ISO 27001:2013 Lead Implementer och Implementeringskurser

Är du ute efter att implementera ISO 27001  för första gången i din organisation? Kanske behöver du också en oberoende certifiering mot den erkända informationssäkerhetsstandarden för att tillfredsställa dina kunder och externa revisorer?

Med många rörliga delar och massor av vanliga misstag förknippade med att bygga en ledningssystem för informationssäkerhet (ISMS) det finns hjälp till hands. Men med så mycket hjälp bara ett musklick bort är det viktigt att hitta rätt ISO 27001-implementeringslösning för din inlärningsstil, karriärmål och organisatoriska leveransbehov.

När du söker online efter sätt att lära dig om hur du implementerar ISO 27001, kommer du att stöta på ett populärt tillvägagångssätt som kallas Certified Lead Implementer ISO 27001-kursen och relaterade program som Implementing ISO 27001.

Leda implementeringskurser för ISO 27001 erbjuds av många informationssäkerhetsutbildningar organisationer och rådgivningsföretag. En del av dessa kurser för ledande implementerare är tillgängliga online och några levereras i klassrum. Gemensamt för båda är att de i allmänhet är intensiva, dyra och vanligtvis erbjuder en "kvalifikation" från ett prov i slutet. Avgifterna varierar från cirka 1,500 2,500 £ - 3 5 £ per person, vilket tar mellan XNUMX-XNUMX dagar att slutföra.

När vi gjorde vår egen ISO 27001-implementering redan 2011 stod det klart att vi kunde spendera mycket pengar och tid på teorisidan, inklusive att träna upp några av teamet. Avgifterna var inte riktigt lika höga som de är nu men vi kunde lätt ha spenderat flera tusen pund och förlorat många dagar, eftersom vi ville ha alla på samma sida för implementeringen. Efter att ha övervägt alternativen vid den tidpunkt då vi bestämde oss för att "action learning" dvs lära oss själva under arbetet och säkerställa ISMS lösning passade hur vi ville arbeta. När allt kommer omkring är vi affärsmän som är vana vid att implementera projekt och standarden verkade vara okomplicerad, även om det fanns en hel del i den (cirka 140 aktiviteter faktiskt!) Vid den tiden trodde ingen av oss att vi skulle sluta med en annan implementering eller vill ha en karriär implementering ISO 27001 ledningssystem för informationssäkerhet. Hur fel vi hade, men mer om det senare!

Vad ingår vanligtvis i en ISO 27001 Lead Implementer-kurs?

Du kommer att stöta på variationer på temat, men i allmänhet kommer en ISO 27001-kurs för ledande implementerare att täcka följande ämnen:

• Förstå informationssäkerhetshantering
• Förstå informationssäkerhetshanteringssystem (ISMS)
• Fördelar och syfte med ett ISMS
• Nyckelbegrepp och språk, ordlista för ISO 27001
• Krav och Bilaga A kontroller inom ISO 27001
• Förstå ISO 27002 och hur det passar med ISO 27001
• Implementeringsalternativ för hur man bygger ett ISO 27001-certifierat ISMS 
• Projektplanering och arbetsuppdelning för ISO 27001 implementeringar
• Förbereder för ISO 27001 ISMS steg 1 och steg 2 revisioner
• Kontinuerlig förbättring och löpande övervakning av ett ISMS
• ISO 27001 ledande implementerare flervalsprov och CPD-poäng

Kurserna är vanligtvis ganska intensiva powerpoint-slide-orienterade, ledda av handledaren med lite grupparbete om i ett klassrum levererat program. En 3-dagarskurs som vi recenserade hade cirka 500 mycket texttunga bilder så frasen "death by powerpoint" kom rakt fram i mitt sinne! Det är en ny bild som presenteras varannan minut. Den har liten chans att behållas vid tillfället, än mindre att den återkallas under själva implementeringen någon gång i framtiden!

Titta på för- och nackdelar med ISO 27001 Lead Implementer-kurser

Även om detta tillvägagångssätt inte speglar min föredragna inlärningsstil, och vi hittade bättre avkastning för vår begränsade budget, fungerar det utan tvekan för vissa. Så vad är några av de andra för- och nackdelarna med ISO 27001 ledande implementerare och implementeringskurser?

Vilka är fördelarna med ISO 27001 Lead Implementer-kurser?

• En chans att lära av en erfaren utövares handledare*
• Workshop med andra nykomlingar om svåra ämnen (i klassrummet)
• Få en studieguide för ledande implementerare eller "manual" om implementering av ISO 27001 (några av PPT-bilderna)
• Få en certifierad ISO 27001 ledande implementerare kvalifikation och certifikat i slutet om du klarar provet**

*Om du väljer detta tillvägagångssätt kom ihåg att kontrollera att handledaren är en erfaren praktiker och har hållit sin implementeringserfarenhet uppdaterad med tanke på nya sätt att arbeta.

**Kontrollera ISO 27001 lead implementer examen, kvalifikationer och certifikat är värda papper de är skrivna på också. Vissa organisationer markerar sina egna läxor och utfärdar certifikat själva eller genom företag som kanske inte är välkända.

För dem som funderar på att göra flera implementeringar i framtiden kan certifikatet och kvalifikationen vara en fördel på CV:t vid jobbsökning. För experter inom informationssäkerhet kan det dock finnas andra certifierade kurser för "business as usual"-praxis som erbjuder en bättre avkastning på investeringen. För andra affärsmän som inte letar efter en karriär inom ISO 27001-implementering kan nackdelarna överväga fördelarna.

Vilka är nackdelarna med ISO 27001 Lead Implementer-kurser?

Bortsett från powerpoint-kommentaren ovan och improduktiv tid i klassrummet att vänta eller på raster, är några av de mer uppenbara nackdelarna vi hittade med att utforska kurser för ledande implementerare:

• ISO 27001-kurser för ledande implementerare är dyra för en person (för att inte tala om ett team) både när det gäller den direkta kostnaden, tid utanför kontoret och utgifter som är involverade om utbildning utanför anläggningen väljs.
• ISO 27001 framhåller vikten av ledarskap och teamarbete och den bör vara affärsledd och påverka hela organisationen. Att bara utbilda en individ som en ledande implementerare för att sedan kasta de 500 diabilderna och 3 intensiva dagarna till lagom stora bitar för andra teammedlemmar är ett recept på misslyckande eller frustration.
• I ledarimplementeringskurser lär du dig massor av bra men generell information om implementering av ISO 27001. Du behöver ett ledningssystem som en del av implementeringen och utan det praktiska övervägandet kan kursen förbli ganska teoretisk.
• En del av ISO 27001-tekniken är delvis komplett, och dokumentationsverktyg anpassade till lead implementer-kurser kan mycket väl vara inaktuella eller olämpliga för din organisation så du riskerar att implementera gammaldags metoder.
• Förstå begrepp som Förklaring om tillämplighet är mycket viktiga. Men metoderna som används för att förbereda och producera dem har förändrats och kan förenklas avsevärt med teknik – vilket undviker behovet av att slösa bort dyrbar tid.
• Du måste fortfarande göra ISO 27001-implementeringen och kanske vill hänvisa tillbaka till läromedlet. Det är inte så lätt om de är dissocierade från hur du implementerar i din organisation.

Sammanfattningsvis, medan det finns några drar nytta av ISO 27001 leda implementerkurser, kan nackdelarna göra dem till en oattraktiv och frustrerande investering. Att ta in specialistkonsulter kan också vara ett alternativ för organisationer med begränsad kapacitet, men under idealiska omständigheter har du läromedel till hands när du faktiskt går igenom varje steg i din ISO 27001-implementering.

Du vill ha något som kan hålla hela laget på samma sida, något som inte gör det kosta en förmögenhet för en övning din organisation hoppas att bara göra en gång, lyckas på första försöket.

Varför ska man straffas för att ha mer personer som är involverade i genomförandet? Trots allt ISO uppmuntrar det och din affärsrisk kommer att minska från det samt göra det möjligt för de ledande implementerarna att dela sina erfarenheter. De kan diskutera praktisk implementering med sina arbetskollegor, inte akademiskt teoretisera med individer från olika organisationer.

Vilka alternativ finns det till ISO 27001 Lead Implementer-kurser?

Alternativen inkluderar att göra det själv och action learning på det sätt som vi valde för 8 år sedan. Att anlita konsulter och fysiska tränare är också ett annat alternativ, där detta kanske är mer lämpligt än utbildning för ledande implementerare om du har begränsad kapacitet och budgeten är mindre ett problem. Naturligtvis behöver du fortfarande till fullo förstå och äga ledningssystemet för informationssäkerhet för att undvika dyra pågående konsultavgifter, och du måste visa att ledarskapet och andan i ISO 27001-standarden tillämpas för framgång i externa revisioner.

Snabbspola framåt 8 år och det finns nu ett annat alternativ också. Jag nämnde tidigare att vi inte räknade med att göra mer än en ISO 27001-implementering. Men vår affärsstrategi förändrades där vi utvecklades ISMS.online med alla dess kraftfulla funktioner och kompletterande ISO 27001 dokumentation som är lätt att ta till sig, anpassa och lägga till under en implementering. Det gör stor skillnad för ISO 27001-implementeringen och pågående förvaltningsframgång utan några andra investeringar. Vad som dock blev tydligt är att vi fortfarande saknade något för organisationer med personal som aldrig tidigare varit involverad i en ISO 27001-implementering.

Istället för att bara bygga en ledarimplementeringskurs själva och stöta på nackdelarna ovan har vi omarbetat målen, som inte bara handlar om implementering, det är bara en del av resan. Organisationens mål är att ha ett certifierat ISMS som din organisations intressenter kan lita på som levererar på sitt business case löfte, helst till en lägre total kostnad och risk än alternativ.

Så vi tittade på hur vi kunde hjälpa till att uppnå det målet och övervinna nackdelarna med kurser i lead implementer. Vi ville också se till att alla fysiska konsult- eller coachningsinvesteringar var i högvärde, utan att slösa dyrbara budgetar på saker som kan automatiseras och där det är möjligt överföra kunskap på ett lägre kostnadseffektivt och hållbart sätt.

Den här ISMS.online-webbplatsen innehåller många gratisresurser för att hjälpa nykomlingarnas resa, och försöker avmystifiera mycket av det som har varit utom räckhåll tidigare. Med utgångspunkt i det och själva ISMS.online utvecklade vi Virtuell coach, en kompletterande stödtjänst för implementering av ISO 27001 som hjälper organisationer att uppnå målet med ett ISO 27001-certifierat ledningssystem för informationssäkerhet. Kolla in vår virtuella coach och se om det är ett bättre alternativ för det du försöker uppnå.