Czym jest ISMS? System zarządzania zgodny z normą ISO 27001

ISMS, czyli skrót od systemu zarządzania bezpieczeństwem informacji, to zbiór zasad, procesów, ról i mechanizmów kontroli, dzięki którym organizacja w sposób przemyślany zarządza ryzykiem związanym z bezpieczeństwem informacji. To właśnie w ten sposób decydujesz, co trzeba chronić, kto jest za to odpowiedzialny, jakie środki należy zastosować i jak sprawdzić, czy to wszystko działa. Słowo „system” może tu wprowadzać zamieszanie: ISMS to sposób działania, a nie program, który się instaluje.

To rozróżnienie ma większe znaczenie, niż mogłoby się wydawać, bo decyduje o tym, co ostatecznie kupujesz i co ostatecznie tworzysz. Poniżej przyjrzymy się, dlaczego to nieporozumienie dotyczące oprogramowania jest tak trwałe, z czego tak naprawdę składa się system zarządzania bezpieczeństwem informacji (ISMS), jak wiąże się on z normami ISO 27001 i NEN 7510, jak go wdrożyć oraz na jakim etapie większość projektów po cichu utknęła w martwym punkcie.

System zarządzania bezpieczeństwem informacji (ISMS) to nie jest oprogramowanie

Wpisz w wyszukiwarkę „ISMS”, a znajdziesz mnóstwo narzędzi, które obiecują, że właśnie tym są. Są przydatne, a dobre narzędzie naprawdę pozwala zaoszczędzić czas przy zarządzaniu dokumentami, prowadzeniu rejestrów ryzyka i gromadzeniu dowodów. Ale narzędzie to tylko szafka na dokumenty, a nie sam system. Organizacja z doskonałym narzędziem, ale bez sprawnych procesów, ma bardzo uporządkowaną dokumentację tego, czego w rzeczywistości nie robi.

Powodem, dla którego wciąż panuje zamieszanie, jest to, że system zarządzania bezpieczeństwem informacji (ISMS) jest w dużej mierze niewidoczny. Nie możesz na niego wskazać tak, jak wskazujesz na zaporę sieciową. Możesz natomiast wskazać jego efekty: aktualizowaną ocenę ryzyka, zbiór zasad, których ludzie faktycznie przestrzegają, dokumentację szkoleń, protokoły z przeglądu kierowniczego czy audyt wewnętrzny, który coś wykrył i doprowadził do zmiany. Audytor szuka właśnie tych śladów, bo to jedyne dowody na to, że system naprawdę działa, a nie tylko istnieje na papierze.

Z czego tak naprawdę składa się system zarządzania bezpieczeństwem informacji (ISMS)

Poniższe elementy są wspólne dla praktycznie każdego frameworka, niezależnie od tego, czy chcesz zdobyć certyfikat, czy nie. Razem tworzą raczej pętlę niż listę kontrolną: każda część prowadzi do następnej, a pętla się powtarza.

• Zakres. Jakie części organizacji, jakie lokalizacje, jakie systemy i jakie informacje obejmuje system. Zbyt szeroki zakres spowalnia projekt; zbyt wąski nie uwzględnia istotnych zagrożeń.
• Ocena ryzyka i zarządzanie nim. Określanie, co może pójść nie tak, jak prawdopodobne jest to zdarzenie i jak poważne mogą być jego skutki, a także podejmowanie decyzji w odniesieniu do każdego ryzyka, czy je ograniczyć, zaakceptować, przenieść czy uniknąć. Jak to zrobić w praktyce, opisaliśmy w naszym przewodniku po analizie ryzyka w ramach normy ISO 27001.
• Zasady i procedury. Pisemne wytyczne dotyczące dostępu, haseł, dostawców, incydentów, urządzeń i postępowania z danymi. Mają znaczenie tylko wtedy, gdy ludzie mogą je znaleźć i rozpoznać w codziennej praktyce.
• Role i obowiązki. Kto odpowiada za jakie ryzyko, kto zatwierdza wyjątki, kto o czym informuje kierownictwo. Brak przypisanych obowiązków to najczęstsza nieprawidłowość wykrywana podczas każdego audytu.
• Środki kontroli. Konkretne działania, które zmniejszają zidentyfikowane przez ciebie ryzyka – zarówno techniczne, jak i organizacyjne.
• Świadomość i kompetencje. Trzeba zadbać o to, żeby osoby objęte tym zakresem wiedziały, czego się od nich oczekuje, i potrafiły to wykazać. To wymóg, a nie miły dodatek.
• Monitorowanie, audyt wewnętrzny i przegląd kierowniczy. Sprawdzanie, czy działania przynoszą efekty, czy ustalenia są realizowane oraz czy kierownictwo regularnie przygląda się całości i decyduje, co zmienić.
• Ciągłe doskonalenie. Cykl „Plan-Do-Check-Act”, który sprawia, że system się rozwija, a nie zastyga w momencie uzyskania certyfikatu.

Jak system zarządzania bezpieczeństwem informacji (ISMS) wiąże się z normami ISO 27001 i NEN 7510

ISO 27001 to międzynarodowa norma określająca wymagania dotyczące systemu zarządzania bezpieczeństwem informacji (ISMS). I to jest kluczowa kwestia: norma opisuje system zarządzania, a nie listę produktów. Jej klauzule obejmują cały powyższy cykl – od zakresu i przywództwa, przez ocenę ryzyka, aż po audyt wewnętrzny i przegląd kierowniczy. Certyfikacja oznacza, że audytor zewnętrzny stwierdził, iż twój system spełnia te wymagania i działa w praktyce.

Oprócz tych klauzul znajduje się załącznik A – katalog środków kontroli, z których wybierasz na podstawie własnej oceny ryzyka, a swoje wybory i uzasadnienie zapisujesz w oświadczeniu o zastosowaniu. Wytyczne dotyczące wdrażania tych środków kontroli znajdziesz w powiązanej normie ISO 27002, a różnice między tymi dwiema normami wyjaśniamy w naszym artykule o różnicach między ISO 27001 a ISO 27002. Nie musisz stosować wszystkich środków kontroli; musisz jednak uzasadnić swój wybór.

W holenderskiej służbie zdrowia ta sama koncepcja pojawia się jako norma NEN 7510, która opiera się na strukturze ISO i dodaje wymagania dotyczące konkretnie danych pacjentów. Organizacje objęte zakresem dyrektywy NIS2 też dostrzegą ten schemat: dyrektywa wymaga środków zarządzania ryzykiem i udokumentowanych szkoleń, a to właśnie jest efektem ubocznym dobrze działającego systemu zarządzania bezpieczeństwem informacji (ISMS).

Wdrożenie systemu zarządzania bezpieczeństwem informacji (ISMS) w sześciu krokach

1. Postaraj się, żeby kierownictwo podjęło zobowiązanie – na piśmie i w budżecie. System zarządzania bezpieczeństwem informacji (ISMS) rozdziela obowiązki w całej organizacji. Bez wyraźnego zaangażowania na najwyższym szczeblu projekt ten staje się tylko pobocznym zajęciem jednej osoby, a takie projekty nie przetrwają w gorącym okresie kwartału.
2. Szczerze określ zakres. Zapisz, co wchodzi w zakres, a co nie, i dlaczego. Wykluczenie czegoś da się uzasadnić; odkrycie niezauważonej luki podczas audytu – już nie.
3. Zanim wybierz środki kontroli, przeprowadź ocenę ryzyka. Kolejność ma znaczenie. Jeśli najpierw wybierzesz środki kontroli, a dopiero potem je uzasadnisz, powstanie system, który chroni to, co było wygodne, a nie to, co stanowiło ryzyko.
4. Tworz zasady, których ludzie będą mogli się trzymać. Krótkie, konkretne i dopasowane do tego, jak naprawdę wygląda praca. Zasada, która kłóci się z codzienną praktyką, pokazuje pracownikom, że przepisy to tylko pozory.
5. Przeprowadź szkolenie dla osób objętych programem i to udokumentuj. Każdy musi znać zasady, które go dotyczą, a ty musisz być w stanie wykazać, że przeszli szkolenie i że przekaz do nich dotarł. Nasze szkolenie uświadamiające dotyczące normy ISO 27001 jest oparte właśnie na tym wymogu.
6. Audyt, przegląd, korekta. Przeprowadź audyt wewnętrzny, przedstaw wyniki na spotkaniu kierownictwa i wprowadź na tej podstawie zmiany. Właśnie tę ostatnią część sprawdza audytor zewnętrzny: nie to, czy znalazłeś problemy, ale czy ich wykrycie coś zmieniło. Na czym polega taki audyt, opisaliśmy w naszym artykule o tym, czym jest audyt.

Gdzie większość projektów ISMS utyka

Nie chodzi o technologię, a rzadko o papierkową robotę. Większość organizacji potrafi opracować zestaw zasad w ciągu kilku tygodni. Kłopoty zaczynają się w momencie, gdy system musi dotrzeć do osób, które w ogóle o to nie prosiły: do kolegi, który dzieli się loginem, bo tak jest szybciej, do szefa, który zatwierdza wyjątek na czacie, czy do nowego pracownika, który nigdy nie zapoznał się z modułem wdrożeniowym.

Audytorzy szybko to zauważają, bo ich pytania dotyczą raczej praktyki niż dokumentów. Nie pytają: „Czy macie politykę dostępu?”, tylko: „Pokaż mi, jak cofnięto dostęp osobie, która odeszła w zeszłym miesiącu”. Nie pytają: „Czy szkolicie pracowników?”, tylko: „Pokaż mi, kto przeszedł szkolenie, z czego, i co zrobiliście z tymi, którzy go nie ukończyli”. Jeśli odpowiedzią jest podpisana lista obecności z corocznego szkolenia, to system istnieje tylko na papierze.

Organizacje, które bez problemu sobie z tym radzą, traktują budowanie świadomości jako ciągły proces, a nie tylko coroczną akcję. Krótkie, cykliczne szkolenia generują stały strumień dokumentacji, utrwalają zasady w pamięci pracowników i sprawiają, że kwestia świadomości przestaje być gorączkową krzątaniną przed audytem, a staje się czymś, co działa samo z siebie.

W jaki sposób Guardey wspiera ludzki aspekt twojego systemu zarządzania bezpieczeństwem informacji (ISMS)

Szkolenie Guardey z zakresu świadomości bezpieczeństwa obejmuje właśnie tę część systemu zarządzania bezpieczeństwem informacji (ISMS), którą najtrudniej udokumentować: cotygodniowe zadania trwające około trzech minut, elementy grywalizacji z rankingami i seriami oraz treści dostosowane do aktualnego krajobrazu zagrożeń. Pracownicy szkolą się w aplikacji mobilnej na iOS i Androida albo w przeglądarce, więc uwzględnieni są też koledzy, którzy nie mają stałego stanowiska pracy.

W przypadku samego systemu zarządzania bezpieczeństwem informacji (ISMS) chodzi przede wszystkim o raportowanie. Dane o uczestnictwie, wyniki i postępy poszczególnych zespołów można wyeksportować jako dokumentację gotową do audytu zgodną z normami ISO 27001, NEN 7510 i NIS2, a zintegrowane symulacje phishingu pokazują raczej zachowania niż samą obecność. Konfiguracja zajmuje zaledwie kilka minut, a w ten sposób działa już ponad 500 organizacji, w tym Parlament Europejski.

Najczęściej zadawane pytania dotyczące systemu zarządzania bezpieczeństwem informacji (ISMS)

Czy system zarządzania bezpieczeństwem informacji (ISMS) jest obowiązkowy?

Nie samo w sobie. Coraz bardziej obowiązkowy staje się jednak wynik: NIS2 wymaga odpowiednich środków zarządzania ryzykiem i udokumentowanych szkoleń, placówki opieki zdrowotnej działają zgodnie z normą NEN 7510, a klienci i ubezpieczyciele domagają się dowodów. System zarządzania bezpieczeństwem informacji (ISMS) to najbardziej sprawdzony sposób na to, a certyfikacja pozwala udowodnić to osobom z zewnątrz.

Czy do wdrożenia systemu zarządzania bezpieczeństwem informacji (ISMS) potrzebny jest certyfikat ISO 27001?

Nie. Wiele organizacji wdraża system zarządzania bezpieczeństwem informacji (ISMS) zgodny z normami ISO, nie zapraszając przy tym audytora, bo zależy im bardziej na samej strukturze niż na certyfikacie. Certyfikacja ma sens, gdy klienci o to proszą, gdy jest wymagana w przetargach albo gdy potrzebujesz kogoś z zewnątrz, kto dopilnuje, żebyś działał uczciwie.

Ile czasu zajmuje wdrożenie systemu zarządzania bezpieczeństwem informacji (ISMS)?

W przypadku małej organizacji o jasno określonym zakresie realistycznym jest poświęcenie kilku miesięcy na pracę w niepełnym wymiarze godzin przed pierwszym audytem wewnętrznym. O harmonogramie rzadko decyduje samo pisanie; liczy się raczej to, jak szybko zapadają decyzje dotyczące zakresu, akceptacji ryzyka i podziału odpowiedzialności.

Kto powinien być właścicielem systemu zarządzania bezpieczeństwem informacji (ISMS)?

Ktoś, kto ma wystarczające uprawnienia, by egzekwować decyzje, i kto ma wsparcie od osób ponoszących konkretne ryzyko. Częstym błędem jest powierzenie tego zadania wyłącznie działowi IT: znaczna część systemu zarządzania bezpieczeństwem informacji (ISMS) dotyczy umów, procesów kadrowych i zarządzania dostawcami, a w tych obszarach zespół IT nie ma żadnego wpływu.

System zarządzania bezpieczeństwem informacji (ISMS) zaczyna się opłacać w momencie, gdy wpływa na jakąś decyzję: dostawca, któremu zadano pytanie, którego wcześniej by nie zadano; wyjątek, który zostaje odnotowany, a nie zapomniany; ryzyko, które zyskuje osobę odpowiedzialną. Wszystko inne – dokumenty, narzędzia i w końcu certyfikat – to tylko dodatki do tego.