POLSKIE CENTRUM AKREDYTACJI

Transkrypt

1 POLSKIE CENTRUM AKREDYTACJI PROGRAM AKREDYTACJI JEDNOSTEK CERTYFIKUJĄCYCH SYSTEMY ZARZĄDZANIA BEZPIECZEŃSTWEM INFORMACJI wg NORMY PN-ISO/IEC Wydanie 2 Warszawa, r.

2 Spis treści 1 Wprowadzenie Definicje Wymagania akredytacyjne Specyficzne wymagania programu Wymagania dotyczące struktury organizacyjnej Wymagania dotyczące zasobów Wymagania dotyczące informacji Wymagania dotyczące procesu Wymagania dotyczące systemu zarządzania jednostek certyfikujących5 5 Zakres akredytacji Szczegółowe zasady oceny Wniosek Obserwacja Postanowienia końcowe Dokumenty związane Załączniki...6 Załącznik nr Wydanie 2 z r. str. 2/7

3 1 Wprowadzenie Tekst niniejszego dokumentu opracowano w Polskim Centrum Akredytacji. Celem opracowania tego dokumentu było określenie wymagań akredytacyjnych dla jednostek certyfikujących systemy zarządzania bezpieczeństwem informacji (ISMS) wg PN-ISO/IEC 27001, aby mogły być uznane za kompetentne i wiarygodne. Dokument ten zawiera wytyczne ułatwiające jednolite stosowanie wymagań normy PN-EN ISO/IEC i PN-ISO/IEC Należy je interpretować jako doprecyzowanie niektórych wymagań zawartych w normach PN-EN ISO/IEC i PN-ISO/IEC Ponadto dokument zawiera zasady akredytacji specyficzne dla jednostek certyfikujących ISMS wg PN-ISO/IEC Odwoływanie się w dokumencie do norm niedatowanych oznacza odwołanie do ostatniego wydania normy. 2 Definicje Dla potrzeb niniejszego dokumentu stosuje się definicje zawarte w dokumentach przywołanych w punkcie 3 niniejszego dokumentu, a ponadto: ISMS system zarządzania bezpieczeństwem informacji. jednostka certyfikująca każda jednostka prowadząca certyfikację ISMS wg PN-ISO/IEC 27001; 3 Wymagania akredytacyjne Jednostka certyfikująca systemy zarządzania bezpieczeństwem informacji powinna spełniać wymagania akredytacyjne określone w: - PN-EN ISO/IEC Ocena zgodności - Wymagania dla jednostek prowadzących auditowanie oraz certyfikację systemów zarządzania; - PN-ISO/IEC Technika informatyczna - Techniki bezpieczeństwa Wymagania dla jednostek prowadzących audyt i certyfikację systemów zarządzania bezpieczeństwem informacji; - PN-EN ISO Wytyczne dotyczące auditowania systemów zarządzania jakością i/lub zarządzania środowiskowego; - IAF MD 1:2007 Dokument obowiązkowy IAF dotyczący zasad próbkowania w procesach certyfikacji organizacji wielooddziałowych; - IAF MD 2:2007 Dokument obowiązkowy IAF dotyczący przenoszenia akredytowanej certyfikacji systemów zarządzania; - EA-7/05 Wytyczne EA dotyczące zastosowania normy ISO/IEC 17021:2006 w auditach połączonych; - DAC-17 Wytyczne PCA do stosowania normy PN-EN ISO/IEC 17021; - wymagania zawarte w niniejszym dokumencie (). 4 Specyficzne wymagania programu Poniżej zamieszczono wytyczne do wymagań wybranych punktów normy PN-EN ISO/IEC 17021:2007. Dla ułatwienia zastosowano następujący system identyfikacji wytycznych: W.X.Y.Z, gdzie: X.Y.Z oznacza numer punktu normy PN-EN ISO/IEC Wydanie 2 z r. str. 3/7

4 4.1 Wymagania dotyczące struktury organizacyjnej W Jednostka certyfikująca powinna posiadać udokumentowany program certyfikacji na zgodność z wymaganiami PN-ISO/IEC Jeżeli ma to zastosowanie, jednostka powinna zróżnicować program certyfikacji w zależności od dziedzin ocenianej działalności organizacji ubiegających się o certyfikację z uwzględnieniem działów i grup według Załącznika nr 1. Zaleca się stosowanie listy kontrolnej (checklisty) przeznaczonej dla auditorów i ewentualnie ekspertów oceniających ISMS, przywołanej w programie certyfikacji. W Komitet chroniący bezstronność powinien mieć wiedzę dotyczącą procesów certyfikacji ISMS. Wymaga się zapewnienia tej wiedzy poprzez szkolenia oraz odpowiednie uzupełnienie składu Komitetu, itp. Jednostka powinna wykazać PCA, w jaki sposób zapewnia Komitetowi tę wiedzę. 4.2 Wymagania dotyczące zasobów W Auditorzy (w tym auditorzy wiodący) w obszarze ISMS powinni mieć poza ogólnymi umiejętnościami i wiedzą w zakresie auditowania, również umiejętności i wiedzę właściwą do auditowania w specyficznych obszarach technicznych, określonych zgodnie z Załącznikiem 1 W Grupa lub osoba podejmująca decyzje w sprawie udzielenia, utrzymania, przedłużenia, rozszerzenia, ograniczenia, zawieszenia lub cofnięcia certyfikacji ISMS powinna rozumieć normy PN-ISO/IEC i PN-ISO/IEC i wymagania certyfikacyjne oraz powinna mieć wykazane kompetencje do oceny procesów auditowania i związanych z nimi rekomendacji zespołu auditującego. W Jednostka certyfikująca powinna prowadzić i utrzymywać zapisy z obserwacji działalności swoich auditorów i ekspertów technicznych, prowadzących ocenę organizacji w zakresie wymagań normy PN-ISO/IEC W Częstotliwość obserwacji każdego auditora, w tym technicznego, powinna wynosić co najmniej raz na 3 lata. 4.3 Wymagania dotyczące informacji W W certyfikatach wydawanych przez jednostkę, powinien być jednoznacznie określony charakter działalności organizacji, identyfikowany zgodnie z Załącznikiem Wymagania dotyczące procesu W W przypadku przenoszenia akredytowanej certyfikacji, jednostka powinna mieć udokumentowane zasady postępowania, spójne z wymaganiami zawartymi w IAF MD 2:2007. W W nawiązaniu do zasady wymienionej w punkcie c) PN-EN ISO/IEC 17021, zaleca się, aby jednostka zapewniła rotację zespołów oceniających w taki sposób, żeby oceny w kolejnych cyklach certyfikacji były prowadzone przez inny zespół oceniający. W Ustalając czas auditu, jednostka certyfikująca powinna wziąć pod uwagę wymagania normy PN-ISO/IEC Jednostka certyfikująca powinna określić jednakowe dla wszystkich organizacji zasady kalkulowania czasu oceny systemu zarządzania według normy PN-ISO/IEC 27001, w tym kalkulowania czasu oceny w przypadku posiadania przez organizację zintegrowanego systemu zarządzania. Sprawy te reguluje dokument EA-7/05, którego wymagania jednostki powinny uwzględnić w swoich systemach zarządzania. Wydanie 2 z r. str. 4/7

5 W Jednostka certyfikująca powinna mieć udokumentowane zasady wybierania próbki w przypadku auditowania ISMS organizacji wielooddziałowych. Zasady te powinny być spójne z wymaganiami określonymi w dokumencie IAF MD 1:2007. W Zespół auditujący powinien być powołany i złożony z auditorów wg W Wybór zespołu powinien być przeprowadzony w odniesieniu do przydzielonych kompetencji auditorów i ekspertów technicznych oraz może być dokonany zarówno spośród wewnętrznych, jak i zewnętrznych zasobów ludzkich. 4.5 Wymagania dotyczące systemu zarządzania jednostek certyfikujących W Jednostka certyfikująca powinna mieć wdrożony u siebie dowolny system zarządzania bezpieczeństwem informacji, z tym, że zalecanym jest system spełniający wymagania PN-ISO/IEC W Jednostka certyfikująca powinna objąć auditami wewnętrznymi procedury i procesy związane z certyfikacją ISMS. 5 Zakres akredytacji Zakres akredytacji określa się w odniesieniu do rodzajów działalności gospodarczej identyfikowanych według Załącznika nr 1, uszczegółowionych wg określonej grupy lub klasy działalności produkcyjnej lub usługowej. W dokumentach akredytacyjnych jednostek certyfikujących ISMS PCA potwierdza spełnienie wymagań normy PN-EN ISO/IEC oraz normy PN-ISO/IEC Szczegółowe zasady oceny PCA podczas prowadzenia ocen jednostek certyfikujących ISMS postępuje zgodnie z zasadami akredytacji podanymi w dokumentach DA-01 i DAC-08 oraz zasadami określonymi poniżej. 6.1 Wniosek Wniosek o akredytację lub o rozszerzenie zakresu akredytacji na certyfikację systemów zarządzania bezpieczeństwem informacji składa się na formularzach FA-01 i FAC-02. Do wniosku należy dołączyć, oprócz dokumentów wymaganych w dokumencie DAC-08, opis własnego systemu zarządzania bezpieczeństwem informacji (patrz punkt W ). 6.2 Obserwacja W procesach akredytacji i rozszerzania zakresu akredytacji na certyfikację ISMS, obserwacji podlega wyłącznie audit certyfikacyjny (etap 1 + etap 2). Ponadto ocenie podlega raport sporządzony przez zespół jednostki certyfikującej. W procesie akredytacji, obserwacji podlega praca każdego członka zespołu auditującego jednostki certyfikującej. Liczebność zespołu PCA jest określana w zależności od liczebności zespołu oceniającego jednostki certyfikującej w proporcji co najmniej 1 osoba zespołu PCA na dwie osoby zespołu oceniającego jednostki certyfikującej. W przypadku auditów certyfikacyjnych w organizacjach wielooddziałowych PCA obserwuje wyłącznie audit w siedzibie organizacji. W każdej ocenie w nadzorze jest przeprowadzana ocena na miejscu i obserwacja. Obserwacji podlega tylko etap 2 auditu certyfikacyjnego lub audit w nadzorze. Wydanie 2 z r. str. 5/7

6 Przy ponownej akredytacji obowiązują zasady jak dla procesu akredytacji, przy czym obserwacji podlegają oba etapy auditu certyfikacyjnego lub, w przypadku gdy jednostka nie ma nowego klienta, audit w nadzorze. Przy wyborze auditów do obserwacji w programie ISMS PCA kieruje się zasadą wyboru obszarów krytycznych z punktu widzenia bezpieczeństwa informacji. Za takie obszary PCA uznaje dziedziny działalności identyfikowane kodami EA (patrz Załącznik nr 1): - kod EA 32 - NACE/PKD 64, 65, 66; - kod EA 33 NACE/PKD 62, 63.1; - kod EA 36 NACE/PKD 84; - kod EA 38 NACE/PKD 86.1, 86.2; - kod EA 39 NACE/PKD Uzyskanie akredytacji w obszarach działalności krytycznych, zdefiniowanych powyższymi kodami NACE/PKD, wymaga przeprowadzenia przez PCA obserwacji podczas auditu jednostki w organizacjach prowadzących działalność w obszarach objętych ww. kodami NACE/PKD. 7 Postanowienia końcowe Niniejsze wydanie dokumentu zastępuje wydanie 1 z r. Dokument został wprowadzony Komunikatem nr 62 z dnia r. 8 Dokumenty związane PN-ISO/IEC 27001: Technika informatyczna Techniki bezpieczeństwa Systemy zarządzania bezpieczeństwem informacji Wymagania DA-01 Opis systemu akredytacji; DA-02 Zasady stosowania symboli akredytacji; DAC-08 Akredytacja jednostek certyfikujących. Wymagania szczegółowe. Polskie Normy dostępne są w Polskim Komitecie Normalizacyjnym ( Dokumenty EA i IAF w wersji oryginalnej dostępne są na stronach internetowych: EA: IAF: Dokumenty PCA oraz tłumaczenia wybranych dokumentów EA i IAF dostępne są na stronie internetowej PCA Dostęp do tych dokumentów jest bezpłatny. 9 Załączniki Załącznik nr 1 Rodzaje działalności gospodarczej Wydanie 2 z r. str. 6/7

7 Rodzaje działalności gospodarczej Załącznik nr 1 Kod EA Branża Kod NACE/PKD 1 1 Rolnictwo, rybołówstwo 01, 02, 03 2 Górnictwo i kopalnictwo 05, 06, 07, 08, 09 3 Produkty żywnościowe, napoje, wyroby tytoniowe 10, 11, 12 4 Tekstylia i wyroby tekstylne 13, 14 5 Skóry i wyroby skórzane 15 6 Drewno i jego przetwory 16 7 Miazga, papier i wyroby papiernicze 17 8 Firmy wydawnicze 58.1, Drukarnie Produkcja koksu i produktów rafinacji ropy naftowej Paliwa jądrowe 24.46, Chemikalia, produkty chemiczne, włókna sztuczne 20 bez Farmaceutyki Wyroby z gumy i plastiku Niemetaliczne produkty nieorganiczne 23 bez 23.5 i Beton, cement, wapno, gips itp. 23.5, Metale i wyroby metalowe 24 bez 24.46, 25 bez 25.4, Maszyny i osprzęt do nich 25.4, 28, 30.4, 33.12, Urządzenia elektryczne i optyczne 26, 27, 33.13, 33.14, Przemysł stoczniowy 30.1, Lotnictwo 30.3, Inne urządzenia transportowe 29, 30.2, 30.9, Produkcja niesklasyfikowana gdzie indziej 31, 32, Recykling Dostawy energii elektrycznej Dostawy gazu Dostawy wody 35.3, Budownictwo 41, 42, Handel hurtowy i detaliczny; naprawy pojazdów 45, 46, 47, 95.2 mechanicznych, motocykli, wyrobów do użytku osobistego i domowego 30 Hotele i restauracje 55, Transport, przechowalnictwo, łączność 49, 50, 51, 52, 53, Pośrednictwo finansowe; nieruchomości; wynajem 64, 65, 66, 68, Technika informatyczna 58.2, 62, Usługi inżynierskie 71, 72, 74 bez Inne usługi 69, 70, 73, 74.3, 78, 80, 81, Administracja publiczna Szkolnictwo Zdrowie i opieka społeczna 75, 86, 87, Inne służby socjalne 37, 38.1, 38.2, 39, 59.1, 60, 63.9, 79, 90, 91, 92, 93, 94, 96 1 Klasyfikacja Działalności Gospodarczej NACE Rev. 2 wg Rozporządzenia PE i Rady Nr 1893/2006 (OJ L 393/1 z ); Polska Klasyfikacja Działalności (PKD) 2007, Rozporządzenie Rady Ministrów z dnia 24 grudnia 2007 r. (Dz.U. Nr 251, poz.1885) Wydanie 2 z r. str. 7/7