Kas ir ISMS? Sasaistiet drošības darbu ar biznesa lēmumiem

Drošības darbs var izskatīties rosīgs, nebūdams koordinēts. Inženieri uzstāda ielāpus sistēmām, personāla daļa apstrādā darbinieku aiziešanu, iepirkumu nodaļa pārskata piegādātājus, un vadība apstiprina izņēmumus. Informācijas drošības pārvaldības sistēma sasaista šīs darbības ar kopīgiem mērķiem un skaidru lēmumu pieņemšanas procesu.

Izpilddirektoram svarīgais jautājums nav, vai uzņēmumam ir pietiekami daudz drošības dokumentu. Svarīgi ir tas, vai vadība spēj izskaidrot, kas jāaizsargā, kuri riski ir būtiski, kas ir atbildīgs un kāpēc pašreizējais aizsardzības līmenis ir pieņemams. ISMS padara šīs atbildes atkārtojamas, uzņēmumam mainoties.

Ko ISMS faktiski pārvalda

Informācijas drošības pārvaldības sistēma ir organizatoriskā sistēma informācijas drošības risku pārvaldībai. Tā ietver pienākumus, politikas, procesus, resursus, kontroles un novērtēšanu. Programmatūra to var atbalstīt, taču programmatūra nav pati sistēma. Dokumentu bibliotēka to var aprakstīt, taču dokumenti vieni paši nepierāda, ka tā darbojas.

Tās mērķis ir aizsargāt trīs informācijas īpašības:

• Konfidencialitāte: informācija ir pieejama tikai pilnvarotām personām un sistēmām.
• Integritāte: informācija paliek precīza, pilnīga un aizsargāta pret nepiemērotām izmaiņām.
• Pieejamība: pilnvaroti lietotāji var iegūt informāciju un izmantot atbalsta pakalpojumus, kad tas nepieciešams.

Šīs īpašības pārtop uzņēmējdarbības problēmās. Atklāti klientu ieraksti var mazināt uzticēšanos un radīt juridiskus pienākumus. Nepareizi maksājuma norādījumi var izraisīt finansiālus zaudējumus. Nepieejama atbalsta platforma var liegt uzņēmumam izpildīt saistības pret klientiem.

ISO/IEC 27001 nosaka atzītas prasības ISMS ar definētu tvērumu. 4.–10. punkts attiecas uz organizācijas kontekstu, vadību, plānošanu, atbalstu, darbību, veiktspējas novērtēšanu un uzlabošanu. Organizācija var izstrādāt un darbināt ISMS, pirms tiecas pēc sertifikācijas.

Pārvaldības sistēma nodrošina saikni starp atsevišķiem aizsardzības pasākumiem un biznesa lēmumiem. Rezerves kopija ir kontrole. Lēmums par to, kam jābūt atjaunojamam, atjaunošanas spējas finansēšana, tās testēšana un rīcība pēc neveiksmīgiem testiem ir pārvaldības sistēmas darbs.

Kāpēc vadībai vajadzīgas šīs saiknes

Drošības lēmumi jau tiek pieņemti visā uzņēmumā neatkarīgi no tā, vai to sauc par ISMS. Kāds izvēlas SaaS pakalpojumu sniedzēju, apstiprina priviliģētu piekļuvi, pieņem aizkavētu ielāpu vai apņemas izpildīt klienta atjaunošanas prasību. Bez kopīga procesa šajos lēmumos var izmantot atšķirīgus pieņēmumus, un neviens nebūs atbildīgs par to kopējo ietekmi.

ISMS sniedz vadībai pamatu ierobežotu resursu prioritizēšanai. Tā arī palīdz komandām atbildēt uz klientu jautājumiem, izmantojot uzturētus ierakstus, nevis rekonstruējot savu praksi katrā pārdošanas pārbaudē. Tas negarantē sekmīgu iepirkuma rezultātu; tas padara pamatā esošos apgalvojumus labāk pamatojamus.

Saiknēm būtu jāatbild uz praktiskiem jautājumiem:

Šīs saiknes ir īpaši svarīgas izaugsmes laikā. Neformāla prakse, kas darbojas, kad visi cits citu pazīst, kļūst neuzticama, parādoties jaunām komandām, atrašanās vietām, piegādātājiem un saistībām pret klientiem.

Definējiet tvērumu, kas atspoguļo uzņēmējdarbību

Sāciet ar uzņēmējdarbības kontekstu, nevis ar kontroļu sarakstu. Nosakiet pakalpojumus, ko organizācija sniedz, informāciju, ko tie izmanto, ieinteresētās puses un to prasības, kā arī iekšējos un ārējos apstākļus, kas ietekmē drošību.

Tvērums nosaka ISMS robežu. Tajā būtu jānorāda aptvertās darbības, organizatoriskās vienības, attiecīgā gadījumā atrašanās vietas, tehnoloģijas un saskarnes ar citām uzņēmuma daļām. Noderīgs pirmais tvērums varētu aptvert klientiem paredzētu produktu un tā piegādes darbību, nevis katru uzņēmuma darbību.

Tomēr mērķtiecīgs tvērums nevar ignorēt atkarības. Ja personāla daļa uzsāk aiziešanas procesu darbiniekiem ar piekļuvi produktam, šī saskarne ir būtiska. Ja pakalpojumu mitina mākoņpakalpojumu sniedzējs, ārpakalpojums neliek atkarībai izzust. Ja atbalsta dienests eksportē klientu informāciju, eksporta process ir jāiekļauj analīzē.

Uzrakstiet tvēruma aprakstu un pēc tam pārbaudiet to ar trim jautājumiem:

• Vai klients varētu saprast, kas ir un kas nav aptverts?
• Vai esam iekļāvuši atkarības, kas nepieciešamas aptvertā pakalpojuma aizsardzībai?
• Vai vārdā nosaukti īpašnieki var uzturēt sistēmu šajās robežās?

Sākšana ar mazu ir praktiska rekomendācija, nevis atļauja izveidot maldinošu robežu. Skaidrs tvērums ar atbildīgiem īpašniekiem ir spēcīgāks par lielu reģistru, ko neviens neatjaunina. Paplašiniet apzināti, kad to pamato jauni pakalpojumi vai atkarības.

Piešķiriet lēmumus, ne tikai uzdevumus

Augstākajai vadībai jānodrošina ISO 27001 ISMS virzība un atbalsts. Koordinēšanas deleģēšana drošības vadītājam nenodod vadības atbildību par prioritātēm, resursiem un pieņemamo risku.

Nošķiriet pienākumus, kas bieži tiek apvienoti viena cilvēka darbā:

Mazs uzņēmums var piešķirt vairākus pienākumus vienai personai. Tam tomēr būtu jānosaka, kuru lomu šī persona pilda un kur nepieciešama neatkarīga pārbaude, jo īpaši iekšējam auditam.

Definējiet eskalācijas sliekšņus. Komandas vadītājs var apstiprināt īslaicīgu darbības izņēmumu saskaņotās robežās; riskam, kas apdraud nozīmīgas saistības pret klientiem, var būt nepieciešams augstākās vadības apstiprinājums. Reģistrējiet pamatojumu, nosacījumus, derīguma termiņu un pārskatīšanas ierosinātāju. „Vadības pieņemts” nav pietiekami, ja neviens nevar noteikt lēmuma pieņēmēju vai pieņemto apdraudējumu.

Pārvērtiet riska novērtējumu prioritizēšanas procesā

Riska novērtējumā būtu jāapraksta ticami scenāriji, nevis tikai jānosauc aktīvi vai jāuzskaita vājās vietas. „Klientu datubāze” ir aktīvs. „Kompromitēts administratora konts ļauj masveidā izgūt klientu ierakstus” ir riska scenārijs ar cēloni un sekām.

Izveidojiet dokumentētu novērtēšanas metodi un riska pieņemšanas kritērijus. ISO 27001 neprasa vienu konkrētu vērtēšanas formulu. Praktiski definējiet iespējamības un ietekmes kategorijas jūsu lēmumu pieņēmējiem saprotamā valodā, attiecīgā gadījumā ietverot darbības traucējumus, finansiālus zaudējumus, līgumiskās sekas un kaitējumu personām.

Katram būtiskam scenārijam reģistrējiet:

• Ietekmēto pakalpojumu, informāciju un atkarības.
• Apdraudējumu vai notikumu un attiecīgās ievainojamības.
• Esošās kontroles un to zināmos ierobežojumus.
• Iespējamību, ietekmi un iegūto prioritāti.
• Riska īpašnieku un ierosināto apstrādi.

Apstrāde var ietvert apdraudējuma samazināšanu ar kontrolēm, izvairīšanos no darbības, riska aspektu dalīšanu ar līgumiem vai apdrošināšanu vai riska pieņemšanu apstiprināto kritēriju robežās. Apdrošināšana neatjauno zaudētu informāciju, un līgums ar piegādātāju neatceļ organizācijas pienākumus.

Nošķiriet pašreizējo risku no atlikušā riska pēc apstrādes. Nesamaziniet vērtējumu tikai tāpēc, ka uzdevums ir ieplānots. Novērtējiet atkārtoti pēc ieviešanas un atbilstošiem darbības pierādījumiem. Saņemiet apstrādes plāna apstiprinājumu un atlikušā riska pieņemšanu caur noteikto pilnvaroto personu.

Darbības riska reģistram jāpaliek lēmumu ierakstam: kas mainījās, kāpēc tika izvēlēta apstrāde un kad novērtējums ir jāpārskata.

Izvēlieties kontroles un izskaidrojiet to piemērojamību

Kontroles ir pasākumi, ko izmanto riska mainīšanai. Tās ietver tehniskus aizsardzības pasākumus, piemēram, daudzfaktoru autentifikāciju, organizatoriskus procesus, piemēram, piegādātāju pārskatīšanu, ar cilvēkiem saistītus pasākumus, piemēram, apmācību, un fizisku ierīču un telpu aizsardzību.

ISO/IEC 27001:2022 A pielikumā ir 93 atsauces kontroles: 37 organizatoriskās, 8 ar cilvēkiem saistītās, 14 fiziskās un 34 tehnoloģiskās. Izvēle ir balstīta uz riskiem; organizācija automātiski neievieš katru kontroli. ISO/IEC 27002 sniedz ieviešanas vadlīnijas, nevis atsevišķu ISMS sertifikācijas prasību.

ISO 27001 vajadzībām nosakiet riska apstrādei nepieciešamās kontroles un salīdziniet tās ar A pielikumu, lai pārbaudītu, vai nepieciešamās kontroles nav izlaistas. Kontroles var būt nepieciešamas arī juridisku vai līgumisku prasību dēļ, un tām nav jāaprobežojas ar A pielikumu.

Piemērojamības paziņojumā reģistrē nepieciešamās kontroles, to iekļaušanas pamatojumu, ieviešanas statusu un A pielikuma kontroļu izslēgšanas pamatojumu. Tas atšķiras no riska apstrādes plāna: viens izskaidro piemērojamo kontroļu kopu, otrs – darbības, kas nepieciešamas risku apstrādei. Šo atsauces struktūru skatiet A pielikuma kontroļu ceļvedī.

Katrai izvēlētajai kontrolei nosakiet īpašnieku, paredzēto rezultātu, darbības veidu un pierādījumus, kas apliecinās efektivitāti. „Piekļuves kontrole ieviesta” ir mazāk noderīgi nekā skaidrs process, kas aptver apstiprināšanu, piešķiršanu, pārskatīšanu un noņemšanu.

Politikām būtu jānosaka noteikumi, kurus cilvēki var ievērot. Procedūrām būtu jāizskaidro izpilde. Nevienā no tām nevajadzētu solīt pārskatīšanas vai tehniskus ierobežojumus, ko organizācija faktiski nespēj uzturēt.

Iebūvējiet pierādījumus ikdienas darbībā

Pierādījumiem būtu jārodas, veicot darbu, nevis rekonstruējot stāstu pirms audita. Piekļuves pārskatīšanas rezultātā var rasties datēts lietotāju saraksts, pārskatītāju lēmumi, noņemšanas pieteikumi un apstiprinājums, ka izmaiņas notika. Atjaunošanas mācību rezultātā var rasties testa nosacījumi, rezultāti, novērotie ierobežojumi un turpmākās darbības.

Ekrānuzņēmums var parādīt iestatījumu vienā brīdī. Tas ne vienmēr pierāda, ka iestatījums aptver katru attiecīgo sistēmu vai ka tas bija efektīvs visā periodā. Pārskatītājiem būtu jāizvērtē tvērums, datums, avots, pilnīgums un tas, kādu secinājumu pierādījumi faktiski atbalsta.

Praktiska ISMS pierādījumu kopa ietver:

Ne katrai rindai nepieciešams atsevišķs dokuments. Maza organizācija var apvienot ierakstus, ja saglabājas skaidrība un izsekojamība. Aizsargājiet arī pašus pierādījumus: lietotāju eksporti, incidentu ieraksti un ekrānuzņēmumi var saturēt sensitīvu informāciju, un tiem jānodrošina atbilstoša piekļuves un glabāšanas kārtība.

Praktisks piemērs: klientu atbalsta platforma

Aplūkosim ilustratīvu programmatūras uzņēmumu ar 30 darbiniekiem, kas izmanto SaaS atbalsta platformu. Pieņemsim, ka platformā glabājas klientu vārdi, kontaktinformācija, pieteikumu vēsture un dažkārt diagnostikas pielikumi. Darbinieki izmanto individuālus kontus, lietotni mitina ārējs pakalpojumu sniedzējs, un daži pieteikumi tiek eksportēti problēmu novēršanai. Tie ir piemēra pieņēmumi, nevis noteikts uzņēmuma modelis.

ISMS tvērums aptver klientu atbalsta darbību un tās atkarības: darbinieku identitāti, SaaS piegādātāju, piekļuvi no galiekārtām, eksportus, glabāšanu un atjaunošanas kārtību. Atbalsta vadītājs ir pakalpojuma īpašnieks; IT darbina piekļuves kontroles; iepirkumu nodaļa koordinē piegādātāja pārskatīšanu; vadība apstiprina riskus, kas pārsniedz deleģētās pilnvaras.

Sākotnējā novērtējumā tiek identificēti trīs scenāriji:

Pieņemsim, ka kontu saskaņošanā atklājas, ka bijušajam darbiniekam joprojām ir piekļuve. Tūlītējā darbība ir to noņemt un novērtēt, vai konts tika izmantots nepiemēroti. Pārvaldības sistēmas darbība ir noskaidrot, kāpēc noņemšana neizdevās. Iespējams, personāla daļa informēja IT, taču atbalsta lietotne nebija iekļauta aiziešanas kontrolsarakstā.

Korektīvā darbība pēc tam atjaunina lietotņu uzskaiti, pievieno atbalsta platformu aiziešanas procesam, piešķir atbildību par apstiprināšanu un pārbauda turpmākās aiziešanas. Tikai noņemšanas pieteikuma slēgšana novērstu tūlītējo stāvokli, nenovēršot tā cēloni.

Tagad pieņemsim, ka SaaS piegādātājs maina savu apakšapstrādātāju sarakstu. Piegādātāja attiecību īpašnieks pārskata izmaiņas attiecībā pret līgumiskajām, drošības un attiecīgajām privātuma prasībām. Viņš reģistrē, vai tās ietekmē datu apstrādi, atkarības vai pieņemto risku un vai nepieciešama speciālista pārskatīšana. Izmaiņām ir īpašnieks un pārskatīšanas ceļš, nevis tās paliek neizlasītas koplietojamā pastkastē.

Vadība saņem neatrisinātos lēmumus: vai finansēt spēcīgāku rezerves risinājumu, samazināt pielikumos savākto informāciju vai pieņemt noteiktu atlikušo apdraudējumu. Tā ISMS sasaista darbības konstatējumus ar biznesa izvēlēm.

Uzturiet ritmu, kas spēj pamanīt izmaiņas

Plānojiet pārskatīšanas atbilstoši riskam, izmaiņu biežumam un pienākumiem. Iknedēļas nepilnību pārskats sākotnējās ieviešanas laikā un periodisks vadības pārskats var būt noderīgas praktiskas izvēles, taču tie nav ISO 27001 noteikti universāli intervāli. Standarts prasa iekšējos auditus un vadības pārskatus plānotos intervālos.

Pievienojiet notikumu ierosinātus pārskatus: incidenti, nozīmīgi laidieni, iegādes, piegādātāju izmaiņas, jauni juridiski pienākumi, nozīmīgas saistības pret klientiem un audita konstatējumi. Ar kalendāru vien netiks pamanītas svarīgas izmaiņas starp plānotajām sanāksmēm.

Uzraudzība noskaidro, vai kontroles un mērķi darbojas, kā paredzēts. Iekšējais audits novērtē, vai ISMS atbilst prasībām un vai tā ir efektīvi ieviesta un uzturēta. Vadības pārskatā izvērtē sistēmas piemērotību, pietiekamību un efektivitāti un pieņem lēmumus par izmaiņām un resursiem. Šīs darbības cita citu informē, taču tās nav savstarpēji aizstājamas.

Vadībai būtu jāsaņem lēmumu pieņemšanai sagatavota informācija: būtiski riski, nokavēta apstrāde, atkārtotas kļūmes, audita konstatējumi, mainīgas prasības un resursu ierobežojumi. Pabeigto uzdevumu skaitīšana, neizvērtējot rezultātus, var slēpt vāju veiktspēju. ISMS rādītāju ceļvedis aplūko noderīgus rādītājus.

Arī incidentu pārvaldība ietilpst šajā ciklā. Definējiet ziņošanas ceļus, novērtēšanas kritērijus, reaģēšanas pienākumus, saziņas pilnvaras un atjaunošanas kārtību. Pārbaudiet saziņas ceļus un lēmumu pieņemšanu mācībās. Izvērtējiet piemērojamos paziņošanas pienākumus, nevis pieņemiet, ka viens termiņš attiecas uz katru incidentu.

Pēc incidenta vai neatbilstības novērsiet tūlītējo problēmu, izmeklējiet cēloņus, ieviesiet korektīvu darbību un novērtējiet tās efektivitāti. Atkārtoti konstatējumi ir iemesls pārskatīt procesa uzbūvi vai resursus, nevis vienkārši atkārtot to pašu atgādinājumu.

Nošķiriet ISMS, sertifikāciju un juridiskos pienākumus

ISMS ir sistēma, ko organizācija darbina. ISO 27001 ir standarts, pēc kura šo sistēmu var novērtēt. Sertifikātu izsniedz neatkarīga sertifikācijas institūcija, nevis ISO vai Secani, un tas attiecas uz norādīto tvērumu.

Sertifikācija var būt noderīgs pārliecības mehānisms, ja to pieprasa klienti vai citas ieinteresētās puses. Tā nepierāda, ka ir aptverta katra uzņēmuma darbība, ka katra kontrole vienmēr darbojas vai ka incidenti nevar notikt. Pārbaudiet tvērumu un statusu, nevis uzskatiet sertifikātu par visa uzņēmuma drošības garantiju.

Juridiskajai piemērojamībai nepieciešama atsevišķa analīze. VDAR 32. pants prasa atbilstošus tehniskus un organizatoriskus drošības pasākumus, pamatojoties uz attiecīgajiem riskiem. NIS2 aptvertajām vienībām ar nacionālās īstenošanas starpniecību regulē vadības uzraudzību, riska pārvaldības pasākumus un ziņošanu par incidentiem.

ISMS var organizēt pierādījumus un pienākumus, kas atbalsta šādu pienākumu izpildi, taču sertifikācija neapliecina atbilstību VDAR vai NIS2. Tāpat nav precīzi apgalvot, ka ISMS nekad nevar būt juridiski prasīta: jāpārbauda piemērojamie nacionālie vai nozarei specifiskie noteikumi.

Izvairieties no trim paredzamām ieviešanas kļūdām

Veidņu pārņemšana bez izmaiņām. Veidnes var sniegt struktūru, taču īpašniekiem katra saistība jāpārbauda attiecībā pret faktisko praksi. Politika, kas prasa pārskatīšanas, kuras neviens neveic, rada nepārvaldītu nepilnību.

Robeža, kuru neviens nespēj uzturēt. Vērienīga uzskaite nav noderīga, ja atbildība un atkarības nav skaidras. Sāciet ar pamatotu pakalpojuma robežu un pēc tam paplašiniet to saskaņā ar skaidru plānu.

Sertifikācijas uzskatīšana par finiša līniju. Sistēmai jāturpina darboties, mainoties personālam un piegādātājiem, notiekot incidentiem un parādoties jauniem produktiem. Plānojiet budžetu darbībai, pārskatīšanai un uzlabošanai, ne tikai sākotnējai dokumentācijai.

Saistīts brīdinājums attiecas uz nepārskatītu automatizāciju. Automātiski savākti ieraksti un MI ģenerēti kopsavilkumi var atbalstīt darbu, taču cilvēkiem joprojām jānosaka atbilstība, jānovērtē nepilnības un jāapstiprina secinājumi.

Padariet pirmo vadības lēmumu konkrētu

Izvēlieties vienu reprezentatīvu pakalpojumu un lūdziet tā īpašniekam sagatavot tvēruma aprakstu, atkarību karti, sākotnējos riska scenārijus, pašreizējās kontroles un neatrisinātos lēmumus. Vienojieties, kas var pieņemt risku, kādi resursi ir pieejami un kad tiks pārskatīts progress. Tas rada pārvaldāmu sākumpunktu, neizliekoties, ka visa organizācija jau ir aptverta.

Secani darbvietas modelis atbalsta šo darba plūsmu, modelējot pakalpojumus un atbalsta mērķa objektus, sasaistot pierādījumus ar prasībām, kontrolēm un lēmumiem un piešķirot īpašniekus un pārskatīšanas pienākumus. Komandas var pārvērst trūkstošos pierādījumus vai neskaidru atbildību uzdevumos. Ar MI atbalstīti ieteikumi paliek melnraksta darbs cilvēka pārskatīšanai, saglabājot avotus un apstiprinājumus izsekojamus.

Tāpēc nākamajai sarunai ar vadību jābūt konkrētai: kuru pakalpojumu mēs aizsargājam vispirms, kāds apdraudējums prasa lēmumu tagad un kādi pierādījumi parādīs, ka lēmums ir darbojies?