Wymagania ISO 27001 | - Centrum jakości

Wprowadzenie

Witaj w świecie ISO 27001! Zanim przewrócisz oczami na myśl o kolejnej nudnej normie, daj mi szansę pokazać Ci, że ta norma, to coś więcej niż stos papierów i biurokratycznych wymogów. To trochę jak przepis na bezpieczną organizację - tylko zamiast składników kulinarnych mamy komponenty bezpieczeństwa informacji.

Kontekst organizacji - czyli "poznaj swoją firmę"

Wyobraź sobie, że próbujesz zabezpieczyć dom. Zanim kupisz zamki i alarm, musisz wiedzieć, w jakiej dzielnicy się znajdujesz, co masz do ochrony i kto może chcieć się do Ciebie włamać, prawda? Dokładnie o to samo chodzi w pierwszym wymaganiu normy.

Kontekst organizacji to nie jest jakieś abstrakcyjne pojęcie - to po prostu dobre rozumienie swojej firmy i jej otoczenia. Weźmy przykład sklepu internetowego: musisz rozumieć nie tylko swoje wewnętrzne procesy, ale też wymagania klientów dotyczące ochrony danych kart płatniczych, przepisy RODO, czy zagrożenia związane z atakami hakerskimi na platformy e-commerce.

Przywództwo - czyli "szef musi być w to zaangażowany"

Pamiętasz te wszystkie projekty, gdzie jeden z członków zespołu był tylko na papierze? W bezpieczeństwie informacji kierownictwo nie może być takim "martwym" uczestnikiem. To trochę jak kapitan statku - jeśli nie interesuje się bezpieczeństwem swojej łodzi, prędzej czy później wszyscy pójdą na dno.

Do standardów (niestety) należą organizacje, gdzie świetne pomysły na bezpieczeństwo umarły, bo szef wzruszył ramionami i powiedział "mamy ważniejsze sprawy". A potem się dziwił, gdy firma padła ofiarą ransomware. Dlatego norma mocno podkreśla rolę kierownictwa - bez ich realnego zaangażowania (czytaj: nie tylko podpisu na polityce bezpieczeństwa) nawet najlepszy system nie zadziała.

Planowanie - czyli "myśl, zanim zrobisz"

To jest jak strategia w grze szachowej - musisz przewidzieć różne scenariusze i być na nie przygotowanym. W świecie bezpieczeństwa informacji nazywamy to oceną ryzyka. Nie chodzi o to, żebyś pisał 100-stronicowe analizy, ale żebyś realnie zastanowił się "co może pójść nie tak?".

Przykład z życia: pewna firma uznała, że backup danych nie jest priorytetem, bo "nigdy nie mieli problemów z serwerami". Zgadnij co? Serwer padł, dane przepadły, a wraz z nimi kontrakty i dokumentacja projektowa. Koszt odtworzenia? Kilkaset tysięcy złotych. A wystarczyło wcześniej pomyśleć o ryzyku i zainwestować w porządny system kopii zapasowych.

Wsparcie - czyli "daj ludziom narzędzia do pracy"

To jak z nauką jazdy - nie wystarczy znać przepisy, trzeba też umieć prowadzić samochód. W bezpieczeństwie informacji nie wystarczy napisać procedury - musisz dać ludziom wiedzę i narzędzia, żeby mogli je realizować.

Szkolenie ISO 27001 nie musi być nudne! Najlepiej prowadzić je w formie warsztatów, gdzie pracownicy uczą się rozpoznawać phishing na prawdziwych przykładach albo biorą udział w symulacji incydentu bezpieczeństwa. Efekt? Znacznie lepszy niż po trzygodzinnym wykładzie o polityce bezpieczeństwa.

Działanie - czyli "teoria w praktyce"

Tutaj przechodzimy od gadania do robienia. Najlepsze polityki bezpieczeństwa nie znaczą nic, jeśli nie są stosowane. To jak z dietą - możesz mieć świetny plan żywieniowy, ale jeśli wieczorem i tak zamawiasz pizzę, to nic z tego nie będzie.

Przykład: Twoja firma może mieć świetną politykę haseł, ale jeśli pracownicy zapisują je na karteczkach przyklejonych do monitora (tak, niestety wciąż tak bywa!), to cała polityka jest warta tyle co papier, na którym ją wydrukowano.

Ocena efektów - czyli "sprawdź, czy to działa"

To jak sprawdzian z matematyki - musisz wiedzieć, czy Twoje rozwiązania są poprawne. W świecie bezpieczeństwa informacji używa się do tego np. audytów lub przeglądów. Nie chodzi o to, żeby kogoś złapać na błędzie, ale żeby się upewnić, że Twoje zabezpieczenia faktycznie działają.

Znam przypadek firmy, która była pewna swojego świetnego systemu backupu. Dopiero podczas testu odtwarzania okazało się, że kopie są... uszkodzone i nieodtwrzalne. Monitoring pokazywał "backup wykonany pomyślnie", ale nikt wcześniej nie sprawdził, co faktycznie jest w tych kopiach.

Doskonalenie - czyli "zawsze może być lepiej"

To jak z nauką - zawsze jest coś nowego do poznania. Świat bezpieczeństwa informacji zmienia się tak szybko, że to, co było świetnym zabezpieczeniem rok temu, dziś może być niewystarczające.

Weźmy przykład ataków phishingowych - kiedyś łatwo było je rozpoznać po fatalnej polszczyźnie i oczywistych błędach. Dzisiaj, z pomocą AI, są tak dopracowane, że nawet eksperci muszą się dobrze przyjrzeć. Dlatego Twój system bezpieczeństwa musi się ciągle rozwijać.

Pierwsze rozdziały i Załącznik A - czyli "podstawy i narzędziownia"

Pierwsze trzy rozdziały normy to trochę jak wstęp do książki - mówią Ci, o czym to wszystko jest i definiują pojęcia. Może nie są najbardziej ekscytujące, ale bez nich łatwo o nieporozumienia. To jak z instrukcją do nowego gadżetu - możesz ją pominąć i działać metodą prób i błędów, ale czasem warto jednak przeczytać, do czego służą te wszystkie przyciski.

Załącznik A to Twoja skrzynka z narzędziami bezpieczeństwa. Znajdziesz tam 93 zabezpieczenia podzielone na cztery grupy:

Organizacyjne (jak zarządzać bezpieczeństwem)
Ludzkie (bo człowiek to najważniejsze ogniwo)
Fizyczne (bo czasem trzeba też chronić "realne" rzeczy)
Technologiczne (wszystkie techniczne zabezpieczenia)

To nie jest lista zakupów, gdzie musisz wziąć wszystko - wybierasz to, co jest potrzebne w Twojej sytuacji. To jak z narzędziami - stolarz potrzebuje innych niż hydraulik, choć niektóre będą wspólne.

Podsumowanie

Widzisz, ISO 27001 to nie jest sztuka dla sztuki - to zbiór naprawdę przydatnych praktyk, które, jeśli są mądrze wdrożone, mogą uchronić Twoją organizację przed wieloma problemami. Jeśli znasz już ISO 9001 i masz wdrożony system zarządzania jakością, zauważysz wiele podobieństw w podejściu - ta sama struktura wysokiego poziomu, podobne podejście do dokumentacji, analogiczne wymagania dotyczące przywództwa czy oceny ryzyka. Możesz wykorzystać to doświadczenie przy wdrażaniu SZBI - to trochę jak przesiadka z jednego modelu samochodu na inny tej samej marki.

Pamiętaj - bezpieczeństwo informacji to nie jest projekt, który ma początek i koniec. To proces, który trwa tak długo, jak długo działa Twoja organizacja. I nie bój się tej normy. Tak, wymaga pracy i zaangażowania, ale jej wymagania mają sens i realnie pomagają organizacjom być bezpieczniejszymi. A w dzisiejszych czasach bezpieczeństwo informacji to nie luksus, to konieczność.

Powodzenia we wdrażaniu ISO 27001.

Rafał Tochman

Udostępnij ten artykuł