SZBI ISO 27001 – jak wdrożyć system bezpieczeństwa informacji
System zarządzania bezpieczeństwem informacji to uporządkowany sposób zarządzania bezpieczeństwem informacji w organizacji. Obejmuje zakres, role, ryzyko, cele, zabezpieczenia, audyty, przeglądy oraz ciągłe doskonalenie. Jeżeli chcesz zobaczyć, jak wygląda to w praktyce, przejdź do strony: SZBI – system zarządzania bezpieczeństwem informacji wg ISO/IEC 27001.
SZBI – czym jest system zarządzania bezpieczeństwem informacji
SZBI to system zarządzania bezpieczeństwem informacji oparty na wymaganiach ISO/IEC 27001. Nie chodzi wyłącznie o hasła, firewall, kopie zapasowe czy pojedyncze procedury. Chodzi o spójny system, który obejmuje organizację, ludzi, procesy, dokumentację oraz zabezpieczenia techniczne.
Od czego zaczyna się SZBI
Wdrożenie SZBI zaczyna się od określenia kontekstu organizacji, stron zainteresowanych oraz zakresu systemu. Bez tego nie da się prawidłowo ocenić ryzyka, wyznaczyć odpowiedzialności ani dobrać właściwych zabezpieczeń.
- określenie czynników wewnętrznych i zewnętrznych wpływających na bezpieczeństwo informacji,
- ustalenie wymagań stron zainteresowanych,
- zdefiniowanie zakresu SZBI,
- ustalenie granic odpowiedzialności i zależności z innymi podmiotami.
Rola kierownictwa w SZBI
System zarządzania bezpieczeństwem informacji nie działa bez zaangażowania kierownictwa. To kierownictwo odpowiada za politykę bezpieczeństwa informacji, cele bezpieczeństwa, zasoby, role, odpowiedzialności oraz nadzór nad skutecznością systemu.
- ustanowienie polityki bezpieczeństwa informacji,
- wyznaczenie celów bezpieczeństwa informacji,
- zapewnienie zasobów potrzebnych do działania SZBI,
- przydzielenie ról, odpowiedzialności i uprawnień,
- nadzór nad skutecznością systemu i jego doskonaleniem.
Ocena ryzyka w bezpieczeństwie informacji
SZBI opiera się na ocenie ryzyka i postępowaniu z ryzykiem. Organizacja powinna określić kryteria ryzyka, identyfikować zagrożenia dla poufności, integralności i dostępności informacji, analizować ich skutki oraz ustalać priorytety działań.
- identyfikacja ryzyk dla informacji i aktywów,
- określenie właścicieli ryzyka,
- analiza skutków i prawdopodobieństwa,
- określenie poziomu ryzyka,
- wybór sposobu postępowania z ryzykiem.
Deklaracja Stosowania i dobór zabezpieczeń
Jednym z kluczowych elementów SZBI jest Deklaracja Stosowania. To dokument, który pokazuje, jakie zabezpieczenia organizacja uznała za potrzebne, które z nich wdrożyła oraz dlaczego wybrane zabezpieczenia z Załącznika A zostały zastosowane albo pominięte.
- wykaz niezbędnych zabezpieczeń,
- uzasadnienie wyboru zabezpieczeń,
- wskazanie stanu wdrożenia,
- uzasadnienie pominięcia wybranych zabezpieczeń.
Co obejmuje SZBI w praktyce
System zarządzania bezpieczeństwem informacji obejmuje znacznie więcej niż sam obszar IT. Dotyczy dokumentów, dostępu do informacji, relacji z dostawcami, pracy personelu, bezpieczeństwa fizycznego, reakcji na incydenty oraz nadzoru nad procesami.
- polityki i procedury bezpieczeństwa informacji,
- zarządzanie dostępem i tożsamością,
- klasyfikację informacji i zasady ich przetwarzania,
- bezpieczeństwo pracy zdalnej,
- zarządzanie incydentami,
- kopie zapasowe, logowanie i monitorowanie,
- zarządzanie dostawcami i usługami chmurowymi,
- zabezpieczenia fizyczne i technologiczne.
Monitorowanie, audyty i przeglądy
SZBI nie może istnieć tylko na papierze. Organizacja powinna monitorować skuteczność działań, prowadzić audyty wewnętrzne, wykonywać przeglądy zarządzania oraz reagować na niezgodności. Tylko wtedy system ma realną wartość operacyjną.
- monitorowanie i pomiary skuteczności,
- audyty wewnętrzne SZBI,
- przeglądy zarządzania,
- działania korygujące,
- ciągłe doskonalenie systemu.
Co daje organizacji wdrożony SZBI
- uporządkowanie zasad bezpieczeństwa informacji,
- powiązanie zabezpieczeń z rzeczywistym ryzykiem,
- jasny podział odpowiedzialności,
- nadzór nad dokumentacją i zmianami,
- lepsze przygotowanie do audytu, kontroli lub certyfikacji,
- większą dojrzałość organizacyjną w obszarze bezpieczeństwa informacji.
SZBI a ISO/IEC 27001
Jeżeli organizacja chce wdrożyć bezpieczeństwo informacji w sposób uporządkowany i możliwy do wykazania, punktem odniesienia jest ISO/IEC 27001. Norma określa wymagania dotyczące ustanowienia, wdrożenia, utrzymania i ciągłego doskonalenia systemu zarządzania bezpieczeństwem informacji.
Zobacz stronę docelową: SZBI – system zarządzania bezpieczeństwem informacji wg ISO/IEC 27001
Kiedy warto uporządkować SZBI
SZBI warto uporządkować wtedy, gdy organizacja posiada wiele systemów, przetwarza istotne informacje, współpracuje z dostawcami, korzysta z usług chmurowych, podlega wymaganiom prawnym albo chce przygotować się do audytu, przeglądu lub wdrożenia zgodnego z ISO/IEC 27001.
Potrzebujesz wsparcia przy SZBI?
Jeżeli chcesz uporządkować system zarządzania bezpieczeństwem informacji, przeprowadzić ocenę ryzyka, przygotować dokumentację, uporządkować role i zabezpieczenia albo sprawdzić zgodność z ISO/IEC 27001, zacznij od strony: SZBI ISO 27001.