Bezpieczeństwo informacji w firmie. Co naprawdę daje ISO/IEC 27001 i audyt wewnętrzny?
Bezpieczeństwo informacji w firmie. Co naprawdę daje ISO/IEC 27001 i audyt wewnętrzny?
Ostatnio zastanawialiśmy się, jakie informacje w firmie są naprawdę krytyczne i czy organizacja rzeczywiście wie, co powinna chronić oraz przed jakimi zagrożeniami.
To pytanie warto pociągnąć o krok dalej.
Co stanie się, jeżeli firma nagle straci dostęp do kluczowych dokumentów, danych klientów albo informacji potrzebnych do bieżącego działania? Co, jeśli część tych danych trafi w niepowołane ręce, a cyberatak na kilka godzin lub dni sparaliżuje działalność?
W praktyce nie jest to już scenariusz wyłącznie teoretyczny. Incydenty związane z utratą danych, ransomware, nieuprawnionym dostępem czy błędami pracowników mogą dotknąć organizacje niezależnie od ich wielkości czy branży.
Najważniejsze pytanie brzmi więc nie tylko: czy firma ma zabezpieczenia, ale również: czy wie, jak zareagować, gdy zabezpieczenia okażą się niewystarczające.
Bezpieczeństwo informacji to nie tylko IT
W wielu organizacjach bezpieczeństwo informacji nadal kojarzone jest przede wszystkim z programem antywirusowym, silnymi hasłami, kopią zapasową czy odpowiednimi zabezpieczeniami infrastruktury.
To oczywiście ważne elementy ochrony. Nie wyczerpują jednak całego zagadnienia.
Bezpieczeństwo informacji dotyczy również tego, kto ma dostęp do określonych danych, w jaki sposób nadawane i odbierane są uprawnienia, jak firma reaguje na incydenty, kto odpowiada za konkretne działania oraz czy pracownicy wiedzą, jak postępować w sytuacji zagrożenia.
Dlatego coraz większe znaczenie ma systemowe podejście do zarządzania bezpieczeństwem informacji.
Jednym z najważniejszych punktów odniesienia w tym obszarze jest norma ISO/IEC 27001, określająca wymagania dla Systemu Zarządzania Bezpieczeństwem Informacji, czyli SZBI.
Jej znaczenie polega przede wszystkim na tym, że bezpieczeństwo przestaje być zbiorem pojedynczych działań czy narzędzi, a staje się elementem zarządzania organizacją.
Co daje podejście zgodne z ISO/IEC 27001?
Pierwszym obszarem jest ochrona informacji, które mają realne znaczenie dla działalności firmy.
Mogą to być dane klientów, dokumentacja, informacje handlowe, dane pracowników, wiedza organizacyjna, umowy, dane finansowe czy inne informacje, których utrata, ujawnienie albo zmiana mogłyby wywołać poważne konsekwencje biznesowe.
Nie każda informacja ma jednak taką samą wartość i nie każda wymaga identycznego poziomu ochrony. Dlatego jednym z istotnych elementów systemowego podejścia jest określenie, co rzeczywiście wymaga szczególnego zabezpieczenia.
Drugim elementem jest identyfikacja i ocena ryzyka.
Każda organizacja działa w innym środowisku i mierzy się z innymi zagrożeniami. Dla jednej firmy największym problemem może być utrata dostępu do systemu sprzedażowego, dla innej wyciek dokumentacji klienta, a dla jeszcze innej nieuprawniony dostęp do wiedzy technologicznej.
Dobrze funkcjonujący system bezpieczeństwa powinien pozwalać te ryzyka identyfikować, oceniać oraz dobierać do nich odpowiednie środki organizacyjne i techniczne.
Kolejną kwestią są jasne zasady i odpowiedzialność.
Bezpieczeństwo informacji nie powinno zależeć wyłącznie od wiedzy i doświadczenia działu IT. W praktyce równie istotne są procedury, sposób organizacji pracy, świadomość pracowników oraz zaangażowanie osób zarządzających.
Nawet najlepsze zabezpieczenia techniczne mogą nie wystarczyć, jeżeli pracownik nie wie, jak zareagować na podejrzaną wiadomość, nie obowiązują jasne zasady dostępu do danych albo nikt nie odpowiada za aktualizowanie procedur.
Ważnym elementem jest również ciągłe doskonalenie.
Zagrożenia się zmieniają, podobnie jak sama organizacja. Pojawiają się nowe systemy, pracownicy, dostawcy, procesy i modele współpracy. Rozwiązania, które były wystarczające kilka lat temu, nie zawsze odpowiadają aktualnym potrzebom firmy.
System bezpieczeństwa powinien więc być regularnie oceniany i dostosowywany do zmieniających się warunków.
Audyt wewnętrzny jako sprawdzian rzeczywistego poziomu bezpieczeństwa
Jednym z narzędzi pozwalających ocenić, jak system bezpieczeństwa informacji działa w praktyce, jest audyt wewnętrzny przeprowadzany w oparciu o wymagania ISO/IEC 27001.
Jego wartość nie polega wyłącznie na sprawdzeniu, czy firma posiada odpowiednie dokumenty.
Znacznie ważniejsze jest ustalenie, czy przyjęte rozwiązania rzeczywiście funkcjonują.
Audyt może pomóc ujawnić słabe punkty zanim doprowadzą one do poważnego incydentu. Mogą to być zarówno problemy techniczne, jak i organizacyjne: niewłaściwie nadane uprawnienia, nieaktualne procedury, brak jasnych zasad reagowania na incydenty czy rozbieżność między tym, co wynika z dokumentacji, a tym, jak pracownicy rzeczywiście postępują.
Dzięki temu organizacja może zidentyfikować obszary wymagające poprawy i ograniczyć ryzyko zanim problem się zmaterializuje.
Audyt dostarcza również kierownictwu informacji potrzebnych do podejmowania decyzji dotyczących bezpieczeństwa. Pokazuje, gdzie zabezpieczenia działają prawidłowo, gdzie pojawiają się luki oraz które obszary wymagają dodatkowych działań.
Ma to znaczenie także wtedy, gdy firma posiada już rozbudowane procedury i zabezpieczenia.
Samo istnienie dokumentacji nie przesądza przecież o jej skuteczności.
Audyt nie powinien sprowadzać się do szukania błędów
Audyt wewnętrzny bywa czasem odbierany jako kontrola, której celem jest wskazanie nieprawidłowości i przypisanie odpowiedzialności.
Takie podejście nie oddaje jednak jego rzeczywistej funkcji.
Dobrze przeprowadzony audyt powinien przede wszystkim rzetelnie pokazać, jak organizacja wygląda dzisiaj i gdzie istnieje przestrzeń do poprawy.
Nie chodzi o znalezienie uchybienia za wszelką cenę. Chodzi o sprawdzenie, czy system odpowiada na rzeczywiste ryzyka firmy i czy daje podstawę do skutecznego reagowania wtedy, gdy pojawi się incydent.
Czasami wynikiem audytu będzie konieczność zmiany procedury. Innym razem zmiana sposobu nadawania dostępów, dodatkowe szkolenie pracowników albo uporządkowanie odpowiedzialności pomiędzy poszczególnymi osobami i działami.
Właśnie na tym polega jego praktyczna wartość.
Bezpieczeństwo informacji jest elementem zarządzania firmą
Ochrona informacji nie jest dziś wyłącznie zagadnieniem technologicznym.
To również kwestia ciągłości działania, odpowiedzialności organizacji, relacji z klientami i reputacji przedsiębiorstwa.
Jeżeli firma wie, jakie informacje są dla niej kluczowe, rozumie związane z nimi ryzyka, posiada jasne zasady działania i regularnie sprawdza skuteczność przyjętych rozwiązań, jest znacznie lepiej przygotowana na sytuacje kryzysowe.
Dlatego ISO/IEC 27001 i audyt wewnętrzny warto traktować nie jako „papier pod certyfikat”, lecz jako narzędzia służące uporządkowaniu bezpieczeństwa informacji i ocenie, czy przyjęty system rzeczywiście działa.
Bo w praktyce najważniejsze pytanie nie brzmi:
czy firma ma procedury?
Tylko:
czy te procedury zadziałają wtedy, kiedy naprawdę będą potrzebne?
Autor: Grzegorz Pałaszewski – adwokat i Approved Compliance Officer w Kancelarii Adwokackiej Orlik & Partners.
Udostępnij
Możliwość komentowania jest wyłączona.
