brak zgodności z ISO 27001

Brak zgodności z ISO 27001 to niespełnienie międzynarodowego standardu zarządzania bezpieczeństwem informacji.

Na czym polega brak zgodności z ISO 27001

Brak zgodności z ISO 27001 oznacza, że organizacja nie spełnia wymagań określonych dla systemu zarządzania bezpieczeństwem informacji zgodnego z normą ISO/IEC 27001. Nie jest to pojedynczy komunikat systemowy, błąd sterownika ani usterka konkretnego laptopa. Chodzi o sposób zarządzania informacjami, urządzeniami, oprogramowaniem, dostępem użytkowników, ryzykiem oraz reagowaniem na incydenty. Ocena zgodności dotyczy całego zdefiniowanego zakresu systemu zarządzania, a nie wyłącznie jednego komputera lub pojedynczej aplikacji.

Norma wymaga między innymi określenia kontekstu organizacji, zakresu systemu zarządzania bezpieczeństwem informacji, odpowiedzialności kierownictwa, zasad postępowania z ryzykiem oraz sposobu mierzenia skuteczności zabezpieczeń. Brak zgodności może więc wynikać zarówno z nieprawidłowej konfiguracji technicznej, jak i z braku udokumentowanych procedur, niepełnego nadzoru nad uprawnieniami albo niewykazania, że przyjęte zabezpieczenia są regularnie sprawdzane. Samo używanie zapory sieciowej, programu antywirusowego lub szyfrowania dysku nie potwierdza zgodności z ISO/IEC 27001.

Zakres oceny: ludzie, procesy i środowisko IT

W praktyce analiza zgodności rozpoczyna się od ustalenia, jakie informacje i zasoby zostały objęte zakresem systemu. Należy zidentyfikować między innymi urządzenia końcowe, serwery, sieci, konta użytkowników, aplikacje, nośniki danych, usługi zewnętrzne oraz lokalizacje, w których przetwarzane są informacje. Istotne jest także wskazanie właścicieli zasobów i określenie, jakie zagrożenia mogą wpłynąć na poufność, integralność lub dostępność danych.

Jednym z kluczowych elementów ISO/IEC 27001 jest proces oceny i postępowania z ryzykiem. Organizacja powinna przyjąć własne kryteria oceny, rozpoznać zagrożenia, określić prawdopodobieństwo i skutki ich wystąpienia, a następnie wybrać sposób postępowania z ryzykiem. Możliwe jest jego ograniczenie, uniknięcie, przeniesienie albo zaakceptowanie, ale decyzja powinna być uzasadniona i zatwierdzona przez właściwe osoby. Brak aktualnego rejestru ryzyk, niejasne kryteria oceny lub brak dowodów zatwierdzenia decyzji mogą zostać uznane za niezgodność.

Typowe dowody niezgodności w systemach informacyjnych

Audyt zgodności nie powinien opierać się wyłącznie na deklaracjach pracowników. Weryfikowane są dowody potwierdzające działanie przyjętych zabezpieczeń. Mogą to być rejestry dostępu, wyniki przeglądów uprawnień, raporty z kopii zapasowych, protokoły testów odtwarzania, zapisy aktualizacji, wyniki skanowania podatności, dokumentacja zmian konfiguracji oraz raporty z obsługi incydentów. Znaczenie ma nie tylko istnienie dokumentu, lecz także jego aktualność, kompletność i zgodność z rzeczywistym działaniem środowiska.

Przykładem niezgodności technicznej może być aktywne konto byłego użytkownika, brak wieloskładnikowego uwierzytelniania tam, gdzie zostało ono wymagane przez analizę ryzyka, niespójne reguły zapory, nieaktualny system operacyjny albo brak możliwości wykazania, że kopie zapasowe można odtworzyć. Problemy mogą dotyczyć również zarządzania zmianą: jeżeli modyfikacja konfiguracji systemu nie ma właściciela, uzasadnienia, planu wycofania i śladu audytowego, organizacja może nie być w stanie wykazać kontrolowanego przebiegu procesu. Nie każda pojedyncza usterka automatycznie oznacza utratę zgodności, ale powtarzalny lub systemowy charakter takich problemów zwiększa ryzyko stwierdzenia niezgodności.

Jak uporządkować działania po stwierdzeniu niezgodności

Usunięcie niezgodności powinno rozpocząć się od opisania jej zakresu, źródła i wpływu na bezpieczeństwo informacji. Następnie należy ustalić przyczynę podstawową, a nie tylko usunąć widoczny objaw. Jeżeli na przykład przeglądy uprawnień nie są wykonywane, samo jednorazowe skasowanie niepotrzebnych kont nie rozwiązuje problemu. Potrzebny jest powtarzalny proces określający częstotliwość przeglądów, osobę odpowiedzialną, sposób dokumentowania wyników oraz działania podejmowane po wykryciu nieprawidłowości.

Działania korygujące mogą obejmować zmianę konfiguracji urządzeń, aktualizację oprogramowania, uporządkowanie kont, wdrożenie kopii zapasowych, uzupełnienie dokumentacji, szkolenie użytkowników lub dodatkową kontrolę skuteczności zabezpieczeń. Po wdrożeniu poprawki należy zebrać dowody i sprawdzić, czy problem rzeczywiście został usunięty oraz czy nie powstały skutki uboczne. W przypadku komputera lub laptopa analiza techniczna może pomóc ustalić stan systemu, konfigurację zabezpieczeń, obecność nieaktualnych komponentów i ślady niepożądanych zmian, jednak sama naprawa sprzętu nie przywraca zgodności organizacyjnej z ISO/IEC 27001.