Certificare ISO 27001 pentru firme IT, SaaS și servicii gestionate

Definește serviciile pe care vrei să le certifici

O firmă IT poate dezvolta aplicații, administra infrastructură, găzdui servicii sau oferi suport. Pentru ISO 27001, primul pas este să delimitezi activitățile și informațiile care intră în sistemul de management.

Un certificat cu domeniu pentru dezvoltare software nu descrie automat operarea unui centru de date. La fel, o firmă care integrează un serviciu cloud nu controlează toate procesele furnizorului cloud.

Descrie rolul firmei tale, punctele de lucru și dependențele importante. Dacă participi la o licitație, compară domeniul urmărit cu serviciul ofertat și cu cerințele din fișa de date.

Ce urmărește ISO 27001 în practică

Standardul privește confidențialitatea, integritatea și disponibilitatea informației. În termeni concreți: cine poate vedea datele, cum previi modificările neautorizate și cum menții accesul necesar activității.

Pentru un furnizor SaaS, pot conta accesul la producție, gestionarea conturilor, modificările aplicației și incidentele. Pentru servicii gestionate, pot conta accesul tehnicienilor la sistemele clienților și separarea responsabilităților.

Sistemul pornește de la riscuri și controale potrivite. Nu înseamnă că toate firmele trebuie să aplice identic fiecare măsură și nici că un certificat înlocuiește testarea tehnică a aplicațiilor.

O politică scrisă fără aplicare practică nu arată singură un sistem funcțional. Pregătește informații despre modul real de lucru.

GDPR și NIS2: legături utile, nu echivalență

ISO 27001 poate sprijini organizarea măsurilor de securitate, a responsabilităților și a gestionării incidentelor. Aceste procese pot fi relevante și în contextul datelor personale sau al obligațiilor NIS2.

Certificarea nu produce automat conformitate cu GDPR. Temeiurile prelucrării, informarea persoanelor, contractele și drepturile trebuie evaluate separat.

Nici obligațiile NIS2 nu sunt rezolvate automat prin certificat. Aplicabilitatea și cerințele se analizează în raport cu rolul firmei și legislația relevantă. Nu prezenta certificatul drept înlocuitor al unei analize juridice sau al măsurilor tehnice cerute.

Pentru soluții AI, poți analiza separat ISO 42001, care privește managementul inteligenței artificiale, nu securitatea întregii infrastructuri.

EUROCERT privat sau IAF pentru licitația IT

ISO 27001 este disponibil în ambele variante. EUROCERT este privat, neacreditat și non-IAF, cu un cost mai mic. Este suficient pentru majoritatea licitațiilor care cer numai certificat ISO 27001, fără acreditare.

IAF, echivalent RENAR, este emis de un organism de certificare acreditat de un organism de acreditare membru IAF MLA. Este potrivit pentru toate tipurile de licitații, inclusiv cele cu cerință de acreditare.

Dacă apar „RENAR”, „acreditat”, „organism de certificare acreditat” sau „sau echivalent”, alegi IAF. Dacă documentația cere doar certificat ISO, EUROCERT este suficient.

Trimite-ne gratuit paragraful integral și eventualele clarificări. Nu promitem acceptare garantată; domeniul, valabilitatea și condițiile procedurii trebuie respectate. Vezi RENAR sau echivalent.

Ce documente pregătești

Începe cu certificatul constatator ONRC, facturi relevante și descrierea serviciilor. Pot fi cerute informații despre activele importante, riscuri, responsabilități și controalele aplicate.

În funcție de domeniu, pot fi relevante:

• reguli de acordare și retragere a accesului;
• gestionarea schimbărilor și a incidentelor;
• relația cu furnizorii cloud și subcontractanții;
• copii de siguranță și verificarea recuperării;
• instruirea persoanelor care folosesc informații sensibile.

Lista exactă apare pe pagina certificării. Nu trimite parole, chei private, tokenuri de acces sau baze de date ale clienților. Pregătește dovezi relevante și elimină informațiile sensibile inutile.

Dacă un document nu există în forma solicitată, explică ce proces și ce evidențe folosești. Nu crea dovezi fictive doar pentru a completa o listă.

Pentru o dovadă tehnică, poate fi suficientă o descriere sau un extras relevant, în funcție de solicitarea evaluatorului. Nu trimite automat capturi care expun adrese interne, date ale utilizatorilor ori secrete de acces. Păstrează informațiile necesare pentru a înțelege controlul și explică ce ai eliminat. O documentare atentă permite verificarea procesului fără să transforme pregătirea dosarului într-o nouă sursă de risc informațional.

Diferența față de ISO 20000-1 și ISO 22301

ISO 20000-1 privește managementul serviciilor IT: incidente, niveluri de serviciu și schimbări. La noi este disponibil numai privat, non-IAF, deci nu acoperă o cerință de acreditare pentru acel standard.

ISO 22301 privește continuitatea afacerii. Se poate completa cu securitatea informației, dar include și oameni, locații sau furnizori necesari activităților esențiale.

Nu presupune că ISO 27001 le înlocuiește. Comandă în funcție de cerințele contractului și de nevoile reale ale firmei.

Proces online și reînnoire anuală

Introduci CUI-ul pentru preluarea datelor din ANAF, completezi contactul și plătești cu cardul sau prin transfer bancar pe bază de proformă. Primești linkul securizat, fără cont și parolă, pentru semnarea documentelor generate automat și încărcarea actelor.

Verificăm dosarul și îl trimitem organismului de certificare. După finalizarea evaluării primești certificatul PDF verificabil, fără deplasări. Termenul estimat apare la fiecare certificare.

Certificatul este valabil un an, cu reînnoire anuală și supraveghere. Te ajutăm la telefon sau pe WhatsApp și putem completa fluxul pentru tine.

Începe comanda ISO 27001 pentru firma ta IT.