הטעות הכי נפוצה: לחשוב ש-ISO 27001 הוא תקן טכני על אנטי-וירוס וחומות אש. הוא לא. הוא תקן ניהולי - מערכת שמחייבת אתכם לזהות אילו מידע קריטי לעסק, מי יכול לגשת אליו, ומה קורה אם משהו משתבש.
מה זה כולל בפועל
שלושה אבני יסוד: מיפוי נכסי מידע (איפה המידע הרגיש נמצא - שרתים, ענן, מחשבים ניידים, ואפילו נייר), הערכת סיכונים (מה עלול לקרות לכל נכס, ומה ההשפעה אם זה יקרה), ובקרות מתאימות (הרשאות גישה, גיבויים, הצפנה, ותהליך תגובה לאירוע אבטחה - לא רק "יש לנו אנטי-וירוס").
המרכיב שהכי מפתיע בעלי עסקים: חלק גדול מהדרישות הן ארגוניות, לא טכניות - מי מורשה לגשת למה, מה קורה כשעובד עוזב (האם ההרשאות שלו נסגרות באותו יום?), ואיך מתעדים ומדווחים כשיש חשד לאירוע אבטחה.
למה זה הופך לדרישת סף
יותר ויותר חוזים מול לקוחות בחו"ל, ובעיקר בתחומי הייטק ושירותים דיגיטליים, מתנים עבודה משותפת בהצגת הסמכת 27001 - לא כי הלקוח רוצה "לבדוק אתכם", אלא כי הוא צריך להראות לרגולטור או ללקוחות שלו שהוא עובד רק עם ספקים שמנהלים סיכוני מידע ברצינות. הסמכה הופכת כאן מ"יתרון תחרותי" לתנאי כניסה לשוק מסוים.