Norma ISO/IEC 27001 opisuje wymagania dla systemu zarządzania bezpieczeństwem informacji, w skrócie SZBI (po angielsku ISMS). Firmy sięgają po nią z różnych powodów: bo wymagają tego klienci, bo chcą uporządkować ochronę danych albo bo przygotowują się do przetargów. Wdrożenie nie polega jednak na kupieniu oprogramowania czy napisaniu kilku procedur. To projekt organizacyjny, który dotyka ludzi, procesów i technologii.
Czym jest system zarządzania bezpieczeństwem informacji
SZBI to zestaw zasad, ról, procesów i zabezpieczeń, dzięki którym organizacja w uporządkowany sposób chroni informacje. Chodzi o trzy podstawowe cechy: poufność, integralność i dostępność. Informacja ma trafiać tylko do uprawnionych osób, nie może być zmieniana bez kontroli i powinna być dostępna wtedy, gdy jest potrzebna.
Ważne jest to, że norma nie narzuca konkretnych narzędzi. Wymaga natomiast, aby decyzje o zabezpieczeniach wynikały z analizy ryzyka i były regularnie przeglądane. Dzięki temu ten sam standard może wdrożyć zarówno mała firma programistyczna, jak i duża organizacja z wieloma oddziałami.
Pierwszy krok: kontekst i zakres
Wdrożenie zaczyna się od zrozumienia, w jakim otoczeniu działa firma. Trzeba określić strony zainteresowane, na przykład klientów, pracowników, dostawców i regulatorów, oraz ich oczekiwania wobec bezpieczeństwa informacji. Do tego dochodzą wymagania prawne i umowne, które organizacja musi spełniać.
Następnie ustala się zakres SZBI, czyli to, które części organizacji, lokalizacje, procesy i systemy obejmie system. Zakres może dotyczyć całej firmy albo wybranego obszaru, na przykład usługi świadczonej klientom. Zbyt wąski zakres może nie przekonać klientów, a zbyt szeroki wydłuży i skomplikuje wdrożenie. Warto podjąć tę decyzję świadomie i zapisać ją w dokumentacji.
Na tym etapie kluczowe jest też zaangażowanie kierownictwa. Norma wymaga, aby najwyższe kierownictwo zatwierdziło politykę bezpieczeństwa informacji, przydzieliło role i zapewniło zasoby.
Analiza ryzyka i deklaracja stosowania
Sercem normy jest szacowanie i postępowanie z ryzykiem. Organizacja musi przyjąć metodę oceny ryzyka, a potem konsekwentnie ją stosować. Zwykle obejmuje to:
- Zidentyfikowanie aktywów informacyjnych, na przykład baz danych, systemów, dokumentów, urządzeń i wiedzy pracowników.
- Określenie zagrożeń i podatności, które mogą wpłynąć na te aktywa.
- Oszacowanie prawdopodobieństwa i skutków wystąpienia zdarzeń.
- Porównanie wyników z przyjętymi kryteriami akceptacji ryzyka.
- Wybranie sposobu postępowania: ograniczenie, przeniesienie, unikanie lub akceptacja ryzyka.
Wynikiem jest plan postępowania z ryzykiem. Na jego podstawie powstaje deklaracja stosowania (Statement of Applicability, SoA). To dokument, w którym organizacja wskazuje, które zabezpieczenia z załącznika A normy stosuje, które wyłącza i dlaczego. SoA jest jednym z pierwszych dokumentów, o które pyta audytor, bo pokazuje, jak firma przełożyła ryzyko na konkretne działania.
Zabezpieczenia z załącznika A i dokumentacja
Załącznik A zawiera katalog zabezpieczeń, z którego organizacja wybiera te właściwe dla siebie. W ogólnym ujęciu dzielą się one na kilka obszarów:
- Organizacyjne – polityki, role, zarządzanie dostawcami, klasyfikacja informacji, reagowanie na incydenty.
- Dotyczące ludzi – weryfikacja przy zatrudnieniu, szkolenia i budowanie świadomości, zasady pracy zdalnej.
- Fizyczne – ochrona pomieszczeń, kontrola dostępu do budynku, bezpieczne niszczenie nośników.
- Technologiczne – zarządzanie dostępami, kopie zapasowe, szyfrowanie, monitorowanie, bezpieczne wytwarzanie oprogramowania.
Norma wymaga pewnej dokumentacji, ale nie oczekuje wielkich segregatorów. Potrzebne są między innymi polityka bezpieczeństwa, opis zakresu, metodyka i wyniki oceny ryzyka, deklaracja stosowania, plan postępowania z ryzykiem oraz zapisy potwierdzające działanie systemu, na przykład szkolenia czy obsługę incydentów. Dobra dokumentacja jest zwięzła, aktualna i faktycznie używana przez pracowników.
Równie ważne jak dokumenty są szkolenia. Pracownicy powinni wiedzieć, jak rozpoznać podejrzaną wiadomość, komu zgłosić incydent i jakie zasady obowiązują przy pracy z danymi klientów. Bez tej świadomości nawet najlepiej napisane procedury pozostaną tylko na papierze, a audytor szybko to zauważy w rozmowach z zespołem.
Audyt wewnętrzny i audyt certyfikacyjny
Zanim firma zaprosi jednostkę certyfikującą, musi sprawdzić system sama. Służy temu audyt wewnętrzny, prowadzony przez osoby niezależne od audytowanego obszaru. Jego celem jest wykrycie niezgodności i obszarów do poprawy. Po audycie odbywa się przegląd zarządzania, podczas którego kierownictwo ocenia wyniki, skuteczność zabezpieczeń i potrzebę zmian.
Sam audyt certyfikacyjny przebiega zwykle dwuetapowo:
- Etap pierwszy – audytor sprawdza dokumentację i gotowość organizacji. Wskazuje braki, które trzeba usunąć przed kolejnym krokiem.
- Etap drugi – audytor ocenia, czy system faktycznie działa w praktyce. Rozmawia z pracownikami, przegląda zapisy i weryfikuje wdrożone zabezpieczenia.
Jeżeli nie ma poważnych niezgodności albo zostaną one skutecznie usunięte, jednostka wydaje certyfikat. Warto wybrać jednostkę akredytowaną, bo taki certyfikat jest zwykle lepiej rozpoznawany przez klientów i partnerów.
Życie systemu po certyfikacji
Certyfikat nie kończy pracy. W kolejnych latach odbywają się audyty nadzoru, a po upływie okresu ważności audyt ponownej certyfikacji. Organizacja musi w tym czasie aktualizować analizę ryzyka, reagować na incydenty, prowadzić audyty wewnętrzne i doskonalić zabezpieczenia. Najlepiej sprawdzają się systemy, które stają się częścią codziennej pracy, a nie dodatkiem przygotowywanym tuż przed wizytą audytora. Dobrze wdrożony SZBI pomaga też szybciej odpowiadać na pytania klientów o bezpieczeństwo i porządkuje wiele procesów, które wcześniej działały „na słowo”.