ISO 27001 საქართველოს IT და პროგრამული უზრუნველყოფის კომპანიებისთვის, რომლებიც საზღვარგარეთ ყიდიან
ქართული პროგრამული უზრუნველყოფის ან აუთსორსინგის კომპანიისთვის ISO/IEC 27001 ჩვეულებრივ ჯერ გაყიდვების მოთხოვნაა და მხოლოდ შემდეგ უსაფრთხოების პროექტი. თუ სისტემას თქვენი გუნდის რეალური მუშაობის გარშემო ააგებთ, ის აუდიტის შემდეგაც სასარგებლო დარჩება.
რატომ ითხოვენ მას უცხოელი კლიენტები
ევროკავშირის, გაერთიანებული სამეფოსა და აშშ-ის კლიენტები ყოველ ახალ მომწოდებელს უსაფრთხოების ვრცელ კითხვარებს უგზავნიან. აკრედიტებული ISO/IEC 27001 სერტიფიკატი კითხვარს არ აუქმებს, მაგრამ ამოკლებს მას და პირველ ფილტრს გაგატარებთ. ზეწოლას რამდენიმე მარეგულირებელი ტენდენცია ამატებს:
- NIS2 დირექტივით მოცულმა ევროკავშირის სუბიექტებმა უნდა მართონ უსაფრთხოების რისკები მიწოდების ჯაჭვში და ამ ვალდებულების ნაწილს თავიანთ პროგრამული უზრუნველყოფის მომწოდებლებს გადასცემენ.
- ევროკავშირის საფინანსო სუბიექტებზე 2025 წლის 17 იანვრიდან ვრცელდება ციფრული ოპერაციული მდგრადობის აქტი (DORA), მათ შორის საინფორმაციო და საკომუნიკაციო ტექნოლოგიების მესამე მხარის პროვაიდერების მიმართ მოთხოვნები.
- ნებისმიერი სექტორის მსხვილი კორპორატიული კლიენტები, სანამ საწარმოო მონაცემებს გაგიზიარებენ, ითხოვენ უსაფრთხო შემუშავების, წვდომის კონტროლისა და ინციდენტების მართვის მტკიცებულებებს.
ქართული კონტექსტი
საქართველოში ბევრი IT კომპანია სარგებლობს საერთაშორისო კომპანიის სტატუსით, რომელიც მოგების გადასახადისა და ფიზიკური პირების საშემოსავლო გადასახადის შემცირებულ განაკვეთებს აძლევს იმ IT კომპანიებს, რომლებიც არარეზიდენტებს პროგრამული უზრუნველყოფის მომსახურებას უწევენ და დადგენილ პირობებს აკმაყოფილებენ. ერთ-ერთი პირობაა, რომ შემოსავლის მომტანი ძირითადი სამუშაო, მათ შორის ძირითადი IT პერსონალის საქმიანობა, საქართველოდან სრულდებოდეს. ამას ISO 27001-ისთვის პრაქტიკული შედეგი აქვს: გუნდი, რომელიც პროდუქტს ქმნის და მართავს, თბილისში ან ბათუმშია, ან დისტანციურად მუშაობს ქვეყნის შიგნით, და აუდიტორი სწორედ ამ გუნდს გაესაუბრება.
კლიენტების, მომხმარებლებისა და თანამშრომლების პერსონალური მონაცემები ექვემდებარება საქართველოს კანონს „პერსონალურ მონაცემთა დაცვის შესახებ“, ხოლო ევროკავშირის რეზიდენტების მონაცემები ასევე GDPR-ს. ორივე უნდა შევიდეს ინფორმაციული უსაფრთხოების მართვის სისტემის (ISMS) სამართლებრივ რეესტრში.
სფეროს განსაზღვრა
ყველაზე გავრცელებული შეცდომაა სფერო, რომელიც ან ზედმეტად ვიწროა კლიენტების დასაკმაყოფილებლად, ან იმდენად ფართო, რომ პროექტი ჩერდება. დამხმარე კითხვები:
- რომელ სერვისებსა თუ პროდუქტებზე კითხულობენ კლიენტები? SaaS პლატფორმა, ინდივიდუალური შემუშავება, გამოყოფილი გუნდის მოდელი, მხარდაჭერა და მომსახურება?
- რომელი იურიდიული პირი აწერს ხელს კლიენტებთან ხელშეკრულებებს? თუ უცხოური დედა კომპანია ყიდის, ხოლო ქართული კომპანია ქმნის პროდუქტს, შეიძლება ორივეს გათვალისწინება გახდეს საჭირო.
- სად სრულდება სამუშაო? ოფისები, საერთო სამუშაო სივრცეები, დისტანციური მუშაობა სახლიდან, მივლინებაში მყოფი ან სხვა ქვეყნებიდან მომუშავე თანამშრომლები.
- რომელი ინფრასტრუქტურაა თქვენი და რომელი კლიენტის? ბევრი აუთსორსინგის კომპანია კლიენტის გარემოში მუშაობს, რაც ცვლის, რომელი კონტროლის ზომები გამოიყენება.
სფერო ისე ჩამოაყალიბეთ, რომ სერტიფიკატის წამკითხველ კლიენტს ესმოდეს, რა არის მოცული. „[პროდუქტის] პლატფორმის დაპროექტება, შემუშავება და მხარდაჭერა“ ზოგად ფრაზაზე ბევრად უფრო გასაგებია.
კონტროლის ზომები, რომლებსაც აუდიტორები პროგრამულ კომპანიებში პირველ რიგში ამოწმებენ
- წვდომის მართვა. თანამშრომლის მიღების, როლის შეცვლისა და წასვლის პროცესი, მრავალფაქტორიანი ავთენტიფიკაცია (MFA), წვდომის გაუქმება კონტრაქტორების მიერ სამუშაოს დასრულებისას, წვდომების გადახედვა მტკიცებულებებით.
- უსაფრთხო შემუშავება. ISO/IEC 27001:2022-ის A დანართი მოიცავს კონტროლის ზომებს უსაფრთხო შემუშავების სასიცოცხლო ციკლის, უსაფრთხო კოდირების, უსაფრთხოების ტესტირების, გარემოების გამიჯვნისა და ცვლილებების მართვისთვის. აუდიტორები შერჩევით შეამოწმებენ კოდის შერწყმის მოთხოვნებს, ტესტირების შედეგებსა და ვერსიების გამოშვების ჩანაწერებს.
- ღრუბლოვანი სერვისები. როგორ ირჩევთ, აკონფიგურირებთ და აკონტროლებთ ღრუბლოვან პროვაიდერებს. ISO/IEC 27017 და ISO/IEC 27018 ამატებს რეკომენდაციებს ღრუბლოვანი უსაფრთხოებისა და ღრუბელში კონფიდენციალურობის შესახებ, როცა კლიენტები ამას ითხოვენ.
- დისტანციური მუშაობა და საბოლოო მოწყობილობები. დისკის დაშიფვრა, განახლებების დაყენება, მოწყობილობების ინვენტარი და პირადი მოწყობილობების გამოყენების წესები.
- მომწოდებლების მართვა. დამოუკიდებელი შემსრულებლები და ქვეკონტრაქტორები ქართულ IT სექტორში ხშირია; მათ, თანამშრომლების მსგავსად, სჭირდებათ ხელშეკრულებები, კონფიდენციალურობის შეთანხმებები და წვდომის კონტროლი.
- ჟურნალების წარმოება, სარეზერვო ასლები და ინციდენტებზე რეაგირება. შემოწმებული აღდგენები და სულ მცირე ერთი დოკუმენტირებული ინციდენტი ან სავარჯიშო.
დაკავშირებული ჩარჩოები, რომლებსაც კლიენტები შეიძლება მოითხოვდნენ
აშშ-ის მომხმარებლები ხშირად ითხოვენ SOC 2 ანგარიშს ISO 27001-ის ნაცვლად ან მასთან ერთად. SOC 2 არის აშშ-ის ლიცენზირებული აუდიტორული (CPA) ფირმის მიერ გაცემული ატესტაციის ანგარიში და არა სერტიფიკატი; კონტროლის სამუშაოს დიდი ნაწილი ემთხვევა. იხილეთ SOC 2 ქართული SaaS სტარტაპებისთვის. თუ ევროკავშირის კლიენტებისთვის ხელოვნური ინტელექტის (AI) ფუნქციებს ქმნით, სტატია ISO 42001 და ევროკავშირის AI აქტი შემდეგ ფენას განმარტავს. კონფიდენციალურობაზე ორიენტირებულ პროდუქტებს შეიძლება დაემატოს ISO 27701.
როგორ მუშაობს BALTUM-ი IT კომპანიებთან
ვატარებთ ხარვეზების ანალიზს ISO/IEC 27001:2022-ის მიმართ, თქვენთან ერთად ვთანხმდებით სფეროზე და გეხმარებით კონტროლის ზომების ჩაშენებაში იმ ინსტრუმენტებში, რომლებსაც თქვენი ინჟინრები უკვე იყენებენ, როგორიცაა დავალებების მართვის სისტემა, კოდის რეპოზიტორია და ღრუბლოვანი მართვის კონსოლი, რათა მტკიცებულებები ჩვეულებრივი მუშაობის პროცესში იქმნებოდეს. ვატარებთ ტრენინგს გუნდისთვის, ვატარებთ შიდა აუდიტს და გეხმარებით აკრედიტებული სასერტიფიკაციო ორგანოს აუდიტის გავლაში. ხანგრძლივობა დამოკიდებულია სფეროსა და თქვენს საწყის მდგომარეობაზე და პირველი შეფასების შემდეგ განისაზღვრება. მეტი სტანდარტის შესახებ: ISO 27001.
სფეროს განსახილველად გამოიყენეთ ამ საიტის ფორმა ან მოგვწერეთ მისამართზე info@baltum.org.
ხშირად დასმული კითხვები
უნდა შევიდნენ თუ არა საქართველოში დისტანციურად მომუშავე პროგრამისტები ISO 27001-ის სფეროში?
თუ ისინი სფეროში შემავალ სერვისებზე მუშაობენ, დიახ. აუდიტორი შეამოწმებს, როგორ კონტროლდება მათი მოწყობილობები, წვდომა და სამუშაო პრაქტიკა, და შეიძლება ზოგიერთ მათგანს დისტანციურად გაესაუბროს.
შეგვიძლია მხოლოდ ერთი პროდუქტის სერტიფიცირება?
დიახ. ერთი პლატფორმით ან სერვისით შემოსაზღვრული სფერო, მისი მხარდამჭერი ადამიანებითა და პროცესებით, ხშირი პრაქტიკაა და მოგვიანებით შეიძლება გაფართოვდეს.
