Συστήματα Διαχείρισης Ασφάλειας Πληροφοριών (ISMS)

Το σύστημα διαχείρισης ασφάλειας πληροφοριών, ή ISMS, είναι το σύνολο πολιτικών, διαδικασιών, ρόλων και μέτρων ελέγχου με το οποίο ένας οργανισμός αποφασίζει ποιες πληροφορίες χρειάζονται προστασία, από τι και πώς, και στη συνέχεια ελέγχει ότι οι αποφάσεις αυτές ισχύουν στην πράξη. Η λέξη-κλειδί είναι η διαχείριση. Το ISMS δεν είναι προϊόν που εγκαθίσταται, αλλά τρόπος να τρέχει η ασφάλεια δεδομένων ως διαρκής ευθύνη, με υπευθύνους, αρχεία και τακτικές αναθεωρήσεις.

Το διεθνές σημείο αναφοράς είναι η οικογένεια ISO/IEC 27000. Το ISO/IEC 27001 καθορίζει τις απαιτήσεις που πρέπει να πληροί ένα ISMS και είναι το πρότυπο βάσει του οποίου πιστοποιούνται οι οργανισμοί, ενώ το ISO/IEC 27002 είναι κατάλογος μέτρων ασφάλειας με οδηγίες εφαρμογής. Στόχος είναι η προστασία της εμπιστευτικότητας, της ακεραιότητας και της διαθεσιμότητας των πληροφοριών σε κάθε μορφή: αρχεία, βάσεις δεδομένων, χαρτί, ακόμη και συζητήσεις.

Επειδή το ISMS βασίζεται στον κίνδυνο, δύο εταιρείες μπορούν να ικανοποιούν το ίδιο πρότυπο με πολύ διαφορετικά σύνολα μέτρων. Αυτό που ζητά το πρότυπο δεν είναι μια σταθερή λίστα αγορών, αλλά τεκμήρια ότι οι κίνδυνοι εντοπίστηκαν, αντιμετωπίστηκαν συνειδητά και επανεξετάστηκαν.

Το ISMS λειτουργεί ως κύκλος, που συχνά περιγράφεται με το μοντέλο Plan-Do-Check-Act, και όχι ως εφάπαξ έργο. Όλα ξεκινούν από το να γνωρίζετε τι έχετε: ένα ενημερωμένο μητρώο περιουσιακών στοιχείων IT και ένα λειτουργικό σχήμα κατηγοριοποίησης δεδομένων δείχνουν πού αξίζει το κόστος των μέτρων. Η συνήθης σειρά του κύκλου είναι η εξής:

1. 1

   Ορισμός εύρους

   Ορίστε ποιες μονάδες, τοποθεσίες, συστήματα και δεδομένα καλύπτει το ISMS και ποιος έχει συμφέρον σε αυτό: πελάτες, ρυθμιστικές αρχές, προσωπικό.

2. 2

   Αξιολόγηση και αντιμετώπιση κινδύνου

   Εντοπίστε περιουσιακά στοιχεία και απειλές, βαθμολογήστε τους κινδύνους και αποφασίστε αν κάθε κίνδυνος θα μειωθεί, θα αποφευχθεί, θα μοιραστεί ή θα γίνει αποδεκτός. Κάθε κίνδυνος έχει υπεύθυνο και καταγεγραμμένη απόφαση.

3. 3

   Επιλογή και λειτουργία μέτρων

   Επιλέξτε μέτρα που ταιριάζουν στους κινδύνους, καταγράψτε την επιλογή και τους λόγους της στη Δήλωση Εφαρμοσιμότητας και θέστε τα μέτρα σε καθημερινή λειτουργία.

4. 4

   Μέτρηση και έλεγχος

   Παρακολουθήστε την απόδοση των μέτρων, διενεργήστε εσωτερικούς ελέγχους και αναθεωρήσεις από τη διοίκηση, ώστε τα στελέχη να βλέπουν αποτελέσματα και όχι μόνο πολιτικές.

5. 5

   Βελτίωση

   Διορθώστε τις μη συμμορφώσεις, μάθετε από τα περιστατικά και μεταφέρετε τα συμπεράσματα στην επόμενη αξιολόγηση κινδύνου.

Το πρότυπο ζητά τεκμηριωμένες πληροφορίες, αλλά τα έγγραφα από μόνα τους δεν δημιουργούν ISMS. Τα περισσότερα από τα παρακάτω στοιχεία υπάρχουν για να δείχνουν ότι ο κύκλος διαχείρισης πράγματι γυρίζει:

Ένα ISMS χρειάζεται τεκμήρια ότι τα μέτρα υπάρχουν και ότι οι αλλαγές σε αυτά μπορούν να ανιχνευθούν. Στο Anexet Inventory, η καρτέλα ενός σταθμού εργασίας απαριθμεί τα εγκατεστημένα προγράμματα με έκδοση και ημερομηνία εγκατάστασης, που είναι η πρώτη ύλη για ένα μητρώο περιουσιακών στοιχείων. Στην κονσόλα διαχειριστή, η καρτέλα Journal καταγράφει ποιος άλλαξε ποιο προφίλ ή ποιον κανόνα, και πότε.

1 / 2

• 
• 

Μια συχνή έκπληξη για όσους εφαρμόζουν ISMS για πρώτη φορά είναι πόσο μικρό μέρος του ανήκει στην ομάδα ασφάλειας. Το πρότυπο αναμένει συμμετοχή της διοίκησης, και οι υπεύθυνοι κινδύνων να είναι όσοι πράγματι ευθύνονται για τη λειτουργική διαδικασία. Στην πράξη οι ρόλοι έχουν ως εξής:

Το ISO/IEC 27001 συχνά συγχέεται με το ίδιο το ISMS. Το ISMS είναι αυτό που λειτουργεί ο οργανισμός, το πρότυπο είναι το μέτρο σύγκρισης, και η πιστοποίηση είναι ανεξάρτητος έλεγχος αυτού του συστήματος εντός δηλωμένου εύρους. Ένα πιστοποιητικό λοιπόν λέει ότι το σύστημα εντός του εύρους πληροί το πρότυπο. Δεν λέει ότι ολόκληρη η εταιρεία είναι ασφαλής ούτε ότι μια παραβίαση είναι αδύνατη.

Δίπλα του υπάρχουν και άλλα πλαίσια. Το NIST Cybersecurity Framework και το NIST SP 800-53 προσφέρουν δομές και καταλόγους μέτρων, το SOC 2 είναι έκθεση διαβεβαίωσης ελεγκτή με βάση κριτήρια για οργανισμούς παροχής υπηρεσιών, και νόμοι όπως ο GDPR και η Οδηγία NIS2 της ΕΕ απαιτούν κατάλληλα μέτρα ασφάλειας χωρίς να επιβάλλουν ISMS. Ένα ISMS που λειτουργεί κάνει φθηνότερη αυτή την επικάλυψη, γιατί μία διαδικασία κινδύνου και ένα σύνολο τεκμηρίων εξυπηρετούν πολλές απαιτήσεις μέσω της διαχείρισης συμμόρφωσης. Βοηθά να αποδειχθεί η δέουσα επιμέλεια, αλλά από μόνο του δεν ισοδυναμεί με νομική συμμόρφωση.

Τα περισσότερα προγράμματα ISMS κολλούν για οργανωτικούς λόγους και όχι για τεχνικούς. Μια τυπική σειρά είναι να αγοραστεί ένα εργαλείο, όπως ένα σύστημα DLP, πριν καταγράψει κάποιος τι πρέπει να προστατευθεί, και να γραφτούν τα χαρτιά μετά. Τα μοτίβα επαναλαμβάνονται:

• Εύρος τόσο στενό που το πιστοποιητικό καλύπτει λίγα από όσα νοιάζουν τους πελάτες
• Μητρώο κινδύνων αντιγραμμένο από πρότυπο, χωρίς πραγματικούς υπευθύνους
• Δήλωση Εφαρμοσιμότητας γεμάτη «δεν εφαρμόζεται» χωρίς αιτιολόγηση
• Πολιτικές γραμμένες μία φορά, που δεν διαβάστηκαν και δεν δοκιμάστηκαν ποτέ
• Ευρήματα ελέγχου που κλείνουν στα χαρτιά χωρίς να αρθεί η αιτία

Ξεκινήστε μικρά και αληθινά: διαλέξτε εύρος που μετράει για τους πελάτες, καταγράψτε τα περιουσιακά στοιχεία πληροφοριών και τους υπευθύνους τους, και βαθμολογήστε τους λίγους κινδύνους που θα πονούσαν περισσότερο. Τα μέτρα έρχονται μετά, με σειρά κινδύνου και όχι με τη σειρά του πίνακα περιεχομένων του προτύπου.

Αφήστε τα ίδια τα συστήματα να παράγουν τα τεκμήρια, για παράδειγμα προγραμματισμένες αναφορές ασφάλειας και αρχεία αλλαγών, αντί να μαζεύετε στιγμιότυπα οθόνης την εβδομάδα πριν από τον έλεγχο. Ένα ISMS που κοστίζει λίγο να λειτουργεί είναι αυτό που επιβιώνει και τον δεύτερο χρόνο.