Kas yra ISMS? Susiekite saugumo darbą su verslo sprendimais

Saugumo darbas gali atrodyti intensyvus, nors nėra koordinuojamas. Inžinieriai diegia sistemų pataisas, personalo skyrius tvarko darbuotojų išėjimus, pirkimų skyrius vertina tiekėjus, o vadovybė tvirtina išimtis. Informacijos saugumo valdymo sistema šias veiklas susieja su bendrais tikslais ir aiškiu sprendimų priėmimo procesu.

Generaliniam direktoriui svarbiausias klausimas nėra tai, ar įmonė turi pakankamai saugumo dokumentų. Svarbu, ar vadovybė gali paaiškinti, ką reikia apsaugoti, kurios rizikos yra svarbios, kas atsakingas ir kodėl dabartinis apsaugos lygis yra priimtinas. ISMS užtikrina, kad į šiuos klausimus būtų galima nuosekliai atsakyti keičiantis verslui.

Ką iš tikrųjų valdo ISMS

Informacijos saugumo valdymo sistema yra organizacinė sistema informacijos saugumo rizikoms valdyti. Ją sudaro atsakomybės, politika, procesai, ištekliai, kontrolės priemonės ir vertinimas. Programinė įranga gali ją palaikyti, tačiau programinė įranga nėra sistema. Dokumentų biblioteka gali ją aprašyti, tačiau vien dokumentai neįrodo, kad ji veikia.

Jos paskirtis yra apsaugoti tris informacijos savybes:

• Konfidencialumas: informacija prieinama tik įgaliotiems asmenims ir sistemoms.
• Vientisumas: informacija išlieka tiksli, išsami ir apsaugota nuo netinkamo pakeitimo.
• Prieinamumas: įgalioti naudotojai prireikus gali gauti informaciją ir naudotis palaikančiosiomis paslaugomis.

Šios savybės virsta verslo rūpesčiais. Atskleisti klientų įrašai gali pakenkti pasitikėjimui ir sukurti teisinių prievolių. Neteisingi mokėjimo nurodymai gali lemti finansinių nuostolių. Neveikianti pagalbos platforma gali sutrukdyti įmonei vykdyti įsipareigojimus klientams.

ISO/IEC 27001 pateikia pripažintus reikalavimus apibrėžtos taikymo srities ISMS. 4–10 skyriuose aptariami organizacijos kontekstas, vadovavimas, planavimas, parama, veikla, veiklos rezultatų vertinimas ir gerinimas. Organizacija gali sukurti ir eksploatuoti ISMS dar prieš siekdama sertifikavimo.

Valdymo sistema susieja atskiras apsaugos priemones su verslo sprendimais. Atsarginė kopija yra kontrolės priemonė. Sprendimas, ką privaloma atkurti, atkūrimo pajėgumų finansavimas, jų bandymas ir veiksmai po nepavykusių bandymų yra valdymo sistemos darbas.

Kodėl vadovybei reikia šių sąsajų

Saugumo sprendimai įmonėje priimami bet kuriuo atveju, nesvarbu, ar tai vadinama ISMS. Kažkas pasirenka SaaS paslaugų teikėją, patvirtina privilegijuotą prieigą, sutinka su vėluojančia pataisa ar įsipareigoja klientui dėl atkūrimo reikalavimo. Be bendro proceso šie sprendimai gali remtis skirtingomis prielaidomis, o už jų bendrą poveikį niekas neatsako.

ISMS suteikia vadovybei pagrindą nustatyti ribotų išteklių prioritetus. Ji taip pat padeda komandoms atsakyti į klientų klausimus remiantis palaikomais įrašais, o ne atkuriant savo praktiką per kiekvieną pardavimų peržiūrą. Tai negarantuoja sėkmingo pirkimo rezultato; tai padaro pagrindinius teiginius labiau pagrindžiamus.

Sąsajos turėtų atsakyti į praktinius klausimus:

Šios sąsajos ypač svarbios augimo metu. Neformali praktika, kuri veikia, kai visi vieni kitus pažįsta, tampa nepatikima, kai atsiranda naujų komandų, vietų, tiekėjų ir įsipareigojimų klientams.

Apibrėžkite verslą atspindinčią taikymo sritį

Pradėkite nuo verslo konteksto, o ne nuo kontrolės priemonių sąrašo. Nustatykite organizacijos teikiamas paslaugas, jų naudojamą informaciją, suinteresuotąsias šalis ir jų reikalavimus bei vidines ir išorines sąlygas, turinčias įtakos saugumui.

Taikymo sritis apibrėžia ISMS ribas. Ji turėtų nurodyti apimamas veiklas, organizacinius padalinius, kai aktualu – vietas, technologijas ir sąsajas su kitomis verslo dalimis. Naudinga pirmoji taikymo sritis galėtų apimti klientams skirtą produktą ir jo teikimo veiklą, o ne kiekvieną įmonės veiklą.

Vis dėlto siaura taikymo sritis negali ignoruoti priklausomybių. Jei personalo skyrius pradeda išėjimo procesą darbuotojams, turintiems prieigą prie produkto, ši sąsaja svarbi. Jei paslaugą talpina debesijos paslaugų teikėjas, užsakomosios paslaugos nepanaikina priklausomybės. Jei pagalbos komanda eksportuoja klientų informaciją, eksporto procesas turi būti įtrauktas į analizę.

Parašykite taikymo srities aprašą, o tada patikrinkite jį trimis klausimais:

• Ar klientas galėtų suprasti, kas apimama, o kas ne?
• Ar įtraukėme priklausomybes, būtinas apimamai paslaugai apsaugoti?
• Ar įvardyti atsakingi asmenys gali palaikyti sistemą šiose ribose?

Pradėti nuo mažo yra praktinė rekomendacija, o ne leidimas nustatyti klaidinančias ribas. Aiški taikymo sritis su atsakingais asmenimis yra stipresnė nei didelis registras, kurio niekas neatnaujina. Plėskite sąmoningai, kai tai pateisina naujos paslaugos ar priklausomybės.

Paskirstykite sprendimus, ne vien užduotis

Aukščiausioji vadovybė turi nustatyti ISO 27001 ISMS kryptį ir ją remti. Koordinavimo pavedimas saugumo vadovui neperkelia vadovybės atsakomybės už prioritetus, išteklius ir priimtiną riziką.

Atskirkite atsakomybes, kurios dažnai sujungiamos į vieno žmogaus darbą:

Maža įmonė gali kelias atsakomybes pavesti vienam asmeniui. Ji vis tiek turėtų nustatyti, kurį vaidmenį tas asmuo atlieka ir kur reikia nepriklausomo kritinio vertinimo, ypač vidaus auditui.

Apibrėžkite eskalavimo ribas. Komandos vadovas gali patvirtinti trumpalaikę veiklos išimtį sutartose ribose; rizikai, keliančiai grėsmę svarbiems įsipareigojimams klientams, gali prireikti vadovybės patvirtinimo. Užfiksuokite motyvus, sąlygas, galiojimo pabaigos datą ir peržiūros paleidiklį. Įrašo „priimta vadovybės“ nepakanka, jei niekas negali nustatyti, kas priėmė sprendimą ir kokia rizika buvo prisiimta.

Rizikos vertinimą paverskite prioritetų nustatymo procesu

Rizikos vertinimas turėtų aprašyti tikėtinus scenarijus, o ne tik įvardyti turtą ar išvardyti silpnąsias vietas. „Klientų duomenų bazė“ yra turtas. „Sukompromituota administratoriaus paskyra leidžia masiškai išgauti klientų įrašus“ yra rizikos scenarijus su priežastimi ir pasekme.

Nustatykite dokumentuotą vertinimo metodą ir rizikos priimtinumo kriterijus. ISO 27001 nereikalauja konkrečios vertinimo formulės. Praktiškai apibrėžkite tikimybės ir poveikio kategorijas jūsų sprendimus priimantiems asmenims suprantama kalba, įskaitant veiklos sutrikdymą, finansinius nuostolius, sutartines pasekmes ir, kai aktualu, žalą asmenims.

Kiekvienam reikšmingam scenarijui užfiksuokite:

• Paveiktą paslaugą, informaciją ir priklausomybes.
• Grėsmę ar įvykį ir susijusius pažeidžiamumus.
• Esamas kontrolės priemones ir jų žinomus apribojimus.
• Tikimybę, poveikį ir gautą prioritetą.
• Rizikos savininką ir siūlomą rizikos tvarkymo būdą.

Rizikos tvarkymas gali apimti poveikio mažinimą kontrolės priemonėmis, veiklos vengimą, rizikos aspektų pasidalijimą sutartimis ar draudimu arba rizikos prisiėmimą pagal patvirtintus kriterijus. Draudimas neatkuria prarastos informacijos, o sutartis su tiekėju nepanaikina organizacijos atsakomybės.

Atskirkite dabartinę riziką nuo liekamosios rizikos po jos tvarkymo. Nemažinkite įvertinimo vien todėl, kad užduotis suplanuota. Įvertinkite iš naujo po įgyvendinimo ir gavę tinkamų veikimo įrodymų. Rizikos tvarkymo planą ir liekamosios rizikos prisiėmimą patvirtinkite per nustatytą įgaliotą asmenį.

Veiklos rizikos registras turėtų likti sprendimų įrašu: kas pasikeitė, kodėl pasirinktas konkretus rizikos tvarkymo būdas ir kada vertinimą reikia peržiūrėti.

Parinkite kontrolės priemones ir paaiškinkite jų taikymą

Kontrolės priemonės yra priemonės, naudojamos rizikai pakeisti. Jos apima technines apsaugos priemones, pavyzdžiui, daugiaveiksnį autentifikavimą, organizacinius procesus, pavyzdžiui, tiekėjų peržiūras, su žmonėmis susijusias priemones, pavyzdžiui, mokymus, ir fizinę įrenginių bei patalpų apsaugą.

ISO/IEC 27001:2022 A priede yra 93 atskaitinės kontrolės priemonės: 37 organizacinės, 8 su žmonėmis susijusios, 14 fizinių ir 34 technologinės. Jos parenkamos remiantis rizika; organizacija savaime neįgyvendina kiekvienos kontrolės priemonės. ISO/IEC 27002 pateikia įgyvendinimo gaires, o ne atskirą ISMS sertifikavimo reikalavimą.

Pagal ISO 27001 nustatykite rizikai tvarkyti būtinas kontrolės priemones ir palyginkite jas su A priedu, kad patikrintumėte, ar nepraleidote būtinų priemonių. Kontrolės priemonių taip pat gali prireikti dėl teisinių ar sutartinių reikalavimų, ir jos neprivalo apsiriboti A priedu.

Taikymo pareiškime užfiksuojamos būtinos kontrolės priemonės, jų įtraukimo pagrindimas, įgyvendinimo būsena ir A priedo kontrolės priemonių netaikymo pagrindimas. Jis skiriasi nuo rizikos tvarkymo plano: vienas paaiškina taikomą kontrolės priemonių rinkinį, kitas – veiksmus, reikalingus rizikoms tvarkyti. Šios atskaitos struktūros apžvalgą rasite A priedo kontrolės priemonių vadove.

Kiekvienai pasirinktai kontrolės priemonei apibrėžkite atsakingą asmenį, numatomą rezultatą, kaip ji veikia ir kokie įrodymai parodys veiksmingumą. Įrašas „prieigos kontrolė įgyvendinta“ yra mažiau naudingas nei aiškus procesas, apimantis patvirtinimą, suteikimą, peržiūrą ir panaikinimą.

Politika turėtų nustatyti taisykles, kurių žmonės gali laikytis. Procedūros turėtų paaiškinti vykdymą. Nė viena jų neturėtų žadėti peržiūrų ar techninių apribojimų, kurių organizacija iš tikrųjų negali palaikyti.

Įrodymų kūrimą įtraukite į įprastą veiklą

Įrodymai turėtų atsirasti atliekant darbą, o ne atkuriant istoriją prieš auditą. Prieigos peržiūra gali sukurti datuotą naudotojų sąrašą, peržiūrėtojų sprendimus, panaikinimo užklausas ir patvirtinimą, kad pakeitimai įvyko. Atkūrimo pratybos gali sukurti bandymo sąlygas, rezultatus, pastebėtus apribojimus ir tolesnius veiksmus.

Ekrano nuotrauka gali parodyti nustatymą vienu momentu. Ji nebūtinai įrodo, kad nustatymas apima kiekvieną susijusią sistemą ar išliko veiksmingas visą laikotarpį. Peržiūrėtojai turėtų išnagrinėti apimtį, datą, šaltinį, išsamumą ir tai, kokią išvadą įrodymai iš tikrųjų pagrindžia.

Praktinį ISMS įrodymų rinkinį sudaro:

Kiekvienai eilutei nereikia atskiro dokumento. Maža organizacija gali sujungti įrašus, jei išlieka aiškumas ir atsekamumas. Apsaugokite ir pačius įrodymus: naudotojų eksportuose, incidentų įrašuose ir ekrano nuotraukose gali būti jautrios informacijos, todėl jiems reikia tinkamos prieigos ir saugojimo tvarkos.

Pavyzdys: klientų aptarnavimo platforma

Panagrinėkime iliustracinę 30 žmonių programinės įrangos įmonę, naudojančią SaaS pagalbos platformą. Tarkime, kad platformoje saugomi klientų vardai, kontaktiniai duomenys, užklausų istorija ir kartais diagnostiniai priedai. Darbuotojai naudoja asmenines paskyras, programą talpina išorės paslaugų teikėjas, o kai kurios užklausos eksportuojamos trikčių šalinimui. Tai yra pavyzdžio prielaidos, o ne nustatytas įmonės modelis.

ISMS taikymo sritis apima klientų aptarnavimo veiklą ir jos priklausomybes: darbuotojų tapatybes, SaaS tiekėją, prieigą iš galinių įrenginių, eksportus, saugojimą ir atkūrimo tvarką. Pagalbos vadovas yra paslaugos savininkas; IT eksploatuoja prieigos kontrolės priemones; pirkimų skyrius koordinuoja tiekėjo peržiūrą; vadovybė tvirtina rizikas, viršijančias deleguotus įgaliojimus.

Pradiniame vertinime nustatomi trys scenarijai:

Tarkime, kad suderinant paskyras paaiškėja, jog buvęs darbuotojas vis dar turi prieigą. Nedelsiant reikia ją panaikinti ir įvertinti, ar paskyra nebuvo netinkamai naudota. Valdymo sistemos veiksmas – nustatyti, kodėl panaikinimas nepavyko. Galbūt personalo skyrius informavo IT, tačiau pagalbos programos nebuvo išėjimo kontroliniame sąraše.

Tada taisomasis veiksmas atnaujina programų inventorių, įtraukia pagalbos platformą į išėjimo procesą, paskiria atsakomybę už patvirtinimą ir patikrina vėlesnius išėjimus. Vien panaikinimo užklausos uždarymas pašalintų tiesioginę problemą, bet ne jos priežastį.

Dabar tarkime, kad SaaS tiekėjas pakeičia savo subtvarkytojų sąrašą. Tiekėjo santykio savininkas peržiūri pakeitimą pagal sutartinius, saugumo ir susijusius privatumo reikalavimus. Jis užfiksuoja, ar pakeitimas paveikia duomenų tvarkymą, priklausomybes ar prisiimtą riziką ir ar reikia specialisto peržiūros. Pakeitimas turi atsakingą asmenį ir peržiūros kelią, o ne lieka neperskaitytas bendroje pašto dėžutėje.

Vadovybė gauna neišspręstus sprendimus: ar finansuoti patikimesnį atsarginį sprendimą, sumažinti prieduose renkamą informaciją, ar prisiimti apibrėžtą likusią riziką. Būtent taip ISMS susieja veiklos išvadas su verslo pasirinkimais.

Laikykitės ritmo, leidžiančio aptikti pokyčius

Peržiūras planuokite atsižvelgdami į riziką, pokyčių dažnumą ir prievoles. Savaitinė spragų peržiūra pradinio įgyvendinimo metu ir periodinė vadovybės peržiūra gali būti naudingi praktiniai pasirinkimai, tačiau tai nėra ISO 27001 nustatyti visuotiniai intervalai. Standartas reikalauja vidaus auditų ir vadovybės peržiūrų suplanuotais intervalais.

Pridėkite įvykių inicijuojamus paleidiklius: incidentus, didelius išleidimus, įsigijimus, tiekėjų pokyčius, naujas teisines prievoles, reikšmingus įsipareigojimus klientams ir audito išvadas. Vien kalendorius praleis svarbius pokyčius tarp suplanuotų susitikimų.

Stebėsena atsako į klausimą, ar kontrolės priemonės ir tikslai veikia taip, kaip numatyta. Vidaus auditas įvertina, ar ISMS atitinka reikalavimus ir yra veiksmingai įgyvendinta bei palaikoma. Vadovybės peržiūra įvertina sistemos tinkamumą, pakankamumą ir veiksmingumą bei priima sprendimus dėl pokyčių ir išteklių. Šios veiklos papildo viena kitą, bet nėra tarpusavyje pakeičiamos.

Vadovybė turėtų gauti sprendimams parengtą informaciją: reikšmingas rizikas, vėluojančias rizikos tvarkymo priemones, pasikartojančias nesėkmes, audito išvadas, besikeičiančius reikalavimus ir išteklių apribojimus. Užbaigtų užduočių skaičiavimas, nenagrinėjant rezultatų, gali paslėpti silpnus veiklos rezultatus. Naudingi rodikliai aptariami ISMS rodiklių vadove.

Incidentų valdymas taip pat priklauso šiam ciklui. Apibrėžkite pranešimo kelius, vertinimo kriterijus, reagavimo atsakomybes, komunikacijos įgaliojimus ir atkūrimo tvarką. Kontaktinius kanalus ir sprendimų priėmimą išbandykite pratybomis. Įvertinkite taikomas pranešimo prievoles, o ne manykite, kad vienas terminas taikomas kiekvienam incidentui.

Po incidento ar neatitikties pašalinkite tiesioginę problemą, ištirkite priežastis, įgyvendinkite taisomuosius veiksmus ir įvertinkite jų veiksmingumą. Pasikartojančios išvados yra priežastis persvarstyti proceso projektą ar išteklius, o ne tiesiog pakartoti tą patį priminimą.

Atskirkite ISMS, sertifikavimą ir teisines prievoles

ISMS yra organizacijos eksploatuojama sistema. ISO 27001 yra standartas, pagal kurį ši sistema gali būti vertinama. Sertifikatą išduoda nepriklausoma sertifikavimo įstaiga, o ne ISO ar Secani, ir jis taikomas nurodytai taikymo sričiai.

Sertifikavimas gali būti naudingas užtikrinimo mechanizmas, kai jo reikalauja klientai ar kitos suinteresuotosios šalys. Jis neįrodo, kad apimama kiekviena įmonės veikla, kad kiekviena kontrolės priemonė visada veikia ar kad incidentai negali įvykti. Tikrinkite taikymo sritį ir būseną, o ne laikykite sertifikato visos įmonės saugumo garantija.

Teisinis taikymas reikalauja atskiros analizės. BDAR 32 straipsnis reikalauja tinkamų techninių ir organizacinių saugumo priemonių, atsižvelgiant į susijusias rizikas. NIS2 per nacionalinį įgyvendinimą reglamentuoja vadovybės priežiūrą, rizikos valdymo priemones ir pranešimą apie incidentus subjektams, kuriems ji taikoma.

ISMS gali sutvarkyti tokias prievoles pagrindžiančius įrodymus ir atsakomybes, tačiau sertifikavimas neįrodo atitikties BDAR ar NIS2. Taip pat netikslu teigti, kad ISMS niekada negali būti teisiškai privaloma: reikia patikrinti taikomas nacionalines ar konkrečiam sektoriui taikomas taisykles.

Venkite trijų nuspėjamų įgyvendinimo nesėkmių

Šablonų perėmimas be pakeitimų. Šablonai gali suteikti struktūrą, tačiau atsakingi asmenys turi patikrinti kiekvieną įsipareigojimą pagal faktinę praktiką. Politika, reikalaujanti peržiūrų, kurių niekas neatlieka, sukuria nevaldomą spragą.

Ribos, kurių niekas negali palaikyti. Ambicingas inventorius nenaudingas, jei atsakomybė ir priklausomybės neaiškios. Pradėkite nuo pagrįstų paslaugos ribų, o tada plėskite pagal aiškų planą.

Sertifikavimo laikymas finišo linija. Sistema turi veikti ir toliau keičiantis darbuotojams, tiekėjams, įvykus incidentams ir atsiradus naujiems produktams. Biudžetą numatykite eksploatavimui, peržiūrai ir gerinimui, o ne vien pradiniams dokumentams.

Susijęs įspėjimas – nepatikrintas automatizavimas. Automatiškai surinkti įrašai ir DI sukurtos santraukos gali padėti darbui, tačiau žmonėms vis tiek reikia nustatyti aktualumą, įvertinti spragas ir patvirtinti išvadas.

Pirmąjį vadovybės sprendimą padarykite konkretų

Pasirinkite vieną reprezentatyvią paslaugą ir paprašykite jos savininko pateikti taikymo srities aprašą, priklausomybių žemėlapį, pradinius rizikos scenarijus, esamas kontrolės priemones ir neišspręstus sprendimus. Susitarkite, kas gali prisiimti riziką, kokie ištekliai prieinami ir kada bus peržiūrima pažanga. Tai sukuria valdomą atspirties tašką, neapsimetant, kad visa organizacija jau yra apimta.

Secani darbo erdvės modelis palaiko šią darbo eigą modeliuodamas paslaugas ir palaikančiuosius tikslinius objektus, susiedamas įrodymus su reikalavimais, kontrolės priemonėmis ir sprendimais bei paskirdamas atsakingus asmenis ir peržiūros atsakomybes. Komandos gali trūkstamus įrodymus ar neaiškią atsakomybę paversti užduotimis. DI padedami pasiūlymai lieka juodraščiu, kurį peržiūri žmonės, o šaltiniai ir patvirtinimai išlieka atsekami.

Todėl kitas pokalbis su vadovybe turėtų būti konkretus: kurią paslaugą saugome pirmiausia, kuriai rizikai dabar reikia sprendimo ir kokie įrodymai parodys, kad sprendimas pasiteisino?