zgodność z ISO 27001

Zgodność z ISO 27001 dotyczy zarządzania bezpieczeństwem informacji według tego międzynarodowego standardu.

Zakres normy ISO/IEC 27001 i system zarządzania bezpieczeństwem informacji

ISO/IEC 27001 to międzynarodowa norma określająca wymagania dla systemu zarządzania bezpieczeństwem informacji, oznaczanego skrótem ISMS. Norma nie opisuje jednego programu antywirusowego, konkretnego urządzenia ani pojedynczej konfiguracji sieciowej. Określa sposób organizowania, wdrażania, utrzymywania i ciągłego doskonalenia procesu ochrony informacji w określonej organizacji lub jej części. Aktualne wydanie normy jest oznaczone jako ISO/IEC 27001:2022. Zgodność oznacza więc spełnienie wymagań dotyczących zarządzania ryzykiem i kontroli bezpieczeństwa, a nie uzyskanie certyfikatu dla każdego komputera znajdującego się w firmie.

Punktem wyjścia jest dokładne określenie zakresu ISMS. Organizacja wskazuje, jakie lokalizacje, procesy, systemy informatyczne, zespoły, usługi i rodzaje informacji obejmuje system. Zakres powinien uwzględniać również zależności od dostawców, połączenia sieciowe oraz zasoby wykorzystywane poza główną siedzibą. Bez jasno opisanego zakresu nie da się rzetelnie ocenić, czego dotyczy deklarowana zgodność. Certyfikacja może obejmować na przykład dział obsługi określonej usługi, centrum przetwarzania danych albo cały system organizacji, ale nie należy automatycznie rozszerzać jej na obszary wyłączone z audytu.

Analiza ryzyka, aktywa informacyjne i dobór zabezpieczeń

Jednym z podstawowych elementów ISO/IEC 27001 jest proces oceny ryzyka. Organizacja identyfikuje aktywa, takie jak dokumenty, bazy danych, konta użytkowników, laptopy, serwery, kopie zapasowe, aplikacje i urządzenia sieciowe, a następnie określa zagrożenia, podatności oraz możliwe skutki naruszenia bezpieczeństwa. Ocena powinna obejmować między innymi utratę poufności, nieuprawnioną zmianę danych oraz niedostępność systemów. Wyniki analizy służą do ustalenia, które ryzyka wymagają ograniczenia, przeniesienia, zaakceptowania albo uniknięcia.

Na podstawie oceny ryzyka wybiera się odpowiednie zabezpieczenia organizacyjne i techniczne. W praktyce mogą to być zasady nadawania uprawnień zgodnie z zakresem obowiązków, uwierzytelnianie wieloskładnikowe, szyfrowanie nośników, segmentacja sieci, rejestrowanie zdarzeń, kontrola aktualizacji, ochrona przed złośliwym oprogramowaniem, testowanie kopii zapasowych i procedury reagowania na incydenty. Załącznik A normy zawiera zestaw obszarów kontroli, ale nie zastępuje analizy ryzyka. Nie każda kontrola musi być wdrożona w identyczny sposób, a decyzje o zastosowaniu lub pominięciu zabezpieczeń powinny być uzasadnione i udokumentowane.

Dokumentacja, audyty i dowody utrzymywania zgodności

System zgodny z ISO/IEC 27001 wymaga dokumentowania istotnych zasad i decyzji. Ważnymi dokumentami są między innymi polityka bezpieczeństwa informacji, metodyka oceny ryzyka, rejestr ryzyk, plan postępowania z ryzykiem oraz deklaracja stosowania, określana po angielsku jako Statement of Applicability. Deklaracja wskazuje, które zabezpieczenia z załącznika A mają zastosowanie, jaki jest ich status i dlaczego określone elementy zostały wyłączone. Dokumentacja powinna odpowiadać rzeczywistym procesom, ponieważ sama obecność procedury bez dowodów jej wykonywania nie potwierdza skuteczności systemu.

Utrzymywanie zgodności wymaga regularnego monitorowania i przeglądów. Organizacja może gromadzić wyniki kontroli dostępu, raporty z aktualizacji, potwierdzenia testów odtwarzania kopii, rejestry incydentów, protokoły szkoleń i wyniki audytów wewnętrznych. Kierownictwo powinno okresowo oceniać, czy ISMS nadal odpowiada celom organizacji oraz zmieniającym się zagrożeniom. W przypadku niezgodności należy ustalić przyczynę, zaplanować działanie korygujące, wskazać odpowiedzialność i sprawdzić, czy problem został usunięty. Audyt certyfikacyjny jest przeprowadzany przez niezależną jednostkę certyfikującą, która ocenia system względem wymagań normy i ustalonego zakresu.

Praktyczne znaczenie ISO 27001 przy pracy z komputerami

Wymagania systemu bezpieczeństwa wpływają na codzienną eksploatację laptopów i komputerów, choć norma nie narzuca jednego modelu sprzętu. Organizacja może wymagać ewidencji urządzeń, szyfrowania dysków, blokady nieużywanych kont, ograniczenia instalowania programów, automatycznego stosowania poprawek oraz ochrony danych podczas naprawy. Istotne jest także ustalenie, kto może uzyskać dostęp do urządzenia, w jaki sposób przekazuje się je do serwisu i jak potwierdza się zwrot sprzętu. W przypadku awarii trzeba zachować ciągłość pracy, ale jednocześnie nie dopuścić do niekontrolowanego ujawnienia informacji zapisanych na dysku.

Warszawskie Pogotowie Komputerowe zajmuje się profesjonalną naprawą laptopów, komputerów PC i ich podzespołów, dlatego przy urządzeniach objętych wewnętrznymi zasadami bezpieczeństwa warto wcześniej ustalić zakres dostępu serwisowego, sposób przekazania nośnika oraz wymagania dotyczące kopii danych. Sama naprawa podzespołu, instalacja systemu lub wymiana dysku nie oznacza automatycznie zgodności z ISO/IEC 27001. Po wykonaniu prac należy zweryfikować między innymi stan szyfrowania, aktualność systemu, działanie mechanizmów uwierzytelniania, dostępność kopii zapasowej i poprawność konfiguracji uprawnień. Takie czynności tworzą techniczne dowody kontroli, które mogą być później wykorzystane w wewnętrznym przeglądzie bezpieczeństwa.