#iso/iec 27001

ISO/IEC 27001 to międzynarodowa norma opisująca, jak zbudować i utrzymać system zarządzania bezpieczeństwem informacji. Nie jest listą narzędzi do kupienia ani zbiorem ustawień do wprowadzenia. Opisuje sposób podejmowania decyzji o tym, co chronić i jak mocno.

Co znaczy system zarządzania

Słowo system jest tu użyte w znaczeniu organizacyjnym, nie informatycznym. Chodzi o powtarzalny obieg decyzji, a nie o oprogramowanie.

Bliską analogią jest przegląd techniczny floty samochodów. Można wymieniać części wtedy, gdy coś zgrzytnie, i wtedy stan floty zależy od słuchu kierowcy. Można też prowadzić rejestr pojazdów, ustalić, które przewożą ludzi, a które puste palety, przeglądać częściej te pierwsze, zapisywać wyniki i po roku sprawdzić, czy awarii ubyło. Norma opisuje ten drugi sposób, przeniesiony z pojazdów na informacje.

Cykl ma cztery kroki, które powtarzają się w kółko: ustalić, co jest do ochrony i przed czym, dobrać zabezpieczenia, sprawdzić, czy działają, poprawić to, co nie zadziałało.

Ocena ryzyka, czyli serce normy

Punktem wyjścia jest lista aktywów informacyjnych, czyli tego, co firma przetwarza i czego utrata lub ujawnienie byłoby dla niej kłopotem. Do każdej pozycji dopisuje się, co złego może się jej przydarzyć, jak bardzo jest to prawdopodobne i jak bardzo bolesne.

Dopiero z takiej listy wynikają zabezpieczenia. To odwrócenie kolejności, do której przywykła większość firm: nie zaczyna się od pytania, jaki program kupić, tylko od pytania, co się stanie, gdy konkretna rzecz przestanie być tajna, prawdziwa albo dostępna.

Norma dotyczy przy tym każdej informacji, nie tylko cyfrowej. Obejmuje dokumenty papierowe, rozmowy, dostęp do pomieszczeń i sposób niszczenia nośników. Czytanie jej jako zestawu wymagań technicznych prowadzi wprost do wdrożenia, które audytor odrzuca.

Dwie części dokumentu

Sam dokument normy ma dwie części o zupełnie różnym charakterze.

Klauzule ponumerowane od czwartej do dziesiątej są wymaganiami obowiązkowymi. Opisują kontekst organizacji, rolę kierownictwa, planowanie, zasoby, prowadzenie dokumentacji, ocenę skuteczności i doskonalenie. Tego nie da się pominąć.

Załącznik A jest listą zabezpieczeń do wyboru, pogrupowanych w cztery kategorie: organizacyjne, osobowe, fizyczne i technologiczne. Wybiera się z nich te, które odpowiadają wcześniej zidentyfikowanym ryzykom, a każdą decyzję, również o pominięciu, uzasadnia się w dokumencie zwanym Deklaracją Stosowania. To ten dokument audytor otwiera najwcześniej, bo pokazuje, czy firma myślała, czy przepisywała szablon.

Certyfikat a bezpieczeństwo

Zgodność z normą i posiadanie certyfikatu to dwie różne rzeczy. Zgodność jest stanem faktycznym, certyfikat jest oświadczeniem jednostki zewnętrznej, że sprawdziła ten stan.

Certyfikacja ma własny rytm: audyt wstępny, audyt właściwy, a potem audyty nadzoru w kolejnych latach i pełna recertyfikacja po zamknięciu cyklu. Jednostka certyfikująca wycenia swoją pracę w dniach audytowych, a ich liczba zależy od wielkości organizacji, liczby lokalizacji i branży.

Warto sprawdzić akredytację jednostki, zanim podpisze się umowę. Certyfikat wystawiony przez podmiot bez uznanej akredytacji bywa odrzucany przez kontrahenta, czyli przez jedyną osobę, dla której zwykle się go zdobywa.

Na co uważać

Najdroższa część tego przedsięwzięcia nie ma faktury. Audyt jest policzalny z góry, a wdrożenie zależy od punktu startu i potrafi kosztować wielokrotnie więcej niż on. Do tego dochodzi utrzymanie: system trzeba prowadzić między audytami.

Typowe miejsce, w którym wdrożenia pękają, to dokumentacja oderwana od rzeczywistości. Polityka kontroli dostępu opisująca coś innego niż faktyczna konfiguracja kont wychodzi przy pierwszym próbkowaniu, bo audytor nie czyta samych dokumentów, tylko porównuje je z dowodami.

Drugie takie miejsce to analiza ryzyka wykonana raz i odłożona. Norma zakłada jej aktualizowanie przy istotnych zmianach, więc nowy dostawca, nowy system albo nowy proces powinien ją poruszyć. Analiza otwierana ponownie dopiero przed recertyfikacją jest pierwszą rzeczą, którą audyt nadzoru wyłapuje.

Trzecie to zabezpieczenia fizyczne pomijane przez firmy pracujące w chmurze. Pytanie o to, gdzie leżą laptopy po godzinach i kto wchodzi do biura w weekend, pada niezależnie od tego, gdzie stoją serwery.

Kiedy ISO/IEC 27001 nie jest odpowiedzią

Norma ma sens tam, gdzie ktoś jej wymaga albo gdzie skala przetwarzanych danych czyni z chaosu realne ryzyko. Nie ma go tam, gdzie budżet wystarcza na audyt, ale nie na wdrożenie, bo wtedy powstaje papier bez treści, który rozsypuje się przy pierwszym audycie nadzoru. Odradza się też startu w trakcie głębokiej zmiany organizacyjnej, na przykład fuzji albo migracji systemów, bo opisywany zakres zmienia się szybciej, niż powstaje dokumentacja.