISMS פערפארמענס, ענדערונגען אין קאנטעקסט, ריזיקע לעוועלס, אינצידענטן און פארבעסערונג געלעגנהייטן. אויב איינע פון די אקטיוויטעטן האט זיך פארראכטן, פלאנירט ווי אזוי זיי צו פארענדיגן פארן אוידיט אדער כאטש ווייזט אז זיי זענען אין פארשריט מיט דאקומענטירטע אקציעס און דאטומען.
ברענגען די ריכטיגע אינטערעסירטע פּאַרטייען צוזאַמען
א קורצע, פאָקוסירטע גרייטקייט זיצונג אין וואָך 1 ברענגט די מענטשן אויף וועלכע איר פֿאַרלאָזט זיך פֿאַר באַווײַזן און באַשלוסן אין דער זעלבער שמועס. דאָס איז אייער געלעגנהייט צו פֿאַראייניקן ערוואַרטונגען, טיילן דעם פּלאַן און זיכער מאַכן אַז קיינער איז נישט איבערראשט ווען דער אוידיטאָר קומט אָן.
וואָך 1 זאָל אַרייַננעמען אַ גרייטקייט זיצונג מיט שליסל סטייקהאָולדערז: ISMS באַזיצער, אָפּעראַציעס אָדער סערוויס דעליווערי פירער, HR, פינאַנץ און לעגאַל אָדער דאַטן שוץ. ניצט די זיצונג צו מסכים זיין:
- אויף וואָס דער אוידיטאָר וועט מסתּמא זיך קאָנצענטרירן.
- וועלכע פּראָצעסן וועלן ווערן גענוצט ווי ערשטיקע ביישפילן, ווי למשל קליענט אָנבאָרדינג, הויך-ריזיקירן ענדערונגען אָדער אינצידענט האַנדלינג.
- ווער וועלן דינען ווי פּראָצעס אָונערז און סאַבדזשעקט ענין עקספּערץ בעשאַס די אוידיט.
- ווי באווייזן וועלן ווערן געזאמלט און געטיילט אינטערן.
באַקאַנטע שוואַכקייטן זאָלן אָפן אַדרעסירט ווערן. אויב צוטריט איבערבליקן זענען הינטער פּלאַן, סאַפּלייער אַסעסמאַנץ זענען נישט גאַנץ אָדער זיכער קאָנטראָלס נישט גאָר ימפּלאַמענטאַד, איז באַהאַלטן די פאַקטן ריזיקאַליש. אַנשטאָט, דאָקומענטירן צייטווייליגע מיטלען, ריזיקירן אַקסעפּטאַנס דיסיזשאַנז און רעאַליסטישע קאַמפּלישאַן פּלענער. אַדאַטאָרן זענען מער באַקוועם מיט טראַנספּאַרענט, געראטן גאַפּס ווי מיט איבערראַשונגען, ספּעציעל ווען זיי זען קלאָרע קאָרעקטיוו אַקשאַנז.
וואָך 1 טשעקליסט אויף א בליק
א קורצע טשעקליסט פאר וואך 1 מאכט עס גרינגער צו נאכפאלגן פארשריט און דעלעגירן עפעקטיוו, ספעציעל ווען עטלעכע מענטשן ביישטייערן צו אוידיט גרייטקייט.
די פאלגענדע טאבעלע סומאריזירט די הויפט אקטיוויטעטן פון וואך 1:
| געגנט | שליסל פראגע | רעזולטאַט וואָס איר דאַרפט |
|---|---|---|
| פאַרנעם | צי שפּיגלט עס אָפּ די איצטיקע באַדינונגען און לאָקאַציעס? | דערהייַנטיקט, פּינקטלעך פאַרנעם דערקלערונג |
| ריזיקע און באַהאַנדלונג | ווערן גרויסע ענדערונגען אפגעשפיגלט אין ריזיקע באשלוסן? | איצטיקע ריזיקע רעגיסטער און באַהאַנדלונג פּלאַן |
| דערקלערונג פון אָנווענדלעך | צי פּאַסט עס צו דער קאָנטראָל סביבה? | SoA אויסגעשטימט צו די איצטיקע קאָנטראָלן און ווערסיע |
| אינערלעכער קאָנטראָל | איז אַן אוידיט געענדיקט אָדער פּלאַנירט געוואָרן? | פֿאַרענדיקטע אוידיט אָדער דאָקומענטירטע פּלאַן און אַקציעס |
| פאַרוואַלטונג איבערבליק | איז די פירערשאפט איבערגעקוקט געווארן די אויפפירונג? | לעצטע איבערבליק פראטאקאלן און באשלוסן |
| באַקאַנטע שוואַכקייטן | ווערן גאַפּס אנערקענט און פאַרוואַלטעט? | צייטווייליגע קאנטראלן און אקציע פלענער דאקומענטירט |
ניצן וואָך 1 צו סטאַביליזירן די עלעמענטן מיינט אַז וואָכן 2 און 3 קענען זיך קאָנצענטרירן אויף דעמאָנסטרירן קאָנטראָל אָפּעראַציע אַנשטאָט דעבאַטירן די יסודות. ווי איר גייט פאָרויס, קענט איר זיך צוריקקערן צו דעם טשעקליסט און ויסמיידן צו איבערגיין דעם זעלבן אָרט פֿון אָנהייב.
באַפֿרײַ זיך פֿון אַ באַרג פֿון ספּרעדשיטן
איינבעטן, פארברייטערן און סקאַלירן אייער קאמפלייענס, אָן קיין כאַאָס. IO גיט אייך די ווידערשטאנד און בטחון צו וואַקסן זיכער.
וואָכן 2–3: באַווייַזן אַז אַנעקס A 5–8 זענען לעבעדיק אין דיין MSP
וואָכן 2 און 3 זענען וועגן ווייַזן די אויטאָרן אַז די אַנעקס אַ קאָנטראָלן צו וועלכע איר האָט זיך פֿאַרפֿליכטעט אַרבעטן טאַקע אין אייער אָרגאַניזאַציע, מענטשן, פֿיזישער סביבה און טעכנאָלאָגיע. איר גייט פֿון וואָס איר זאָגט אַז איר טוט צו וואָס איר קענט באַווײַזן אַז איר טוט, ניצנדיק עכטע ביישפּילן פֿון אייער MSP.
מיטן יסוד סטאביליזירט, קען די אויפמערקזאמקייט זיך אריבערציען צו די קאנטראלן וואס בארירן אמאסטנס ווי אזוי סערוויסעס ווערן צוגעשטעלט. אין דער 2022 רעוויזיע, איז אנעקס א גרופירט אין ארגאניזאציאנעלע (A.5), מענטשן (A.6), פיזישע (A.7) און טעכנאלאגישע (A.8) קאנטראלן. די 2022 אויסגאבע פון ISO/IEC 27001 רעארגאניזירט אויסדריקליך אנעקס א אין די פיר גרופעס (A.5–A.8), ווי באשריבן אין ISO'ס איבערבליק פון דער רעוויזיע. אויפזיכט אוידיטארן טענדן צו נעמען מוסטערן פון אלע גרופעס אנשטאט אויספארשן יעדע איינע, אזוי גוט אויסגעקליבענע ביישפילן טראגן אן עכטן וואג.
מוסטערונג באווייזן איבער אנעקס א 5–8
אוידיטארן נעמען געווענליך א קליינע צאל קאנטראלן און מעשיות איבער אנעקס א 5-8 אנשטאט צו ערווארטן אז איר זאלט באווייזן אלעס. כדי צו נוצן אייער באגרענעצטע צייט גוט, פאקוסירט אויף אויסגעקליבענע מוסטערן וואס ווייזן ווי קאנטראלן ארבעטן אין רעאלע סצענארן אנשטאט צו צוזאמענשטעלן א ריזיגן, אומפאקוסירטן הויפן רעקארדס.
פֿאַר אָרגאַניזאַציאָנעלע קאָנטראָלן (A.5), זאַמלען אַרטיפאַקץ וואָס ווייַזן גאַווערנאַנס און ריזיקאָ פאַרוואַלטונג אין אַקציע. נוציקע ביישפילן אַרייַננעמען פרישע ריזיקאָ לאָגס אָדער רעגיסטערס מיט דערהייַנטיקונגען און באַשלוסן, פּראָטאָקאָלן פון גאַווערנאַנס פאָרומס אָדער ענדערונג אַדווייזערי באָרדז וווּ אינפֿאָרמאַציע זיכערהייט טעמעס זענען דיסקוטירט געוואָרן, און דערהייַנטיקונגען צו פּאָליטיק און פּראָצעדורן פארבונדן מיט ענדערונגען אין באַדינונגען אָדער ריזיקאָ.
מענטשן קאנטראלן (A.6) פאקוסירן אויף ווי מענטשן מיט צוטריט צו אינפארמאציע און סיסטעמען ווערן געסקרינט, טרענירט און געפירט. פאר אן MSP, האבן אינזשענירן אפט פריווילעגירטן צוטריט צו פארשידענע קליענט סביבות, וואס מאכט די קאנטראלן ספעציעל וויכטיג. באווייזן קענען ארייננעמען איינפיר רעקארדס וואס ווייזן הינטערגרונט טשעקס און פאליסי אנערקענונגען, אפבארדינג רעקארדס וואס ווייזן צייטליכע באזייטיגונג פון צוטריט און טרענירונג לאגס וואס דעקן זיכערהייט באוואוסטזיין און אינצידענט באריכטן.
פיזישע קאנטראלן (A.7) בלייבן רעלעוואנט אפילו אין א וועלט מיט א סך וואלקן. MSP'ס אפערירן אפט אפיסעס, לאבאראטאריעס, קאמוניקאציע צימערן אויף ארט און צוזאמען-געבויטע רעקס. אוידיטארן קענען פרעגן וועגן דעפיניציעס פון זיכערע געביטן, באזוכער לאגס, צוטריט-קארטל צוטיילונגען און עקוויפמענט רעגיסטערס מיט פראצעסן פאר זיכערע באזייטיגונג אדער ווידער-באנוץ פון הארדווער.
טעכנאלאגישע קאנטראלן (A.8) נעמען געווענליך די מערסטע צייט. די קאנטראלן רעגולירן צוטריט מענעדזשמענט, לאגינג און מאניטארינג, בעקאפ און רעקאָווערי, סיסטעם פארהארטעווען, וואַלנעראַביליטי מענעדזשמענט און טעכנישע אפעראציעס ברייטער. אנשטאט צו פרובירן צו ווייזן אלעס, צוגרייטן קוראטירטע ביישפילן וואס דעקן באניצער פראוויזשאנינג און דע-פרוויזשאנינג, טויש טיקעטס, בעקאפ באריכטן און רעסטאָר טעסטן, וואַלנעראַביליטי סקענס מיט רעמעדיאציע רעקארדס און אינצידענט טיקעטס וואס ווייזן דעטעקציע, איינהאלטונג און לעקציעס געלערנט.
ניצן ענד-צו-ענד מעשיות צו פֿאַרבינדן קאָנטראָלס
ענד-צו-ענד מעשיות וואָס גייען אַריבער קייפל קאָנטראָלן העלפֿן אוידיטאָרן זען ווי אייער ISMS אַרבעט אין פאַקטישן לעבן. איר ווילט אַ האַנדפול פון סצענאַרן וווּ איר קענט גיין פון ריזיקע צו קאָנטראָל צו באַווייַזן אין אַן איינציקער, קאָוכירענטער דערציילונג.
למשל, איר קענט ווייזן ווי א נייער קליענט איז געווארן איינגעפירט. הייבט אן מיט די ריזיקא אפשאצונג און קאנטראקט איבערבליק, דערנאך ווייזט איר אקאונט שאפונג, נעטווארק קאנפיגוראציע, צוטריט אויפשטעלן און דאקומענטאציע. אויפן וועג וועט איר בארירן גאַווערנאַנס, מענטשן, פיזישע און טעכנאלאגישע קאנטראלן אויף א וועג וואס שפיגלט אפ ווי אייער MSP ארבעט טאקע.
נאך א נוצלעכע געשיכטע איז א קריטישער אינצידענט וואס באטראפט א שליסל קליענט. ווייזט ווי אזוי עס איז דעטעקטירט געווארן, ווי אזוי קאמוניקאציע איז געהאנדלט געווארן, ווי אזוי סערוויס איז צוריקגעשטעלט געווארן און וועלכע פארהיטנדיקע מיטלען זענען גענומען געווארן. יענע איינציקע דערציילונג קען באווייזן לאגינג און מאניטארינג, אינצידענט מענעדזשמענט, בעקאפ און רעקאָווערי, קאמוניקאציע און פארבעסערונג, אלעס וואס אוידיטארן ערווארטן צו זען ארבעטן צוזאמען.
יעדע פון די מעשיות קען ווערן צוגעפאסט צו די באטרעפנדע קאנטראלן פון אנאקס א אין A.5 ביז A.8. די צוזאמענפאסונג גיט אוידיטארן א וועג וואס זיי קענען נאכפאלגן און פארקלענערט די נויטווענדיקייט פון אד-האק זוכענישן בעתן אוידיט. עס בארואיקט אייך אויך אז אייערע באווייזן זענען באזירט אויף עכטע ארבעט, נישט אויף טעארעטישע ביישפילן וואס זענען געמאכט ריין פארן אוידיטאר'ס נוץ.
אויסמיידן געוויינטלעכע קאָנטראָל פּיטפאָלז אין MSPs
רוב אויפזיכט אוידיט רעזולטאטן אין MSPs שטאמען פון א באקאנטע סעט פון קאנטראל שוואכקייטן, אנשטאט עקזאטישע טעכנישע דורכפעלער. אויב איר פארברענגט אביסל צייט צו נעמען מוסטערן און פארשטארקן די געביטן, פארקלענערט איר דראמאטיש די שאנס פון אומאנגענעמע נישט-קאנפארמיטיען אין דעם טאג.
די 2025 ISMS.online שטאַט פון אינפֿאָרמאַציע זיכערהייט אַנקעטע האט געפונען אַז רובֿ אָרגאַניזאַציעס זענען געווען אַפעקטאַד דורך לפּחות איין דריט-פּאַרטיי אָדער פאַרקויפער-פֿאַרבונדענע זיכערהייט אינצידענט אין די פריערדיקע יאָר.
אויפזיכט אוידיטס פון MSPs שטעלן אָפט ארויס ווידערהאָלענדיקע פּראָבלעמען:
- צוטריט וואָס איז נישט באַלד אָפּגערופֿן געוואָרן נאָך ראָלע ענדערונגען אָדער פֿאַרלאָזער.
- נישט-קאנסיסטענטע ענדערונג-מענעדזשמענט צווישן קונה-סביבות און אינערליכע סיסטעמען.
- באַקאַפּ און אָפּזוך פּראָצעסן וואָס זענען גוט דיזיינד אָבער שוואַך באַוויזן.
- אינצידענטן וואָס זענען געהאַנדלט געוואָרן אָפּעראַציאָנעל אָבער נישט רעגיסטרירט און אַנאַליזירט פֿאַר פֿאַרבעסערונג.
- סאַפּלייער אויפזיכט וואָס פאַרפעלט שליסל וואָלקן פּלאַטפאָרמעס אָדער זיכערהייט פאַרקויפער.
MSP-פאָקוסירטע ISO 27001 גיידליינז, אַרייַנגערעכנט פּראַקטישע ימפּלעמענטאַציע אַרטיקלען, רופן ריפּיטידלי ארויס די זעלבע טעמעס ווי געוויינטלעכע געפינסן בעת אויפֿזיכטן.
מיט צוויי ביז דריי וואָכן פאַראַן, פאָקוסירט אויף נעמען מוסטערן פון די געביטן, פאַרמאַכן גאַפּס וואו מעגלעך און דאָקומענטירן ריזיקאָ אַקסעפּטאַנס וואו באַלדיקע פאַרריכטן איז נישט רעאַליסטיש. באַציט זיך צוריק צו אייער אַנעקס א מאַפּינג אַזוי אַז אַלע פֿאַרבעסערונגען וואָס איר מאַכט איצט זאָלן ווערן איינגעכאפט ווי טייל פון די ISMS, נישט באַהאַנדלט ווי איין-מאָל פאַרריכטן וואָס וועלן ווערן פארגעסן איידער דעם קומענדיקן אויפֿזיכט באַזוך.
באווייזן און דאקומענטאציע: פון כאאס צו קליקבאר אין די אוידיט
אפילו א גוט-געפירטע ISMS וועט זיך פילן שוואַך אויב איר קענט נישט שנעל ווייַזן באַווייַזן אויף פארלאנג. דער האַרץ פון אייער 30-טאָגיקער צוגרייטונג איז צו פאַרוואַנדלען צעוואָרפענע רעקאָרדס אין עפּעס וואָס אייער אוידיטאָר קען נאַוויגירן אין אַ פּאָר קליקן, אָן איר זאָלט דאַרפֿן דורכגיין דרייווז און מכשירים.
אסאך MSP'ס האבן אסאך דאטן אבער ווייניג סטרוקטור: פאליסיס אין איין ארט, ריזיקא רעגיסטערס אין אן אנדערן, טיקעטס אין פארשידענע געצייג, לאגס אין פארשידענע סיסטעמען און באריכטן פארשפרייט איבער געטיילטע דרייווס. אוידיטארן קענען דעם מוסטער גוט און וועלן שנעל שפירן צי אייער באווייז איז ארגאניזירט אדער אימפראוויזירט. די ציל פאר דעם שטאפל איז צו מאכן די באווייזן גרינג צו נאַוויגירן. איר ווילט קענען גלייך אריבערגיין פון א קלאוז אדער קאנטראל צו א ספעציפישן טיקעט, לאג אדער רעקארד וואס באווייזט וואס איר טוט.
א פשוטער אבער שטארקער צוגאנג איז צו בויען א באווייזן מאפע. פאר יעדן רעלאוואנטן ISO 27001 פארלאנג און אנעקס A קאנטראל, באמערקט:
- א קורצע באַשרייַבונג אין פּשוטער שפּראַך.
- דער הויפּט פּראָצעס אָדער אייגנטימער אין אייער אָרגאַניזאַציע.
- די הויפּט אַרטיפאַקץ וואָס ווייַזן אָפּעראַציע, אַזאַ ווי דאָקומענטן, בילעטן, לאָגס אָדער באַריכטן.
- וואו יענע אַרטיפאַקץ וואוינען, אַרייַנגערעכנט סיסטעם און אָרט.
די מאַפּע קען לעבן אין אַ ספּרעדשיט, אַ דאָקומענטאַציע געצייַג אָדער אַ דעדאַקייטאַד ISMS פּלאַטפאָרמע. די וויכטיקע זאַך איז אַז אָדיטאָרס און אינטערנע טימז קענען אָנהייבן פֿון אַ קאָנטראָל און שנעל זען וווּ צו זוכן באַווייַז. אויב איר זענט דער מענטש וואָס באַזיצט די ISMS, ווערט דאָס אויך אייער שנעלע רעפֿערענץ בעת קונה דיו דילידזשאַנס און אינטערנע באריכטן.
לאָגס און טיקעטן פֿאַרדינען ספּעציעלע באַהאַנדלונג. זיי זענען אָפֿט די רייכסטע מקור פֿון באַווײַזן אָבער אויך די שווערסטע צו אינטערפּרעטירן אויב נאַמינג און טאַגינג זענען נישט קאָנסיסטענט. שטימ אויף קאָנווענציעס פֿאַר:
- אינצידענט טיפן און ערנסטקייט.
- ענדערן קאַטעגאָריעס ווי סטאַנדאַרט, נאָרמאַל און נויטפאַל.
- קליענט אידענטיפיצירערס פֿאַר אַרבעט וואָס אַפעקטירט קונה סביבות.
- טאַגינג פון זיכערהייט-רעלאַוואַנטע בילעטן.
מיט דער צייט, מאַכן די קאָנווענציעס עס פיל פּשוטער צו נעמען באַדײַטנדיקע מוסטערן אָן מאַנועלע דורכקוקן. זיי העלפֿן אויך נײַע מיטאַרבעטער פֿאַרשטיין ווי צו רעקאָרדירן אַרבעט אויף אַ וועג וואָס שטיצט סײַ קאַסטאַמערז און סײַ אָדיטס.
עס העלפט אויך צו אימפלעמענטירן איין איינציקן באווייז רעגיסטער. אנשטאט קאפירן טעקעס אין קייפל אוידיט טעקעס און ריזיקירן פארעלטערטע ווערסיעס, לייגט אפ די רעקארדס איין מאל אין זייערע נאטירלעכע סיסטעמען און פירט א רעגיסטער פון לינקס. יענער רעגיסטער קען ארייננעמען:
- קאָנטראָל אָדער קלאָז רעפֿערענץ.
- באווייז באַשרייַבונג.
- לינק אדער דרך צום רעקארד.
- באַזיצער.
- דאַטע לעצט געטשעקט.
בעת אן אויפזיכט אוידיט, ווערט דער רעגיסטער אייער אויסגאנגספונקט. פאר יעדער טעמע וואס אן אוידיטאר ברענגט אויף, קענט איר גלייך נאַוויגירן צו די באטרעפנדע רעקארדס. דאס נישט נאר פארמינערט סטרעס, נאר עס סיגנאלירט אויך א מאטור: אוידיטארן זענען מער זיכער ווען זיי זען אז איר קענט געפינען וואס איר דארפט אן זוכן.
פארן אוידיט, שטאנדארדיזירט ווי אד-האק באווייזן ווי סקרינשאטס אדער עקספארטן ווערן באשאפן. איינפאכע פראקטיקעס ווי אריינלייגן דאטומען, סיסטעם נעמען און פאראנטווארטלעכע מענטשן אין טעקע נעמען אדער קעפלעך מאכן עס פיל גרינגער צו ווידער-ניצן יענע באווייזן שפעטער און צו באווייזן אז עס איז פארבונדן מיט דער צייט וואס ווערט איבערגעקוקט.
א "באווייז אריענטאציע" פעקל קען נאך מער פארגרינגערן דעם פראצעס. א קורצע סלייד דעק אדער דאקומענט וואס דערקלערט ווי דער ISMS איז סטרוקטורירט, וועלכע סיסטעמען האלטן וועלכע סארטן רעקארדס און ווי דער באווייז רעגיסטער איז ארגאניזירט קען שפארן צייט אין טאג. עס דינט אויך אלס א נוצליכע אינדוקציע רעסורס פאר נייע שטאב מיטגלידער וואס זענען פארמישט אין דעם ISMS.
צום סוף, פּראָבעט. בעט די באַווייז־אייגנטימער צו דורכגיין עטלעכע ביישפילן ניצנדיק דעם רעגיסטער, עפֿענען רעקאָרדס לייוו. דאָס אַנטפּלעקט שנעל צעבראָכענע לינקס, דערלויבעניש־פּראָבלעמען אָדער פֿאַרווירנדיקע נעמען. עס איז פיל בעסער צו אַנטדעקן דאָס בעת אַן אינערלעכן דורכקוק ווי פֿאַר דעם אוידיטאָר.
בויען אַן עווידענס מאַפּע וואָס דיין מאַנשאַפֿט קען טאַקע נוצן
א באווייזן-מאפע איז נאר ווערטפול אויב מענטשן אין אייער MSP פארשטייען עס און קענען עס נוצן אונטער דרוק. די ציל איז נישט א פערפעקטע דאקומענט, נאר א פראקטישע אנווייזונג וואס פארקירצט שמועסן און העלפט יעדן געפינען וואס זיי דארפן בעת א אויפזיכט באזוך.
ווען איר בויט די מאַפּע, שרייבט באַשרייבונגען אין פּשוטער שפּראַך און נען די אייגנטימער לויט ראָלע אַנשטאָט יחידים ווען מעגלעך. אויף דעם וועג, אויב מאַנשאַפֿט מיטגלידער טוישן זיך, מאַכט די מאַפּע נאָך זינען. פאָקוסירט אויף די קאָנטראָלן וואָס דער אוידיטאָר וועט מסתּמא מוסטערן, און דערנאָך פארברייטערט ביסלעכווייַז אין שטילערע פּעריאָדן אַנשטאָט צו פּרובירן צו דעקן אַלץ אין איין מאָל.
מיט דער צייט, באַהאַנדלט די באַווייז־מאַפּע ווי אַ לעבעדיקן אַרטיפֿאַקט. אַפּדייט עס נאָך אינערלעכע אויספֿאָרשונגען און אויפֿזיכט־וויזיטן, ספּעציעל אויב דער אויספֿאָרשער האָט זיך געמוטשעט צו געפֿינען עפּעס אָדער געלויבט אַ באַזונדערן בייַשפּיל. יענער פֿידבעק־קרייז פֿאַרבעסערט שטענדיק אייער אויספֿאָרשונג־ערפֿאַרונג און רעדוצירט די מאָס פֿאַרריכטנדיקע אַרבעט וואָס איר דאַרפֿט טאָן אין יעדן 30־טאָגיקן שפּרינט.
איבערחזרן אייער באווייזן נאַוויגאַציע
פּראָבע פֿאַרוואַנדלט אַ באַווײַז־מאַפּע פֿון אַ סטאַטישן דאָקומענט אין מוסקל־זכּרון. אַ קורצע אינערלעכע מיני־אויפֿהערונג פֿאַר דעם אויפֿזיכט־באַזוך קען שנעל אויפֿדעקן פּראָבלעמען און בויען בטחון איבערן גאַנצן מאַנשאַפֿט.
בעט יעדן באַווייז אייגנטימער צו גיין דורך צוויי אָדער דריי קאָנטראָלן ניצנדיק דעם רעגיסטער, עפֿענענדיק טיקעטס, לאָגס אָדער רעקאָרדס ווי כאילו דער אוידיטאָר וואָלט געקוקט. דאָס אַנטפּלעקט שנעל פֿעלנדיקע פּערמישאַנז, פֿאַרווירנדיקע נעמען אָדער פֿאַרעלטערטע לינקס. איר קענט דאַן שטילערהייט פֿאַרריכטן דאָס פֿאַר דעם עכטן אוידיט, אַנשטאָט זיך דורכצושטויסן פֿאַר דעם סערטיפֿיקאַציע גוף.
די רעפּעטיציע שריט העלפט אויך נייע שטאב מיטגלידער פארשטיין ווי די ISMS ארבעט אין פראקטיק. ווען מענטשן האבן געאיבט צו געפינען באווייזן מיט שנעלקייט, זענען זיי מער רואיג און זיכער דעם טאג פון די אוידיט, און אוידיטארן רעאגירן בכלל גוט צו דעם זיכערהייט.
אויסקלייבן מכשירים וואָס שטיצן באַווייַזן, נישט נאָר דאָקומענטן
די מכשירים וואָס איר ניצט זאָלן מאַכן עס גרינג צו גיין פון אַ קלאָז אָדער קאָנטראָל צו קראַנט, צוטרוי-ווערדיק רעקאָרדס אין איין אָדער צוויי קליקן. צי איר פאַרלאָזט זיך אויף קערפאַלי סטרוקטורירטע טעקעס אָדער אַ דעדאַקייטאַד ISMS פּלאַטפאָרמע, די עכטע פּראָבע איז ווי שנעל אַן אוידיטאָר קען זען וואָס זיי בעטן.
עטלעכע אָרגאַניזאַציעס פאַרוואַלטן באַווייזן דורך דיסציפּלינירטע שערד דרייווז און ספּרעדשיטס. אַנדערע נוצן אַ צענטראַלע ISMS וואָרקספּייס צו האַלטן די פאַרנעם, ריזיקע, די SoA, אָדיטס און פאַרוואַלטונג באריכטן, און דאַן פֿאַרבינדן זיי צו טיקאַץ און לאָגס אין אָפּעראַציאָנעלע מכשירים. אויב איר דערקענט אייער אייגענע סביבה אין דעם "פאַרשפּרייטע טעקעס" בילד, קען אויספאָרשן ווי אַ דעדאַקייטאַד פּלאַטפאָרמע ווי ISMS.online קען אָרגאַניזירן די באַווייזן זיין איינער פון די מערסט עפעקטיווע וועגן צו רעדוצירן צוקונפֿטיקע אָדיט דרוק.
פאַרוואַלטן אַלע אייערע קאָנפאָרמאַנס, אַלץ אין איין אָרט
ISMS.online שטיצט איבער 100 סטאַנדאַרדס און רעגיאַליישאַנז, געבן איר אַ איין פּלאַטפאָרמע פֿאַר אַלע דיין העסקעם דאַרף.
דיזיינירן אַ ווידער-ניצלעך 30-טאָגיק אויפזיכט שפּיל-בוך
אייער ערשטער סטרוקטורירטער 30-טאגיקער אויפזיכט-שפרינט לערנט אייך וועלכע אקטיוויטעטן זענען טאקע וויכטיג און וועלכע קענען ווארטן. איינכאפּן יענע דערפארונג אלס א ווידער-ניצלעכן שפיל-בוך פארוואנדלט שווער-געוואונענע לעקציעס אין א רואיגערן, איבערחזרנדיקן ציקל אנשטאט נאך אן איינמאליגן קאמף קומענדיגן יאר.
אַמאָל איר האָט איבערגעלעבט איין אויפזיכט אוידיט מיט אַ סטרוקטורירטן 30-טאָגיקן שפּרינט, איז עס אַ פאַרפירערישער פאַרפירעריש צו אָפּרוען און פאַרגעסן די דעטאַלן. דאָס וואָלט געווען אַ פאַרפעלטע געלעגנהייט. כאַפּן וואָס האָט געאַרבעט און וואָס נישט, פאַרוואַנדלט שווער-געוואונענע דערפאַרונג אין אַ ווידער-ניצלעכן פּלייבוק וואָס באַשיצט אײַך קומענדיקן יאָר און העלפֿט נײַע מאַנשאַפֿט מיטגלידער שנעלער אײַנקומען. גיידאַנס פון סערטיפיקאַציע גופים און אוידיטאָרן, אַרײַנגערעכנט פּראַוויידערז ווי SGS, באַטאָנט אַז אַ דאָקומענטירטער, איבערחזרנדיקער צוגאַנג מאַכט עס גרינגער צו דעמאָנסטרירן קאָנטראָל איבער אײַער ISMS ווי ימפּראָוויזירטע, איין-מאָל צוגרייטונג.
הייבט אן מיט דאקומענטירן דעם צייט-פלאן וואס איר האט טאקע נאכגעפאלגט. ניצט א צייל-אפ פארמאט: T-30, T-21, T-14, T-7, T-1. פאר יעדן פונקט, באמערקט וועלכע אקטיוויטעטן זענען געענדיגט געווארן, ווער איז געווען פאראנטווארטלעך און וועלכע אפהענגיקייטן האבן עקזיסטירט. נעמט אריין אויפגאבן ווי בעטן דעם אוידיט פלאן, אפדעיטן דעם פארנעם, קאנטראלירן ריזיקע אפשאצונגען, פארמאכן אינערליכע אוידיט אקציעס, זאמלען באווייז מוסטערן און פלאנירן בריפינגס.
כאַפּן וואָס איז טאַקע געשען דאָס מאָל
די ערלעכסטע ווערסיע פון אייער שפּיל־בוך איז די וואָס איז באַזירט אויף וואָס איר האָט טאַקע געטאָן, נישט וואָס איר וואָלט געוואָלט טאָן. דאָס אַראָפּשרייבן באַלד נאָך דער אויספֿאָרשונג האַלט דעם פּלאַן באַגרינדעט און גלויבווערדיק.
קורצע נאָטיצן פֿאַר געוויינטלעכע אוידיט פֿראַגעס זענען נאָך אַ ווערטפֿולער מיטל. ביישפּילן אַרייַננעמען:
- ווי דער פאַרנעם ווערט דעפינירט און אויפגעהאלטן איבער צייט.
- ווי נייע קליענטן און סערוויסעס ווערן זיכער איינגעפירט.
- ווי ענדערונגען וואָס האָבן אַן אַפעקט אויף קליענט סביבות ווערן אָפּגעשאַצט און באַשטעטיקט.
- ווי אינצידענטן ווערן דעטעקטירט, עסאַקאַלירט און איבערגעקוקט.
- ווי צוטריט ווערט געראטן פאר שטאב און סובקאנטראקטארן.
די נאטיצן, מיט קלארע רעפערענצן צו שטיצנדיקע רעקארדס, העלפן זיכער מאכן קאנסיסטענטע, זיכערע ענטפערס, נישט קיין חילוק ווער רעדט. זיי פארקירצן אויך די צוגרייטונג פאר צוקונפטיגע אוידיטס ווייל איר בויט נישט איבער די דערקלערונגען פון פריש. אויב איר לויפט דעם ISMS, ווערן די אייערע גיי-צו פראמפץ ווען איר טרענירט קאלעגן צו האנדלען מיט אוידיט אינטערוויוס.
א פשוטע צייל-אויס שריט-ליסטע קען מאכן דעם נעקסטן ציקל מער פארזעבאר:
T‑30: באַשטעטיקן דעם פאַרנעם און אויספֿאָרשונג פּלאַן
באַשטעטיקן די אויפֿזיכט דאַטעס, פֿאַרנעם, לאָקאַציעס און פֿאָקוס געביטן מיטן סערטיפֿיקאַציע גוף און טיילן זיי מיט די אינטערעסירטע פּאַרטייען.
T‑21: דערהייַנטיקן ריסקס און שליסן שליסל אינערלעכע אַקציעס
דערפרישן דעם ריזיקאָ רעגיסטער און פאָרשריטן אינטערנע אוידיט און פאַרוואַלטונג אָפּשאַצונג אַקציעס וואָס ווירקן אויף הויך-ריזיקירן געביטן.
T‑14: בויען און פּרובירן אייער באַווייַז מאַפּע
באַפעלקערן דעם באַווײַז־רעגיסטער, קאָנטראָלירן לינקס און דורכפֿירן אַ קורצע אינערלעכע רעפּעטיציע קעגן מוסטער־קאָנטראָלס.
ט‑7: פֿאַרענדיקן בריפֿינגס און לאָגיסטיק
באַשטעטיקן ווער וועט אָנטייל נעמען אין וועלכע סעסיעס און זיכער מאַכן צוטריט צו אַלע סיסטעמען, לאָקאַציעס און רעקאָרדס וואָס דער אוידיטאָר קען דאַרפֿן.
ט-1: געזונטהייט-קאָנטראָל מוסטערן און קאָמוניקאַציעס
באַשטעטיקן אַז שליסל באַווייַז מוסטערן קוקן נאָך גוט אויס און אַז אייער מאַנשאַפֿט פֿאַרשטייט דעם סדר און די איבערגעבונגען.
מאַכן דעם פּלייבוק אַ טייל פֿון געשעפֿט־ווי־געוויינטלעך
א שפּיל־בוך לייגט נאָר צו ווערט אויב עס פֿאָרעמט וואָס מענטשן טוען צווישן אויספֿאָרשונגען. די עכטע ציל איז צו באַוועגן מער פֿון דער אַרבעט פֿריִער אין דעם ציקל, אַזוי אַז די 30־טאָגיקע פֿענצטער ווערט אַן אויפֿרײַמונג, נישט אַ ראַטעווען־מיסיע.
קלארקייט איבער די ראָלעס איז וויכטיק דאָ. דעפינירט אַ RACI (פאַראַנטוואָרטלעך, אַקאַונטאַבאַל, קאָנסולטעד, אינפאָרמד) מאַטריץ פֿאַר שליסל אַקטיוויטעטן איידער, בעשאַס און נאָך דעם אָדיט. טיפּישע ראָלעס אַרייַננעמען:
- עקסעקוטיוו ספּאָנסאָר ווי דער מענעדזשינג דירעקטאָר אָדער אָפּעראַציעס דירעקטאָר.
- ISMS אייגנטימער אדער אינפארמאציע זיכערהייט מענעדזשער.
- סערוויס אדער אפעראציעס פירער.
- HR פארשטייער.
- פינאַנץ אָדער פּראָקורמענט אייגנטימער פֿאַר סאַפּלייער ענינים.
- דאַטן שוץ אָדער לעגאַלע פירערשאַפט.
- עקספּערטן אין טעכנישע פֿאַכן.
פֿאַר יעדער אויפֿגאַבע אין דעם 30-טאָגיקן פּלאַן, באַמערקט ווער איז פֿאַראַנטוואָרטלעך פֿאַר דער אַרבעט, ווער איז פֿאַראַנטוואָרטלעך פֿאַר די רעזולטאַטן, וועמען דאַרף מען קאָנסולטירן און וועמען זאָל מען האַלטן אינפֿאָרמירט. דאָס רעדוצירט צעמישעניש און פֿאַרמייַדט איבערלאָדן אַן איינציקן יחיד.
קאָמוניקאַציע בעת דעם אוידיט פארדינט אויך אַ פּלאַן. באַשטימט וועלכע קאַנאַלן וועלן ווערן גענוצט פֿאַר קאָאָרדינירן ענטפֿערס, ווי פֿראַגעס פֿון דעם אוידיטאָר וועלן ווערן טריאַזשירט און ווער קען מאַכן באַשלוסן אויף דער אָרט אויב פּראָבלעמען קומען אויף. באַשטימט פֿון פֿאָרויס ווי צו האַנדלען מיט אומגעריכטע געפֿינסן אָדער בקשות פֿאַר נאָך באַווײַזן אַזוי אַז די אָפּעראַציעס זאָלן נישט ווערן געשטערט.
נאך דעם אוידיט, כאַפּט איין די לעקציעס בשעת זיי זענען נאָך פריש. פרעגט וועלכע באַווייזן האָבן אימפּאָנירט דעם אוידיטאָר, וואו זיי האָבן געפּרוּווט טיפער ווי געריכט, וועלכע קאָנטראָלן האָבן זיך געפילט שוואַך און וואו די מאַנשאַפֿט האָט זיך געפּלאָגט צו געפֿינען רעקאָרדס שנעל. ניצט די ענטפֿערס צו פֿאַרפֿײַנערן די באַווייזן מאַפּע, דערהייַנטיקן פּראָצעדורן און סטרויערן דעם 30-טאָגיקן פּלאַן.
צום סוף, בויען די גרייטקייט פון אויספארשונג אין די אויפטוען צילן פאר באטרעפנדע פירער. אויב עס עקזיסטירן צילן פארן פארמאכן קארעקטיווע אקציעס, האלטן באווייזן אקטועל און אויפהאלטן די באטייליקונג מיט ISMS אקטיוויטעטן, איז די פּלייבוק מער מסתּמא צו ווערן גענוצט קאנסיסטענט. אויפזיכט אויספארשונג אויספארשונגען ווערן דעמאלט א געטיילטע אחריות, נישט א לאסט אויף איין קאמפלייענס טשעמפיאן. אויב איר וועט שפעטער אויסקלויבן צו פירן די פּלייבוק אין א צענטראלער ISMS פלאטפארמע, קענט איר צופּאַסן די אחריותן מיט קענטיקע אויפגאבן און דערמאָנונגען אנשטאט זיך צו פארלאזן אויף זכרון.
בוך אַ דעמאָ מיט ISMS.online הייַנט
ISMS.online העלפט אייך פארוואנדלען ISO 27001 אויפזיכט אוידיטס אין פארזעבארע 30-טאגיקע שפרינטן דורך שטעלן די פארנעם, ריזיקעס, קאנטראלן און באווייזן אין איין סטרוקטורירטן ארט. ווען ריזיקעס, קאנטראלן און רעקארדס זענען ארגאניזירט אין א צענטראלן ISMS ארבעטס-פלאץ אנשטאט צושפרייט איבער מכשירים און טעקעס, ווערט עס פיל גרינגער צו זען וואס איז באדעקט, וואו עס עקזיסטירן לעכער און וועלכע רעקארדס ווייזן בעסטן די קאנטראל אפעראציע, אזוי קענט איר שנעל אריבערגיין פון אוידיט פראגע צו פארלעסליכע באווייזן פאר ביידע אוידיטארן און קאסטומער דיו דילידזשענס.
ISMS.online איז דיזיינט צו דינען ווי יענע אָרגאַניזירנדיקע שיכט. עס גיט אייך אַ סטרוקטורירט היים פֿאַר אייער פאַרנעם, ריזיקאָ אַסעסמאַנץ, SoA, פּאָליטיקס, אינערלעכע אָדאַץ, פאַרוואַלטונג באריכטן און פֿאַרבעסערונג אַקציעס, בשעת עס פֿאַרבינדט זיך נאַטירלעך צו טיקאַץ, לאָגס און רעקאָרדס דזשענערייטאַד אין אייערע עקסיסטירנדיקע MSP מכשירים. יענע קאָמבינאַציע מאַכט עס פּשוטער צו מאַפּן אַנעקס A קאָנטראָלס צו פאַקטישע פּראָצעסן און צו האַלטן באַווייַזן אַרויף-צו-דאַטע צווישן אָדאַץ.
דורכפירן אייער ווייַטערע אויפזיכט אוידיט צוגרייטונג אין אַ דעדיקירטער סביבה ווי דאָס מאַכט עס אויך גרינגער צו פּראַקטיצירן. איר קענט דורכגיין דעם 30-טאָגיקן פּלאַן מיט אינטערעסירטע פּאַרטייען, נאָכפאָלגן בייַשפּיל געשיכטעס פון ריזיקירן צו קאָנטראָל צו רעקאָרדירן און קאָנטראָלירן אַז פּערמישאַנז און לינקס אַרבעטן פון אָנהייב צו סוף איידער דער אוידיטאָר קומט אָן. מיט דער צייט, שטיצט דער זעלביקער אַרבעטספּלאַץ אַנדערע זיכערהייט באדערפענישן ווי קונה דיו דילידזשאַנס, נאָך סטאַנדאַרדן און רעגולאַטאָרישע רעקווירעמענץ.
ווי ISMS.online רעדוצירט אויפזיכט אוידיט דרוק
פֿאַרשידענע ראָלעס אין אייער MSP פֿילן אויפֿזיכט דרוק אויף פֿאַרשידענע אופֿנים, און אַ געטיילטע ISMS העלפֿט יעדן פֿון זיי אויף אַ קאָנקרעטן, פּראַקטישן וועג. ווען יעדער קען זען דאָס זעלבע בילד פֿון ריזיקעס, קאָנטראָלן און באַווײַזן, ווערט די אוידיט אַ קאָאָרדינירטע מי אַנשטאָט אַ לעצט-מינוטיקע קאַמף.
אויב איר באַזיצט דעם ISMS, רעדוצירט ISMS.online שפּעט-נאַכטיקע באַווייז-זוכעניש דורך געבן אייך איין אָרט צו פאַרוואַלטן דעם 30-טאָגיקן פּלאַן, קאָרעקטיווע אַקציעס און אוידיט געשיכטע. אויב איר פירט אָפּעראַציעס, רעדוצירט עס דיסראַפּשאַן דורך צופּאַסן אוידיט צוגרייטונג מיט עקזיסטירנדיקע פּראָצעסן און מאַכן עס גרינגער צו פּלאַנירן אַרבעט אַרום סערוויס שפּיץ-צייטן. אויב איר האַנדלט מיט קונה בידס, ווערט ריפּיטיד אויפֿזיכט הצלחה געשטיצט דורך קלאָרע באַווייזן טייל פון אייער באַרויקונג געשיכטע אין טענדערס און רינואַלז.
וואָס צו ערוואַרטן פֿון אַן ISMS.online דעמאָ
א קורצע דעמא איז געווענליך גענוג צו זען ווי אייערע יעצטיגע דאקומענטאציע און מכשירים וואלטן זיך אריינגעפאסט אין א סטרוקטורירטן ISMS און וואו איר קענט באקומען א גלייכן ווערט. די ציל איז נישט צו איבערלאדן אייך מיט אייגנשאפטן, נאר צו ווייזן ווי א מער ארגאניזירטער צוגאנג קען שטיצן דעם 30-טאגיקן שפיל-בוך וואס ווערט דא באשריבן.
בעת א סעסיע, קענט איר אויספארשן ווי אזוי די פארנעם, ריזיקע, די SoA, אוידיטס און מענעדזשמענט רעצענזיעס זיצן צוזאמען, ווי אזוי באווייז רעגיסטערס פארבינדן זיך צו טיקעטס און לאגס אין אייערע עקזיסטירנדע פלאטפארמעס און ווי אזוי אויפגאבעס און דערמאנונגען האלטן יעדן אויף איין ליניע פאר די אויפזיכט דאטומען. איר קענט אויך דיסקוטירן ווי אזוי א 30-טאגיקער אויפזיכט צוגרייטונג ארבעטס-פלאך וואלט אויסגעזען פאר אייער ארגאניזאציע און ווי אזוי צו גיין פון פראיעקט-באזירטע קאמפלייענס צו קאנטינעווער, באווייז-געטריבענע פארזיכערונג געטריבן דורך ISMS.online.
אויב איר ווילט רעדוצירן אוידיט דרוק, באַשיצן אייער סערטיפיקאַט און געבן קאַסטאַמערז גרעסערע בטחון אין ווי זייער אינפֿאָרמאַציע ווערט געראטן, איז אָרגאַניזירן אַ קורצע דעמאַנסטראַציע אַ פּראַקטישער ווייטערדיקער שריט. דאָס איז אַ פּשוטער וועג צו זען צי אַ צענטראַלע ISMS אַרבעטספּלאַץ קען פֿאַרוואַנדלען אויפֿזיכט אוידיטס פֿון יערלעכע פֿײַער דרילס אין פֿאָרויסזאָגבארע, גוט געראטן טשעקפּוינטס פֿאַר אייער MSP, מיט ISMS.online ווי דער פּאַרטנער וואָס האַלט אַלץ אין איין אָרט.
ספר אַ דעמאָאָפֿט געשטעלטע פֿראגן
ווי איז אַן ISO 27001 אויפֿזיכט אוידיט אַנדערש פֿון אַ פֿולע סערטיפיקאַציע פֿאַר אַן MSP?
אַן ISO 27001 אויפזיכט אוידיט איז אַ פאָקוסירטע געזונט-קאָנטראָל אויף אייער לעבעדיקע ISMS, נישט אַ איבערחזרן פון אייער אָריגינעלן בויען-און-סערטיפיצירן פּראָיעקט.
פֿאַר אַ מענעדזשד סערוויס פּראַוויידער, זענען סטאַגע 1 און סטאַגע 2 סערטיפיקאַציע וועגן דיזיינינג און באַווייַזן דיין אינפֿאָרמאַציע זיכערהייט פאַרוואַלטונג סיסטעם פֿון קראַץ: מסכים זיין אויף די פאַרנעם, בויען פּאָליטיק, דעפינירן ריזיקאָ, אויפֿשטעלן אַנעקס A קאָנטראָלס און דעמאַנסטרירן אַז זיי אַרבעטן אַריבער די גאנצע סביבה. דער אָדיטאָר פֿאַרברענגט אַ פּלאַץ צייט צו קאָנטראָלירן אַז די יסודות עקזיסטירן און זענען גאַנץ גאַנץ.
אן אויפזיכט אוידיט נעמט אן אז די יסודות זענען שוין דא. די פראגע גייט פון "האסטו אויפגעבויט אן ISMS?" צו "איז דיין ISMS נאך גענוי, ארבעט און פארבעסערט זיך?" פאר אן MSP, מיינט דאס געווענליך אז דער אוידיטאר וועט:
- קאָנטראָלירט אַז אייער פאַרנעם שפּיגלט נאָך אָפּ די איצטיקע באַדינונגען, לאָקאַציעס, פּלאַטפאָרמעס און שליסל סאַפּלייערז
- באַשטעטיקן אַז ריזיקאָ אַסעסמאַנט, אינערלעכע קאָנטראָל און פאַרוואַלטונג איבערבליק פּאַסירן און פירן אַקציעס
- נאכפאלגן די נישט-קאנפארמיטיען און באאבאכטונגען פון לעצטן יאר
- מוסטערן הויך-אימפּאַקט קאָנטראָלן (אָפט אַרום אַקסעס, באַקאַפּ, מאָניטאָרינג, סאַפּלייער השגחה און אינצידענט האַנדלינג) ניצנדיק פריש יידעס - זאָגן
צוליב דעם, איז צוגרייטונג ווייניקער וועגן איבערשרייבן דאקומענטן און מער וועגן קוראטירן די לעצטע 6-12 חדשים פון עכטע טעטיקייט. איר קאנצענטרירט זיך אויף דערהיינטיקטן פארנעם און ריזיקע, אייער לעצטער אינערליכער אוידיט און מענעדזשמענט איבערבליק, און א קליינע צאל קלארע ביישפילן וואס ווייזן ווי איר פירט טאקע זיכערהייט פאר קאסטומערס היינט. אויב דאס מיינט יעצט צו זוכן דורך פארשידענע מכשירים און געטיילטע דרייווס יעדעס יאר, לאָזט איבערגיין צו א סטרוקטורירטע ISMS פלאטפארמע ווי ISMS.online אייך האלטן די יסודות און טעגליכע רעקארדס צוזאמען אזוי אז אויפזיכט פילט זיך ווי א רוטינע קאנטראל, נישט א צווייטע פולע סערטיפיקאציע.
וואָס טוישט דער חילוק אין ווי אַזוי איר גרייט זיך צו?
דער הויפּט פֿאַרשיבונג איז פֿון "פּראָיעקט מאָדע" צו "לעבנסציקל מאָדע".
אנשטאט צו באהאנדלען דעם אוידיט ווי א געשעעניש פאר וואס איר שטופט זיך אן, קאנצענטרירט איר זיך אויף:
- וואָס האָט זיך געביטן זינט דעם לעצטן באַזוך (סערוויסעס, קאַסטאַמערז, סאַפּלייערז, אינצידענטן)
- צי אייערע קערן פּראָצעסן (ריזיקע, אינערלעכע אוידיט, פאַרוואַלטונג איבערבליק, קאָרעקטיווע אַקשאַנז) לויפן לויטן פּלאַן
- צי אייערע אנעקס א קאנטראלן זענען קענטיק אין עכטע טיקעטס, לאגס און באשלוסן
יענע מיינדסעט רעדוצירט געוויינטלעך דרוק פֿאַר אייער מאַנשאַפֿט און מאַכט אַז אויפֿזיכט אוידיטן פֿילן זיך ווי אַ באַשטעטיקונג אַז אייער סיסטעם טוט זיין אַרבעט, אַנשטאָט אַ איבערחזר פֿון די שווערסטע טיילן פֿון דער ערשטער סערטיפֿיקאַציע.
ווי אָפט וועט אייער MSP זיך שטעלן אַנטקעגן ISO 27001 אויפֿזיכט־אויפֿזיכטן אין דעם דריי־יאָריקן ציקל?
רובֿ MSP'ס אויף ISO 27001 וועלן זען איין אויפזיכט אוידיט אַ יאָר פֿאַר צוויי יאָר, און דערנאָך אַ טיפֿערע ריסערטיפיקאַציע אין יאָר דריי.
ווען איר סערטיפיצירט זיך ערשט, ווערט אייער ISO 27001 סערטיפיקאט געווענליך ארויסגעגעבן מיט א דריי-יעריגע גילטיקייט-פעריאד. כדי עס זאל האלטן גילטיק, שטימט איר צו אן אויפזיכט-פלאן מיט אייער אויסגעקליבענער סערטיפיקאציע-ארגאניזאציע. א געווענליכער מוסטער זעט אויס אזוי:
- יאָר קסנומקס: אויפזיכט אוידיט האט זיך פאקוסירט אויף ענדערונגען, קערן פראצעסן און א מוסטער פון העכער-ריזיקירטע קאנטראלן
- יאָר קסנומקס: צווייטע אויפזיכט אוידיט מיט ענלעכע ברייטקייט, פּלוס נענטערע אויפמערקזאמקייט צו איבערחזרנדיקע טעמעס אדער פראבלעמען
- יאָר קסנומקס: ווידער-סערטיפיצירן אויספארשונג וואס פילט זיך נענטער צו אן ערשטן שטאפל 2 אין טיפקייט, איידער דער נעקסטער דריי-יעריגער ציקל הייבט זיך אן
פֿאַר אַן MSP מיט קאָנסטאַנטע ענדערונגען אין קאַסטאַמערז, פּלאַטפאָרמעס און סאַפּלייערז, איז דער פּראַקטישער ריזיקע נישט "וועט דער אוידיטאָר אָנקומען?", נאָר "וועלן מיר נאָר געדענקען דעם דאַטע ווען די באַשטעטיקונג אימעיל לאַנדט?". די פּשוטסטע פֿאַרטיידיקונג איז צו באַהאַנדלען אוידיט דאַטעס אויף דעם זעלבן אופן ווי מען באַהאַנדלט גרויסע מעלדונגען און קאָנטראַקט באַנייַונגען: לייגט זיי אַרײַן אין דעם זעלבן קאַלענדאַר, מיט קלאָרע אינערלעכע מיילשטיינער.
אזוי שנעל ווי איר ווייסט אייער אומגעפערן חודש פאר יעדן באזוך, קענט איר ארבעטן צוריק. למשל, איר קענט דורכפירן אן אינערליכע אויספארשונג דריי ביז פיר חדשים פריער, א מענעדזשמענט איבערבליק צוויי חדשים פריער, און צילגעריכטע קאנטראל טשעקס 30-14 טעג פריער כדי אז אייער באווייז זאל זיין פריש. אויב איר ווייסט נישט אייער יעצטיגן פלאן, קען אייער סערטיפיקאציע קערפער געווענליך צושטעלן די געפלאנטע דאטומען און פענצטער אין איין אימעיל. אסאך MSP'ס שפיגלען דאן אפ דעם פלאן אינעווייניג אין א צענטראלן ISMS ארבעטס-פלאץ ווי ISMS.online, וואו קאלענדארן, אויפגאבעס און באווייזן וואוינען צוזאמען, אזוי אז עס זענען ווייניגער איבערראשונגען און ווייניגער לעצטע-מינוט גערויש ווען די אויפזיכט פענצטער עפנט זיך.
וואָס זענען די וויכטיקסטע אַקציעס פֿאַר אַן MSP אין די ערשטע 7 טעג נאָך אַ סורוועילאַנס אוידיט דאַטע איז באַשטימט?
אין דער ערשטער וואָך, איז אייער ווערטפולסטער שריט צו קאָנטראָלירן אַז דער "סקעלעט" פון אייער ISMS שטימט נאָך מיט ווי אייער MSP לויפט טאַקע היינט, איידער איר פאַרלירט זיך אין יחידישע טיקעטן און לאָגס.
יענע סקעלעט באדעקט געוויינטלעך:
- פאַרנעם און גרענעצן: פון די ISMS (סערוויסעס, לאקאציעס, סיסטעמען, סאַפּלייערז, קונה טיפּן)
- איצטיקע ריזיקע אפשאצונג און באהאנדלונג פלאן: , אריינגערעכנט אלע גרויסע ענדערונגען אין די לעצטע יאר
- דערקלערונג פון אַפּליקאַביליטי: וואָס פּאַסט צו דעם קאָנטראָל סעט און סטאַנדאַרט אויסגאַבע וואָס איר נוצט טאַקע
- לעצטע אינערלעכע אוידיט טעטיקייט: , רעזולטאַטן און נאָכפֿאָלג־אַקציעס
- לעצטער פאַרוואַלטונג איבערבליק: , באַשלוסן און באַשטימטע אייגנטימער
א פּראַקטישער וועג צו אָנהייבן איז צו לייענען אייער פאַרנעם און ריזיקאָ רעגיסטער ווי איר וואָלט געווען אַ נײַ אָנגעשטעלטער אינזשעניר אָדער אַקאַונט מענעדזשער. וואָלטן זיי דערקענט די סערוויסעס, פּלאַטפאָרמעס און קונה מוסטערן וואָס זענען דאָרט באַשריבן, אָדער וואָלט עס זיך געפילט ווי אַ ווערסיע הינטער דער רעאַליטעט? יעדע גרויסע ענדערונגען - ווי אַ נײַע וואָלקן פּלאַטפאָרמע, אַ גרויסער קליענט געווינס, אַ דאַטן צענטער אַריבערפֿיר אָדער מער אַוטסאָרסינג - זאָל זײַן קענטיק אין אייער ריזיקאָ אַסעסמענט און באַהאַנדלונג דיסיזשאַנז.
דערנאך, באַשטעטיקט אַז אייער סטעיטמענט פון אַפּליקאַביליטי שטימט מיט דער ווערסיע פון ISO 27001 וואָס אייער סערטיפיקאַט רעפערטירט און שפיגלט אָפּ ווי איר טאַקע פאַרוואַלטעט אַקסעס קאָנטראָל, באַקאַפּ, לאָגינג, סאַפּלייער אויפזיכט און אינצידענט רעספּאָנס. דערנאָך קאָנטראָלירט די צייט און רעזולטאַטן פון אייער לעצטער אינערלעכער אוידיט און פאַרוואַלטונג איבערבליק, און באַצאָלט גרויסע אויפמערקזאַמקייט צו אָפֿענע אַקציעס און ווער עס איז דער אייגנטימער פון זיי.
צום סוף, ברענגט די ריכטיגע מענטשן צוזאמען פאר א קורצן רוף: ISMS אייגענטימער, אפעראציעס, סערוויס דעסק פירערשאפט, HR און עמעצער פון פינאנץ אדער לעגאלע ארבעט. ניצט יענע שמועס צו מסכים זיין וואו איר זענט שטארקסט, וואו עס זענען באקאנטע לעכער און וואס דער אוידיטאר וועט מסתמא אויספארשן. אויב אייער ISMS אינהאלט, ריזיקעס, אקציעס און זיצונג רעקארדס געפינען זיך אין איין ארגאניזירטער פלאטפארמע ווי ISMS.online, ווערט יענע ערשטע-וואך איבערבליק א סטרוקטורירטע דורכגאנג אנשטאט א זוכעניש דורך געטיילטע דרייווס און יחידישע אינבאקסן.
ווי קען אַן MSP ווײַזן שטאַרקע באַווײַזן פֿון אַנעקס A 5–8 אָן דערטרינקען דאָס מאַנשאַפֿט אין עקסטרע אַרבעט?
איר קענט פאָרשטעלן אַנעקס א 5–8 איבערצייגנדיק דורך בויען אַ פּאָר קלאָרע, ענד-צו-ענד מעשיות פון פאַקטישער אַרבעט וואָס אייער MSP טוט שוין, אַנשטאָט צו דערפינדן ספּעציעלע "פֿאַר אוידיט" פּאַפּירן.
די פֿיר סעקציעס דעקן:
- A.5 אָרגאַניזאַציאָנעלע קאָנטראָלן: – ווי אזוי איר פירט זיכערהייט (פאליטיקס, ריזיקע באשלוסן, סאַפּלייער אויפזיכט, ענדערונג פאָרומס)
- A.6 מענטשן קאָנטראָלן: – ווי איר וועטערירט, באָרדירט, טרענירט און אָפבאָרדירט שטאַב און קאָנטראַקטאָרן
- A.7 פיזישע קאנטראלן: – ווי איר באַשיצט אָפֿיסעס, דאַטן־צענטערס און עקוויפּמענט וואָס האַנדלט מיט קליענט־דאַטן
- A.8 טעכנאלאגישע קאנטראלן: – ווי איר פאַרוואַלטעט צוטריט, ענדערונגען, באַקאַפּס, מאָניטאָרינג, וואַלנעראַביליטיז און אינצידענטן
א פּראַקטישע טאַקטיק איז צו אויסקלײַבן צוויי אָדער דרײַ עכטע געשעענישן פֿון די לעצטע 6-12 חדשים וואָס זײַנען וויכטיק פֿאַר קאָנסומערן, ווי צום בײַשפּיל:
- אנשטעלן א נייעם געראטן קונה מיט סענסיטיווע ארבעטסלאסטן
- מיגרירן צו, אדער אויסברייטערן, א וואָלקן פּלאַטפאָרמע אדער דאַטן צענטער
- רעאַגירן צו אַ זיכערהייט אינצידענט אָדער אַ גרויסן סערוויס אויספאַל
פֿאַר יעדן געשעעניש, זאַמלט די בילעטן, באַשטעטיקונגען, לאָגס, באַריכטן און זיצונג נאָטיצן וואָס ווייַזן ווי איר האָט עס געהאַנדלט פֿון אָנהייב ביז סוף. איין קונה אָנבאָאַרדינג, למשל, קען נאַטירלעך אַרייַננעמען:
- ריזיקע אפשאצונג איינטראגעס און באהאנדלונג באשלוסן (A.5)
- טרענירונג אדער בריפינג רעקארדס פארן טיעם וואס האנדלט מיט יענעם קאסטומער (A.6)
- קאנטראל איבער צוטריט פאר יעדע לאקאציע וואס האלט זייערע דאטן (A.7)
- צוטריט פּראַוויזשאַנינג, באַקאַפּ וועראַפאַקיישאַן, מאָניטאָרינג און ענדערונג רעקאָרדס (A.8)
אוידיטארן טענד צו אָפּשאַצן דעם צוגאַנג ווייַל עס ווייזט קאָנטראָלן וואָס אַרבעטן צוזאַמען אין אַ רעאַליסטישן סצענאַר אַנשטאָט ווי אפגעזונדערטע מוסטערן. כּדי עס צו מאַכן סאַסטיינאַבאַל, האַלט אַ פּשוט קאָנטראָל-צו-באַווייַז מאַפּע וואָס ליסט, פֿאַר יעדן קאָנטראָל, די נאָרמאַלע מקורים פון באַווייַז (PSA, RMM, SIEM, HR, דאָקומענטאַציע) און אַ בייַשפּיל רעקאָרד. ניצנדיק אַן ISMS פּלאַטפאָרמע ווי ISMS.online, קענט איר צוטשעפּען די מאַפּינגז און אַ קליין נומער פון קוראַטירטע בייַשפּילן גלייך צו יעדן קאָנטראָל, אַזוי, אין דער צייט פון אויפזיכט, נוצט איר ווידער באַקאַנטע מעשיות אַנשטאָט צו אָנהייבן אַ נייע באַווייַז זוכעניש פון אָנהייב.
וועלכע דאקומענטן און רעקארדס זאָל אַן MSP האָבן גרייט פֿאַר ISO 27001 אויפֿזיכט, און ווי קען מען זיי אָרגאַניזירן אַזוי אַז די אויספֿאָרשונגען זאָלן בלייבן רואיק?
איר דאַרפט אַ קליין, גוט פֿאַרבונדן פּעקל פֿון פֿאָרמעלע ISMS דאָקומענטן און אָפּעראַציאָנעלע רעקאָרדס וואָס מאַכן עס גרינג פֿאַר אַן אוידיטאָר צו נאָכפֿאָלגן דעם שפּור פֿון פּאָליטיק צו פּראַקטיק.
אויף דער פארמאלער זייט, וועלן רוב MSP'ס האבן:
- א קראַנט ISMS פאַרנעם און גרענעצן
- An אינפֿאָרמאַציע זיכערהייט פּאָליטיק און א קורצע סעט פון שטיצנדיקע פאליסיס (צוטריט, אקצעפטירבארע באנוץ, אינצידענט פארוואלטונג, א.א.וו.)
- א דעפינירטע ריזיקאָ אַסעסמאַנט מעטאָד, א לעבעדיגע ריזיקע רעגיסטער און אן אפ-טו-דייט באהאנדלונג פלאן
- A דערקלערונג פון אָנווענדלעך וואָס איז אין לויט מיט ISO 27001 און אייערע אימפּלעמענטירטע קאָנטראָלן
- אינערלעכע אוידיט: פלענער, באריכטן און נאכפאלג־אקציעס
- פאַרוואַלטונג איבערבליק: פּראָטאָקאָלן און באַשלוסן
- A קאָרעקטיווע אַקציע און פֿאַרבעסערונג לאָג ווײַזנדיק פּראָבלעמען, אייגנטימער און סטאַטוס
אויף דער אפעראציאנעלער זייט, ווייזט איר געווענליך ביישפילן אנשטאט אלעס וואס איר האט:
- סערוויס טיקעטס פֿאַר אינצידענטן, ענדערונגען, צוטריט ריקוועסץ און פּראָבלעם פאַרוואַלטונג
- סיסטעם לאָגס און באַריכטן פֿאַר אָטענטאַקיישאַן, מאָניטאָרינג, באַקאַפּ און וואַלנעראַביליטי סקאַנינג
- HR רעקאָרדס פֿאַר אָנקומער, איבערגעבערס און פֿאַרלאָזער, פּלוס פֿאַרענדיקונג פֿון זיכערהייט וויסיקייט טריינינג
- סאַפּלייער עוואַלואַציעס, אָנבאָרדינג טשעקס און קאָנטראַקט באריכטן פֿאַר קריטישע און וואָלקן ווענדאָרס
כדי צו האַלטן דעם פּראָצעס רואיק, פֿאַרבינדט די זאַכן צוזאַמען אין אַ באַווײַז־רעגיסטער, אַזוי אַז יעדער וואָס איז באַטייליקט קען שנעל ענטפֿערן "וואו ווײַזן מיר דאָס?". אַ פּשוטע סטרוקטור איז אָפֿט גענוג:
- קלאָז אָדער אַנעקס א קאָנטראָל רעפֿערענץ
- א פשוטע טעמע, ווי למשל "אדמיניסטראטאר אפבאארדינג" אדער "קליענט בעקאפ וועריפיקאציע"
- סיסטעם אדער רעפּאָזיטאָרי (PSA, RMM, SIEM, HR, ISMS, טעקע דרך)
- בייַשפּיל רעקאָרד אידענטיפיקאַציעס אָדער באַריכט נעמען
- פאַראַנטוואָרטלעכע ראָלע אָדער מאַנשאַפֿט
אויב איר האַלט דעם רעגיסטער אין אַ צענטראַלן ISMS אַרבעטספּלאַץ ווי ISMS.online, קען יעדע קלאָז און קאָנטראָל גלייך פֿאַרבינדן צו אירע דאָקומענטן און בייַשפּיל רעקאָרדס. דאָס מיינט, ווען אייער אוידיטאָר בעט צו זען ווי איר באַהאַנדלט אַ ספּעציפֿישן געביט, קענט איר גלייך דאָרטן נאַוויגירן, אַנשטאָט צו פּויזירן די סעסיע בשעת עמעצער זוכט אין טעקעס און אימעילס. ווי רואיקער און מער פֿאָרויסזאָגבאר די דערפֿאַרונג פֿילט זיך פֿאַר אייער מאַנשאַפֿט, אַלץ גרינגער איז עס צו באַהאַנדלען אויפֿזיכט ווי אַ רוטינע טייל פֿון פֿירן אַ געראטן זיכערהייט סערוויס.
ווי זאָל אַן MSP פאַרוואַלטן פריערדיקע נישט-קאָנפאָרמיטעטן און באַקאַנטע גאַפּס ווען בלויז 30 טעג בלייבן איידער אַן אויפֿזיכט אוידיט?
מיט א חודש פארבליבן, איז אייער בעסטע סטראטעגיע צו ווייזן דיסציפלינירטע קאנטראל איבער באקאנטע פראבלעמען, נישט צו מאכן זיך ווי איר האט נישט קיין.
אָנהייבן מיטן צוזאַמענשטעלן איין קאָנסאָלידירטע מיינונג פון:
- נישט-קאנפארמיטיעס און באמערקונגען פון די לעצטע עקסטערנע אוידיט
- רעזולטאַטן פון לעצטע אינערלעכע אויספאָרשונגען אָדער דורכדרינגונג טעסץ
- וויכטיקע ריזיקעס און פראבלעמען וואס זענען ארויסגעוויזן געווארן אין אייערע מענעדזשמענט באריכטן
פֿאַר יעדן זאַך, טשעק דריי זאַכן:
- סטאַטוס: איז עס פארמאכט, אין פראגרעס אדער נישט אנגעהויבן?
- זאָגן: אויב איר זאגט אז עס איז פארמאכט, קענט איר ווייזן די ענדערונג וואס האט עס געלייזט?
- אייגנטומערשאפט און צייט: איז דא א באשטימטער אייגענטימער, א רעאליסטישע דעדליין און זעבארקייט אויפן ריכטיגן לעוועל פון מענעדזשמענט?
וואו די אקציעס זענען נאך אין גאנג, באשרייבט קלאר וואס איז ביז יעצט געווארן דורכגעפירט, וואס איז נאך פארבליבן און וואספארא צייטווייליגע מיטלען איר האט אין פלאץ צו רעדוצירן ריזיקע בשעת איר ענדיגט די ארבעט. עס איז נוצלעך צו מארקירן וועלכע אפענע זאכן רעפרעזענטירן דעם העכסטן ריזיקע פאר קאסטומערס אדער פאר אייער אייגענעם ביזנעס און צו ווייזן ווי די פירערשאפט איז געווארן אינפארמירט און באטייליקט אין זיי פריאריטיזירן.
רובֿ אוידיטאָרן ווייסן אַז מענעדזשד סערוויס סביבות רירן זיך שנעל און אַז פּראָבלעמען זענען אומפֿאַרמיידלעך. וואָס זאָרגט זיי איז ווען די זעלבע פּראָבלעם ערשיינט ווידער יאָר נאָך יאָר, ווען דעדליינז פֿאַרשווינדן אָן דערקלערונג אָדער ווען פֿאַרשידענע לאָגס דערציילן קאָנפליקטירנדיקע מעשיות וועגן וואָס עס טוט זיך. אויב אייער קאָרעקטיווע אַקציע לאָג, ריזיקאָ רעגיסטער און מענעדזשמענט אָפּשאַצונג פּראָטאָקאָלן שטימען אַלע אין איינקלאַנג, זען זיי אַ מענעדזשד פֿאַרבעסערונג פּראָצעס אַנשטאָט אַן אַד-האָק רעאַקציע.
ניצן אַ פּלאַטפאָרמע ווי ISMS.online צו האַלטן אייערע קאָרעקטיווע אַקציעס, ריזיקעס און פאַרוואַלטונג אָפּשאַצונג רעזולטאַטן אין איין אָרט מאכט דאָס גרינגער. איר קענט ווייַזן דעם אַודיטאָר ווי זאכן ווערן אויפגעהויבן, פּריאָריטיזירט, אַסיינד, טראַקעד און געשלאָסן, און איר קענט ווייַזן אַז פירערשאַפט זעט און דיסקוטירט די מערסט וויכטיקע גאַפּס. דאָס טורנס די לעצטע 30 טעג איידער סורוועילאַנס אין אַ רייניקונג און דערציילונג געניטונג וועגן פאַרוואַלטעט ריזיקע, אַנשטאָט אַ ווילד פּרוּוו צו פאַרריכטן אַלץ אין אַ פּאָר וואָכן.
