07. Bře 2022

Případová studie: STŘEDNĚ VELKÉ FIRMY

Efektivní implementace ISO 27001 ve firmě CQR Payment Solutions

Profil firmy:

Poskytovatel platebních služeb online CQR Payment Solutions s 90 zaměstnanci ve Vídni je dceřinou společností přední online sázkové kanceláře bwin. 27 různých platebních metod je poskytováno B2B klientům po celé planetě jako outsourcingová služba. CQR při tom garantuje vysoce bezpečné spojení s finančními ústavy a online obchody.

Interview: Manažer informační bezpečnosti Oliver Eckel - CQR / bwin

Pane Eckele, jaké byly Vaše motivy pro zavedení informační bezpečnosti podle ISO 27001?

Chtěli jsme vyslat silný signál směrem k důvěře. Outsourcing celého platebního styku je otázkou důvěry. S certifikátem ISO 27001 je CQR průkopníkem v odvětví, což naši klienti velmi dobře přijímají.

 

Měli jste definovány procesy nebo to byl krok do nové oblasti?

Společnost CQR již procesy definovala podle odvětvového standardu ,Payment Card Industry Certification‘. Požadavky se protínají s požadavky normy ISO 27001, takže jsme mohli využít synergie. Zatímco PCI je zaměřen technicky, profitujeme díky ISO 27001 z organizace bezpečnosti, povědomí o bezpečnosti a bezpečnostních procesů, které kromě dat kreditních karet zahrnují veškeré citlivé informace.

Jaké interní výhody má firma z ISO 27001?

Mnoho procesů bylo v CQR definováno již před certifikací ISO 27001. Ale implementováním systému managementu informační bezpečnosti (ISMS) bylo vše zasazeno do jednotné struktury. Protože jsme dynamická firma se silným růstem a neustálými změnami - i co do počtu zaměstnanců, je získaná přehlednost postupů a úkonů velkou výhodou. Od nového uživatele až po nový software řídí všechny změnové procesy změnový a konfigurační management.

Jakou strategii jste sledovali při implementaci a certifikaci?

Během šestiměsíční fáze implementace jsme povolali poradce, abychom požadavky normy správně interpretovali a účinně realizovali. K tématu management rizik máme na základě odvětví, v kterém se pohybujeme, vlastní firemní znalosti. Navíc jsme mohli využít oddělení pro bezpečnost mateřské společnosti. Sestavení dokumentace byla tvrdá práce, zato jsou nyní běžné náklady na provoz ISMS minimální. Celkově implementaci ISO 27001 hodnotíme jako zisk - jedná se o požadavky, které bychom museli dříve či později stejně realizovat. Po těchto pozitivních zkušenostech plánujeme nechat certifikovat i mateřskou společnost bwin s několika tisíci servery, aby bylo možné dále zlepšovat interní procesy.

„Implementace ISO 27001 je jednoznačným přínosem. Navíc, jedná se o požadavky, které bychom museli dříve či později stejně uskutečnit.“

Manažer informační bezpečnosti Oliver Eckel  - CQR / bwin

 

Jaké výhody přináší ISO 27001 pro dodržování směrnice Euro-SOX?

Jako společnost ve veřejném zájmu podléhá CQR požadavkům 8. směrnice EU, která stanovuje zavedení vnitřního kontrolního systému. Aspekty IT a informační bezpečnosti směrnice Euro-SOX můžeme přímo odvodit z ISO 27001. Aby bylo možné prověřit účinnost vnitřního kontrolního systému a systému managementu rizik, musejí auditoři podle článku 26 8. směrnice EU jako měřítko aplikovat „mezinárodní standardy“. Dokumentace infrastruktury IT a TK je při tom důležitým aspektem.

Výbušný bod se dotýká otázky odpovědnosti vedení organizace. Bez prokazatelné dokumentace existuje osobní ručení vedení podniku a může být sankcionováno jako zavinění v důsledku špatné organizace. I z tohoto hlediska přísluší našemu systému managementu informační bezpečnosti podle ISO 27001 ústřední význam. Certifikát akreditované společnosti jako CIS odpovídá státem uznávanému dokumentu a poskytuje doklad, že IT naší firmy splňuje mezinárodní standardy. Protože dokumentační povinnost požadovaná směrnicí Euro-SOX je v případě certifikovaného (ISO) a tudíž prokazatelně uplatňovaného systému managementu automaticky splněna, jsou odpovědné osoby maximálně ušetřeny osobní odpovědnosti.

Více informací k ISO 27001:

Nabídku kurzů si můžete prohlédnout zde:

O zkušenostech s úspěšnou implementací ISO 27001 se dočtete v našich dalších rozhovorech:

Fabasoft a jejich pohled na ISO 27001

Úspěšné zavedení ISO 27001 v Selected Services

Máte otázky k auditům nebo ke vzdělávacím kurzům? Ať již máte zájem o realizaci na dálku či přímo u vás, budeme rádi, pokud se na nás obrátíteNapište nám na office@cis-cert.cz. Věříme, že vaši důvěru nezklameme.

19. Úno 2024

Norma EN 50600 podporuje udržitelnost

12. Úno 2024

Nově jsme certifikačním orgánem pro EN 50600

Nyní v naší nabídce!

05. Úno 2024

Barometr rizik: kybernetické útoky

Celosvětové riziko číslo 1

12. Led 2024

DORA – Odolnost ve finančním sektoru

Zákon o digitální provozní odolnosti

04. Led 2024

Významné legislativní novinky v oblasti kybernetické bezpečnosti v roce 2024

Zákony a směrnice zabývající se bezpečností informací

16. Lis 2023

TISAX: VDA vydala nový katalog ISA

Nová edice - verze 6

15. Lis 2023

Aktuality týkající se EN 50600

EN 50600 - Design

07. Lis 2023

O normě EN 50600

Vaše otázky - naše odpovědi

29. Zář 2023

CIS Compliance Summit 2023 / část II

Jaký byl ročník 2023/část II.

26. Zář 2023

CIS Compliance Summit 2023 / část I

Jaký byl ročník 2023/část I.

22. Zář 2023

Aktuální témata kybernetické bezpečnosti

S H. Erkingerem a Ch. Mondlem o příležitostech a rizicích New Work

01. Zář 2023

Silný štít pro naše data v éře umělé inteligence

Ochrana údajů a GDPR

+420 733 180 494