Što je ISMS? Povežite sigurnosni rad s poslovnim odlukama

Sigurnosni rad može izgledati užurbano, a da pritom nije koordiniran. Inženjering primjenjuje zakrpe na sustave, kadrovska služba obrađuje odlaske zaposlenika, nabava pregledava dobavljače, a uprava odobrava iznimke. Sustav upravljanja informacijskom sigurnošću povezuje te aktivnosti sa zajedničkim ciljevima i izričitim procesom odlučivanja.

Za izvršnog direktora važno pitanje nije ima li poduzeće dovoljno sigurnosnih dokumenata. Važno je može li uprava objasniti što treba zaštititi, koji su rizici bitni, tko je odgovoran i zašto je trenutačna razina zaštite prihvatljiva. ISMS čini te odgovore ponovljivima dok se poslovanje mijenja.

Čime ISMS zapravo upravlja

Sustav upravljanja informacijskom sigurnošću organizacijski je sustav za upravljanje rizicima informacijske sigurnosti. Uključuje odgovornosti, politike, procese, resurse, kontrole i vrednovanje. Softver ga može podupirati, ali softver nije sustav. Knjižnica dokumenata može ga opisivati, ali sami dokumenti ne dokazuju da on funkcionira.

Njegova je svrha zaštititi tri svojstva informacija:

• Povjerljivost: informacije su dostupne samo ovlaštenim osobama i sustavima.
• Cjelovitost: informacije ostaju točne, potpune i zaštićene od neprimjerenih izmjena.
• Dostupnost: ovlašteni korisnici mogu doći do informacija i koristiti potporne usluge kada im je to potrebno.

Ta se svojstva pretvaraju u poslovne brige. Izloženi zapisi o kupcima mogu narušiti povjerenje i stvoriti zakonske obveze. Netočne upute za plaćanje mogu prouzročiti financijski gubitak. Nedostupna platforma za podršku može spriječiti poduzeće da ispuni obveze prema kupcima.

ISO/IEC 27001 pruža priznate zahtjeve za ISMS s definiranim opsegom. Točke 4. – 10. odnose se na kontekst organizacije, vodstvo, planiranje, podršku, rad, vrednovanje učinkovitosti i poboljšavanje. Organizacija može razviti i voditi ISMS i prije nego što krene prema certifikaciji.

Sustav upravljanja povezuje pojedinačne zaštitne mjere s poslovnim odlukama. Sigurnosna kopija je kontrola. Odlučivanje o tome što mora biti moguće oporaviti, financiranje sposobnosti oporavka, njezino testiranje i postupanje na temelju neuspjelih testova posao je sustava upravljanja.

Zašto upravi trebaju te veze

Sigurnosne odluke već se donose posvuda u poduzeću, nazivalo se to ISMS-om ili ne. Netko odabire SaaS pružatelja, odobrava povlašteni pristup, prihvaća odgođenu zakrpu ili se kupcu obvezuje na zahtjev za oporavak. Bez zajedničkog procesa te se odluke mogu temeljiti na različitim pretpostavkama, a nitko nije odgovoran za njihov zajednički učinak.

ISMS daje upravi osnovu za određivanje prioriteta ograničenih resursa. Pomaže i timovima da na pitanja kupaca odgovaraju iz održavanih evidencija umjesto da svoje prakse rekonstruiraju pri svakom prodajnom pregledu. To ne jamči uspješan ishod nabave; čini temeljne tvrdnje lakše potkrijepljenima.

Veze bi trebale odgovoriti na praktična pitanja:

Te su veze posebno važne tijekom rasta. Neformalne prakse koje funkcioniraju dok se svi međusobno poznaju postaju nepouzdane kada stignu novi timovi, lokacije, dobavljači i obveze prema kupcima.

Definirajte opseg koji odražava poslovanje

Počnite od poslovnog konteksta, a ne od popisa kontrola. Utvrdite usluge koje organizacija pruža, informacije koje koriste, zainteresirane strane i njihove zahtjeve te unutarnje i vanjske uvjete koji utječu na sigurnost.

Opseg definira granicu ISMS-a. Trebao bi navesti obuhvaćene aktivnosti, organizacijske jedinice, lokacije ako su relevantne, tehnologiju i sučelja s drugim dijelovima poslovanja. Koristan prvi opseg može obuhvatiti proizvod namijenjen kupcima i njegove operacije isporuke umjesto svake korporativne aktivnosti.

Međutim, usmjeren opseg ne može zanemariti ovisnosti. Ako kadrovska služba pokreće proces odlaska za zaposlenike s pristupom proizvodu, to je sučelje važno. Ako pružatelj usluga u oblaku hostira uslugu, eksternalizacija ne čini da ovisnost nestane. Ako podrška izvozi informacije o kupcima, proces izvoza pripada analizi.

Napišite izjavu o opsegu, a zatim je provjerite trima pitanjima:

• Bi li kupac mogao razumjeti što jest, a što nije obuhvaćeno?
• Jesmo li uključili ovisnosti potrebne za zaštitu obuhvaćene usluge?
• Mogu li imenovane odgovorne osobe održavati sustav unutar te granice?

Početak s manjim opsegom praktična je preporuka, a ne dopuštenje za stvaranje zavaravajuće granice. Jasan opseg s odgovornim osobama snažniji je od velikog registra koji nitko ne ažurira. Proširujte ga promišljeno kada to opravdavaju nove usluge ili ovisnosti.

Dodjeljujte odluke, a ne samo zadatke

Najviše rukovodstvo mora osigurati usmjerenje i potporu za ISMS prema ISO 27001. Delegiranje koordinacije voditelju sigurnosti ne prenosi odgovornost vodstva za prioritete, resurse i prihvatljiv rizik.

Razdvojite odgovornosti koje se često spajaju u posao jedne osobe:

Malo poduzeće može jednoj osobi dodijeliti nekoliko odgovornosti. Ipak bi trebalo utvrditi koju ulogu ta osoba obnaša i gdje je potrebno neovisno preispitivanje, posebno za interni audit.

Definirajte pragove eskalacije. Voditelj tima može odobriti kratkotrajnu operativnu iznimku unutar dogovorenih granica; rizik koji ugrožava ključne obveze prema kupcima može zahtijevati odobrenje uprave. Evidentirajte obrazloženje, uvjete, datum isteka i okidač za pregled. „Prihvatila uprava“ nije dovoljno ako nitko ne može utvrditi tko je donio odluku ni koja je izloženost prihvaćena.

Pretvorite procjenu rizika u proces određivanja prioriteta

Procjena rizika trebala bi opisivati vjerojatne scenarije, a ne samo navoditi imovinu ili nabrajati slabosti. „Baza podataka o kupcima“ je imovina. „Kompromitirani administratorski račun omogućuje masovno izvlačenje zapisa o kupcima“ scenarij je rizika s uzrokom i posljedicom.

Uspostavite dokumentiranu metodu procjene i kriterije prihvaćanja rizika. ISO 27001 ne zahtijeva jednu određenu formulu bodovanja. Kao praktičan pristup, definirajte kategorije vjerojatnosti i učinka jezikom koji razumiju vaši donositelji odluka, uključujući operativni poremećaj, financijski gubitak, ugovorne posljedice i, ako je relevantno, štetu za pojedince.

Za svaki bitni scenarij evidentirajte:

• Pogođenu uslugu, informacije i ovisnosti.
• Prijetnju ili događaj i relevantne ranjivosti.
• Postojeće kontrole i njihova poznata ograničenja.
• Vjerojatnost, učinak i iz njih proizašli prioritet.
• Vlasnika rizika i predloženo postupanje.

Postupanje može uključivati smanjenje izloženosti kontrolama, izbjegavanje aktivnosti, dijeljenje dijelova rizika putem ugovora ili osiguranja ili prihvaćanje rizika unutar odobrenih kriterija. Osiguranje ne vraća izgubljene informacije, a ugovor s dobavljačem ne uklanja odgovornosti organizacije.

Razlikujte trenutačni rizik od preostalog rizika nakon postupanja. Ne smanjujte ocjenu samo zato što je zadatak zakazan. Ponovno procijenite nakon provedbe i odgovarajućih dokaza o radu. Pribavite odobrenje plana postupanja i prihvaćanje preostalog rizika od definiranog tijela s ovlastima.

Operativni registar rizika trebao bi ostati evidencija odluka: što se promijenilo, zašto je odabrano određeno postupanje i kada procjenu treba preispitati.

Odaberite kontrole i objasnite njihovu primjenjivost

Kontrole su mjere kojima se mijenja rizik. Uključuju tehničke zaštitne mjere poput višefaktorske autentifikacije, organizacijske procese poput pregleda dobavljača, mjere vezane uz ljude poput osposobljavanja te fizičku zaštitu uređaja i prostora.

Dodatak A norme ISO/IEC 27001:2022 sadržava 93 referentne kontrole: 37 organizacijskih, 8 kadrovskih, 14 fizičkih i 34 tehnološke. Odabir se temelji na riziku; organizacija ne provodi automatski svaku kontrolu. ISO/IEC 27002 pruža smjernice za provedbu, a ne zaseban zahtjev za certifikaciju ISMS-a.

Za ISO 27001 utvrdite kontrole potrebne za postupanje s rizicima i usporedite ih s Dodatkom A kako biste provjerili da nijedna potrebna kontrola nije izostavljena. Kontrole mogu biti potrebne i zbog zakonskih ili ugovornih zahtjeva i ne moraju biti ograničene na Dodatak A.

Izjava o primjenjivosti evidentira potrebne kontrole, obrazloženje njihova uključivanja, status provedbe i obrazloženje isključenja kontrola iz Dodatka A. Razlikuje se od plana postupanja s rizicima: jedna objašnjava primjenjivi skup kontrola; drugi objašnjava radnje potrebne za postupanje s rizicima. Za tu referentnu strukturu pogledajte vodič za kontrole iz Dodatka A.

Za svaku odabranu kontrolu definirajte odgovornu osobu, namjeravani ishod, način rada i dokaze koji će pokazati učinkovitost. „Kontrola pristupa provedena“ manje je korisno od izričitog procesa koji obuhvaća odobravanje, dodjelu, pregled i uklanjanje.

Politike bi trebale utvrditi pravila koja ljudi mogu slijediti. Postupci bi trebali objasniti izvršenje. Ni jedni ni drugi ne bi smjeli obećavati preglede ili tehnička ograničenja koja organizacija zapravo ne može održavati.

Ugradite dokaze u uobičajeno poslovanje

Dokazi bi trebali nastajati iz obavljanja posla, a ne iz rekonstrukcije priče prije audita. Pregled pristupa može dati datirani popis korisnika, odluke recenzenata, tikete za uklanjanje i potvrdu da su promjene provedene. Vježba oporavka može dati uvjete testa, rezultate, uočena ograničenja i daljnje radnje.

Snimka zaslona može prikazati postavku u jednom trenutku. Ne dokazuje nužno da postavka pokriva svaki relevantni sustav ni da je ostala učinkovita tijekom cijelog razdoblja. Recenzenti bi trebali ispitati opseg, datum, izvor, potpunost i koji zaključak dokazi stvarno podupiru.

Praktičan skup dokaza za ISMS uključuje:

Nije svakom retku potreban zaseban dokument. Mala organizacija može objediniti zapise ako jasnoća i sljedivost ostanu očuvane. Zaštitite i same dokaze: izvozi korisnika, zapisi o incidentima i snimke zaslona mogu sadržavati osjetljive informacije i trebaju imati odgovarajuće aranžmane za pristup i čuvanje.

Primjer iz prakse: platforma za korisničku podršku

Uzmimo ilustrativan primjer softverskog poduzeća s 30 zaposlenika koje koristi SaaS platformu za podršku. Pretpostavimo da platforma sadržava imena kupaca, kontaktne podatke, povijest tiketa i povremene dijagnostičke privitke. Zaposlenici koriste pojedinačne račune, vanjski pružatelj hostira aplikaciju, a neki se tiketi izvoze radi otklanjanja poteškoća. To su pretpostavke za primjer, a ne propisani model poduzeća.

Opseg ISMS-a obuhvaća operacije korisničke podrške i njihove ovisnosti: identitete zaposlenika, SaaS dobavljača, pristup s krajnjih uređaja, izvoze, čuvanje i aranžmane za oporavak. Voditelj podrške vlasnik je usluge; IT upravlja kontrolama pristupa; nabava koordinira pregled dobavljača; uprava odobrava rizike izvan delegiranih ovlasti.

Početna procjena utvrđuje tri scenarija:

Pretpostavimo da usklađivanje računa otkrije da bivši zaposlenik i dalje ima pristup. Hitna je radnja ukloniti ga i procijeniti je li račun neprimjereno korišten. Radnja sustava upravljanja jest utvrditi zašto uklanjanje nije uspjelo. Možda je kadrovska služba obavijestila IT, ali aplikacija za podršku nije bila na kontrolnom popisu za odlazak.

Korektivna radnja zatim ažurira popis aplikacija, dodaje platformu za podršku u proces odlaska, dodjeljuje odgovornost za potvrdu i provjerava naknadne odlaske. Samo zatvaranje tiketa za uklanjanje riješilo bi trenutačno stanje, ali ne i njegov uzrok.

Pretpostavimo sada da SaaS dobavljač promijeni popis podizvršitelja obrade. Osoba odgovorna za dobavljača pregledava promjenu u odnosu na ugovorne, sigurnosne i relevantne zahtjeve privatnosti. Evidentira utječe li promjena na postupanje s podacima, ovisnosti ili prihvaćeni rizik i je li potreban stručni pregled. Promjena ima odgovornu osobu i put pregleda umjesto da ostane nepročitana u zajedničkom sandučiću.

Uprava dobiva neriješene odluke: hoće li financirati snažnije rezervno rješenje, smanjiti informacije prikupljene u privicima ili prihvatiti definiranu preostalu izloženost. To je ISMS koji povezuje operativne nalaze s poslovnim izborima.

Održavajte ritam koji može otkriti promjene

Zakažite preglede prema riziku, učestalosti promjena i obvezama. Tjedni pregled nedostataka tijekom početne provedbe i periodični upravin pregled mogu biti korisni praktični izbori, ali nisu opći intervali propisani normom ISO 27001. Norma zahtijeva interne audite i upravine preglede u planiranim intervalima.

Dodajte okidače vezane uz događaje: incidente, velika izdanja, preuzimanja, promjene dobavljača, nove zakonske obveze, značajne obveze prema kupcima i nalaze audita. Sam kalendar propustit će važne promjene između zakazanih sastanaka.

Nadzor ispituje djeluju li kontrole i ciljevi kako je predviđeno. Interni audit ocjenjuje je li ISMS sukladan zahtjevima te provodi li se i održava učinkovito. Upravin pregled razmatra prikladnost, primjerenost i učinkovitost sustava i donosi odluke o promjenama i resursima. Te se aktivnosti međusobno informiraju, ali nisu međusobno zamjenjive.

Uprava bi trebala dobivati informacije spremne za odlučivanje: bitne rizike, zakašnjela postupanja, ponovljene neuspjehe, nalaze audita, promjenjive zahtjeve i ograničenja resursa. Brojanje dovršenih zadataka bez ispitivanja ishoda može prikriti slabu učinkovitost. Vodič za ISMS pokazatelje istražuje korisne mjere.

U taj ciklus pripada i upravljanje incidentima. Definirajte putove prijave, kriterije procjene, odgovornosti za odgovor, ovlasti za komunikaciju i aranžmane za oporavak. Vježbama testirajte kontaktne putove i odlučivanje. Procijenite primjenjive obveze obavješćivanja umjesto da pretpostavite da jedan rok vrijedi za svaki incident.

Nakon incidenta ili nesukladnosti riješite neposredni problem, istražite uzroke, provedite korektivnu radnju i ocijenite njezinu učinkovitost. Ponovljeni nalazi razlog su za preispitivanje oblikovanja procesa ili resursa, a ne samo za ponavljanje istog podsjetnika.

Razlikujte ISMS, certifikaciju i zakonske obveze

ISMS je sustav kojim organizacija upravlja. ISO 27001 je norma prema kojoj se taj sustav može ocijeniti. Certifikat izdaje neovisno certifikacijsko tijelo, a ne ISO ili Secani, i on vrijedi za navedeni opseg.

Certifikacija može biti koristan mehanizam jamstva kada je zahtijevaju kupci ili druge zainteresirane strane. Nije dokaz da je obuhvaćena svaka aktivnost poduzeća, da svaka kontrola uvijek funkcionira ili da se incidenti ne mogu dogoditi. Provjerite opseg i status umjesto da certifikat smatrate sigurnosnim jamstvom za cijelo poduzeće.

Zakonska primjenjivost zahtijeva zasebnu analizu. Članak 32. GDPR-a (Opća uredba o zaštiti podataka) zahtijeva odgovarajuće tehničke i organizacijske sigurnosne mjere na temelju relevantnih rizika. NIS2 putem nacionalne provedbe uređuje nadzor uprave, mjere upravljanja rizicima i izvješćivanje o incidentima za obuhvaćene subjekte.

ISMS može organizirati dokaze i odgovornosti koji podupiru takve obveze, ali certifikacija ne dokazuje usklađenost s GDPR-om ili NIS2. Isto tako nije točno reći da ISMS nikada ne može biti zakonski obvezan: treba provjeriti primjenjiva nacionalna ili sektorska pravila.

Izbjegnite tri predvidljive pogreške pri provedbi

Preuzimanje predložaka bez izmjena. Predlošci mogu dati okvir, ali odgovorne osobe moraju svaku obvezu provjeriti u odnosu na stvarnu praksu. Politika koja zahtijeva preglede koje nitko ne provodi stvara neupravljani nedostatak.

Postavljanje granice koju nitko ne može održavati. Ambiciozan popis nije koristan ako vlasništvo i ovisnosti nisu jasni. Počnite s obranjivom granicom usluge, a zatim je proširujte prema izričitom planu.

Shvaćanje certifikacije kao cilja. Sustav mora nastaviti funkcionirati kroz kadrovske promjene, promjene dobavljača, incidente i nove proizvode. Planirajte proračun za rad, pregled i poboljšanje, a ne samo za početnu dokumentaciju.

Povezano upozorenje odnosi se na nepregledanu automatizaciju. Automatski prikupljeni zapisi i sažeci koje generira umjetna inteligencija mogu podupirati rad, ali ljudi i dalje moraju utvrditi relevantnost, procijeniti nedostatke i odobriti zaključke.

Neka prva odluka uprave bude konkretna

Odaberite jednu reprezentativnu uslugu i zamolite njezina vlasnika da donese izjavu o opsegu, kartu ovisnosti, početne scenarije rizika, trenutačne kontrole i neriješene odluke. Dogovorite tko može prihvatiti rizik, koji su resursi dostupni i kada će se pregledati napredak. Time se stvara upravljiva polazna točka, a da se ne pretvara da je cijela organizacija već obuhvaćena.

Secanijev model radnog prostora podupire taj tijek rada modeliranjem usluga i potpornih ciljnih objekata, povezivanjem dokaza sa zahtjevima, kontrolama i odlukama te dodjeljivanjem odgovornih osoba i odgovornosti za pregled. Timovi mogu nedostajuće dokaze ili nejasno vlasništvo pretvoriti u zadatke. Prijedlozi izrađeni uz pomoć umjetne inteligencije ostaju nacrti za ljudski pregled, a izvori i odobrenja ostaju sljedivi.

Sljedeći razgovor u upravi stoga bi trebao biti konkretan: koju uslugu prvo štitimo, koja izloženost sada zahtijeva odluku i koji će dokazi pokazati da je odluka djelovala?