Prestatu zure ISO 27001 auditoria A eranskina eta ebidentzia aurrean dituzula.
ISKS bat ezartzen edo mantentzen duenarentzat: HodeiShield-ek A eranskineko 93 kontrolak puntuatzen ditu (2022ko edizioa), bakoitzaren ebidentzia biltzen du eta ziurtatze-auditoriaren aurretik zer falta den esaten dizu.
- Hodeitek-en ISKS-a ISO/IEC 27001:2023 arabera ziurtatuta dago (34/5700/26/10159 zk.); bere irismenak HodeiShield SaaS-a sostengatzen duten sistemak barne hartzen ditu. Ez da produktu-ziurtagiria
- Datuak EBn (OVH, Gravelines); Cloudflare (AEB) eskaeraren bidean
Zer eskatzen duen ISO 27001-ek, laburki
Arauak informazioaren segurtasuna kudeatzeko sistema baten eskakizunak ezartzen ditu. A eranskina kontrolen erreferentzia-katalogoa da, ez osorik bete beharreko zerrenda.
Laburpen informatiboa, ez aholkularitza. Ziurtagiria zure irismenaren, arriskuei buruzko zure erabakien eta ziurtatze-erakundearen irizpidearen mende dago.
- Testuingurua, irismena eta lidergoa
- Erakundeak bere testuingurua, interesdunak eta ISKS-aren irismena zehazten ditu, eta zuzendaritzak politika eta eginkizunak finkatzen ditu (4. eta 5. klausulak).
- Arriskuak ebaluatu eta tratatu
- Arriskuak ebaluatzen dira, tratamendua aukeratzen da, beharrezko kontrolak A eranskinarekin alderatzen dira eta kontrol bakoitza sartzea edo kanpoan uztea Aplikagarritasun-adierazpenean justifikatzen da (6.1.2 eta 6.1.3 klausulak).
- Ustiatu, neurtu eta auditatu
- ISKS-a informazio dokumentatuarekin ustiatzen da, bere errendimendua neurtzen da eta barne-auditoriak eta zuzendaritzaren berrikuspenak egiten dira (7tik 9ra bitarteko klausulak).
- Etengabe hobetu
- Ez-conformitateak zuzentzen dira eta sistema etengabe hobetzen da (10. klausula).
A eranskineko lau gaiak eta HodeiShield non sartzen den
2022ko edizioko A eranskinak 93 kontrol biltzen ditu lau gaitan. Plataformak guztiak kontrol-zerrenda gisa jasotzen ditu, baina horietako zati batean bakarrik lan egiten du benetan.
A.5
Antolakuntzakoak (37)
Hornitzaileek, gertakariek, politikek eta arriskuek modulu propioa dute; gainerakoa kontrol-zerrenda gisa jarraitzen da, zure ebidentziarekin.
PartzialaA.6
Pertsonak (8)
Hautaketa, sentsibilizazioa eta konfidentzialtasun-akordioak plataformatik kanpo gertatzen dira. Haien egoera erregistratu eta ebidentzia igo dezakezu.
Ez du estaltzenA.7
Fisikoak (14)
Instalazioen eta ekipoen segurtasuna plataformatik kanpo dago. Haien egoera erregistratu eta ebidentzia igo dezakezu.
Ez du estaltzenA.8
Teknologikoak (34)
Eguneroko CVEak eta osagai bakoitzeko alertak SBOMetik abiatuta; endpoint agenteak egiaztapenak ematen ditu ebidentzia gisa.
Partziala
ISO 27001-en eskakizun bakoitzetik HodeiShield-en gaitasun batera
Zikloaren fasearekin eta irismenarekin. Plataformak bermatzen duena bakarrik.
Zuzena: plataformak egiten du. Partziala: ebidentzia edo zati bat ematen du, gainerakoa zurea da. Ez du estaltzen: HodeiShield-etik kanpo geratzen da.
- Betebeharra:
Erakundearen testuingurua, interesdunak eta ISKS-aren irismena
4. klausula
Zer egiten duen HodeiShield-ek:HodeiShield-etik kanpo. Irismena eta interesdunak zehaztea zuzendaritzaren lana da.
FaseaZikloaz kanpoIrismenaEz du estaltzen - Betebeharra:
Informazioaren segurtasuneko arriskuak ebaluatu
6.1.2 klausula
Zer egiten duen HodeiShield-ek:Arrisku-erregistroa, 5×5 matrize inherente eta hondarrekoarekin eta adierazitako arrisku-gogoarekin. Hornitzaileentzat, FAIR ALE euroetan, ziurgabetasun-banda simulatuarekin (kalibratu gabe). Ebaluazio-irizpideak eta -metodologia zuk zehazten dituzu.
Dokumentazioa · Arrisku Motorra (fitxa berri batean irekitzen da)FaseaPREDICTIrismenaPartziala - Betebeharra:
Arriskuak tratatu eta Aplikagarritasun-adierazpena landu
6.1.3 klausula
Zer egiten duen HodeiShield-ek:Arrisku bakoitzak bere tratamendua eta oharrak ditu. A eranskineko kontrol bat «ez aplikagarri» gisa marka daiteke, arrazoia oharretan idatzita, eta puntuazioan kontatzeari uzten dio. HodeiShield-ek ez du Aplikagarritasun-adierazpena dokumentu gisa sortzen.
Dokumentazioa · Betetzea (fitxa berri batean irekitzen da)FaseaZikloaz kanpoIrismenaPartziala - Betebeharra:
A eranskineko kontrolak ezarri eta jarraitu
A eranskina (93)
Zer egiten duen HodeiShield-ek:2022ko edizioko 93 kontrolen kontrol-zerrenda: kontrol bakoitzaren egoera, arduraduna, epea, oharrak eta ebidentzia. Puntuazioa ezarritako kontrolak aplikagarriak diren kontrolen gainean da.
Demoa · ISO 27001 ikuspegiaFaseaSENSEIrismenaZuzena - Betebeharra:
Politikak eta informazio dokumentatua
A.5.1; 7.5 klausula
Zer egiten duen HodeiShield-ek:Arduradun, balioztatze-data eta egoera duen ebidentzia, zuk igo edo estekatzen duzuna; iraungitakoak kontatzeari uzten dio. Bertsioak eta aldaketa bakoitzaren erregistroa dituen politika-liburutegia. Politiken edukia zurea da.
Dokumentazioa · Betetzea (fitxa berri batean irekitzen da)FaseaSENSEIrismenaPartziala - Betebeharra:
Hornitzaileekiko harremanetako eta IKT hornidura-kateko segurtasuna
A.5.19tik A.5.22ra
Zer egiten duen HodeiShield-ek:Tokenen bidezko galdetegiak gogorarazpenekin, kanpo-eskaneatze periodikoa, eguneroko CVEak eta hornitzaileen SBOMak. Kontratuaren klausulak eta zerbitzuaren jarraipena zureak dira.
Dokumentazioa · Arrisku Motorra (fitxa berri batean irekitzen da)FaseaSENSEPREDICTIrismenaPartziala - Betebeharra:
Informazioaren segurtasuneko gertakarien kudeaketa
A.5.24tik A.5.28ra
Zer egiten duen HodeiShield-ek:Gertakarien erregistro bakarra; gertakari bakoitza behin sailkatzen da eta ebidentzia erantsita dauka. Erantzun-prozedurak eta ikasitako ikasgaiak zuk dokumentatzen dituzu.
Demoa · gertakarien erregistroaFaseaZikloaz kanpoIrismenaPartziala - Betebeharra:
Zaurgarritasun teknikoen kudeaketa
A.8.8
Zer egiten duen HodeiShield-ek:CVEen eguneroko sinkronizazioa eta osagai bakoitzeko alertak zuk txertatzen dituzun SBOMen gainean. Endpoint agenteak zikloka erreportatzen du eta bere egiaztapenak ez dira betetze-puntuazioan sartzen.
Dokumentazioa · SBOM katea, CVE eta alerta (fitxa berri batean irekitzen da)FaseaSENSEIrismenaPartziala - Betebeharra:
Jarraipena, neurketa eta ebidentzia auditorearentzat edo bezero batentzat
9.1 klausula
Zer egiten duen HodeiShield-ek:Esparru bakoitzeko egoera eta ISO 27001 bandarekin ATTEST ziurtagiria, ML-DSA-65-ekin sinatua eta konexiorik gabe egiaztagarria. Osotasuna, jatorria eta unea frogatzen ditu, ez egia izatea.
Dokumentazioa · ATTEST egiaztatzailea (fitxa berri batean irekitzen da)FaseaATTESTIrismenaPartziala - Betebeharra:
Barne-auditoria eta zuzendaritzaren berrikuspena
9.2 eta 9.3 klausulak
Zer egiten duen HodeiShield-ek:HodeiShield-etik kanpo. Puntuazioak eta ebidentziak sarrera izan daitezke, baina zuk egiten eta dokumentatzen dituzu.
FaseaZikloaz kanpoIrismenaEz du estaltzen
Zer ez duen egiten HodeiShield-ek ISO 27001-ekin
Zer geratzen den kanpoan, demoaren aurretik esanda.
Ez du zure erakundea ziurtatzen
ISO/IEC 27001 ziurtagiria erakunde akreditatu batek ematen du, auditoria baten ondoren. HodeiShield-ek zure egoera neurtzen du zuk ematen duzun ebidentziarekin eta ez du auditoria hori ordezkatzen. Hodeitek SL-ren ISKS ziurtatua enpresarena da eta ez da zure erakundera transferitzen.
Ez du Aplikagarritasun-adierazpena sortzen
Kontrol bat ez aplikagarri gisa marka dezakezu eta zergatik idatzi, baina plataformak ez du dokumentu hori sortzen, ezta zein kontrol dagozkizun erabaki ere.
Ez ditu kudeaketa-sistemaren klausulak modelatzen
Katalogoa A eranskinekoa da. Testuinguruak, helburuek, gaitasunak, barne-auditoriak eta zuzendaritzaren berrikuspenak ez dute modulu propiorik; arrisku-erregistroak eta ebidentziak elika ditzakete.
Ebidentzia ez da bere kabuz biltzen
Eskuz igotzen edo estekatzen da. Hodeiko biltzaileak planifikatuta daude eta gaur ez dira existitzen, eta endpoint agenteak zikloka erreportatzen du, ez denbora errealean.
ISO 27001-i buruzko galderak
Irismen zehatzeko erantzunak.
HodeiShield-ek ISO 27001 ziurtagiria ematen al dit?
Ez. Ziurtagiria erakunde akreditatu batek ematen du, zure kudeaketa-sistema auditatu ondoren. HodeiShield-ek zure egoera neurtzen du zuk ematen duzun ebidentziarekin eta falta dena adierazten du; auditoriarako prest egotea zure ebidentziaren eta zure erabakien mende dago.
Nola puntuatzen da A eranskina?
93 kontrol bakoitzak zuk finkatzen duzun egoera du. Puntuazioa ezarritako kontrolen ehunekoa da, aplikagarrien gainean. Ebaluatu gabeko kontrol batek ez du puntuazioa igotzen: «ez aplikagarri» bakarrik ateratzen da kalkulutik. Autoebaluazioa da, ez auditoria.
Aplikagarritasun-adierazpena sortzen al du?
Ez. Kontrolak ez aplikagarri gisa marka ditzakezu eta arrazoia idatzi, baina Aplikagarritasun-adierazpena dokumentu gisa, kontrol bakoitza sartzearen edo kanpoan uztearen justifikazioarekin, zuk idazten duzu.
Ebidentzia bera balio al du ENS edo NIS2-rako?
Crosswalk-ak ISO 27001-eko kontrolak ENS, NIS2, SOC 2, ISO 42001 eta NIST CSF 2.0-ko baliokideekin lotzen ditu, gauza bera bitan ebidentziatu behar ez izateko. Baliokidetasun batek lana gidatzen du, baina ez du ordezkatzen arau bakoitzeko auditorearen irizpidea.
Arauaren zein edizioarekin lan egiten du?
ISO/IEC 27001:2022rekin. Katalogoak bere A eranskineko 93 kontrolak jasotzen ditu: A.5.1etik A.5.37ra, A.6.1etik A.6.8ra, A.7.1etik A.7.14ra eta A.8.1etik A.8.34ra.
Lotutako irtenbideak
Hutsuneak ixteko laguntza behar duzu?
HodeiShield-ek non dauden erakusten dizu. Ixteko talde bat behar baduzu, Hodeitek-ek gobernantza, arrisku eta betetze aholkularitza eskaintzen du.
MSSP zara? Partner programa
Egin A eranskinaren ibilbidea zure ebidentzia aurrean duzula
Demoan aplikatzen zaizkizun kontrolak markatzen ditugu eta ikusten dugu zer ebidentzia daukazun jada, zein iraungitzen den eta zer falta den auditoriaren aurretik.
Konpromisorik gabe. Adibide-datuak.