Systemy zarządzania bezpieczeństwem informacji (ISMS)

System zarządzania bezpieczeństwem informacji, czyli ISMS (po polsku także SZBI), to zestaw polityk, procesów, ról i zabezpieczeń, dzięki którym organizacja ustala, jakie informacje trzeba chronić, przed czym i w jaki sposób, a następnie sprawdza, czy te ustalenia się sprawdzają. Najważniejsze jest słowo „zarządzanie”. ISMS nie jest produktem, który się instaluje, lecz sposobem prowadzenia bezpieczeństwa danych jako stałej odpowiedzialności, z właścicielami, zapisami i regularnymi przeglądami.

Międzynarodowym punktem odniesienia jest rodzina norm ISO/IEC 27000. Norma ISO/IEC 27001 określa wymagania wobec ISMS i to właśnie względem niej organizacje się certyfikują, a ISO/IEC 27002 jest katalogiem zabezpieczeń ze wskazówkami wdrożeniowymi. Celem jest ochrona poufności, integralności i dostępności informacji w każdej postaci: plików, baz danych, papieru, a nawet rozmów.

Ponieważ ISMS opiera się na ryzyku, dwie firmy mogą spełnić tę samą normę przy zupełnie różnych zestawach zabezpieczeń. Norma nie wymaga sztywnej listy zakupów, lecz dowodów, że ryzyka rozpoznano, świadomie obsłużono i regularnie weryfikowano.

ISMS działa jak pętla, często opisywana modelem Plan-Do-Check-Act, a nie jak jednorazowy projekt. Wszystko zaczyna się od wiedzy o tym, co się posiada: aktualny rejestr zasobów IT i działająca klasyfikacja danych pokazują, gdzie zabezpieczenia są warte swojego kosztu. Zwykła kolejność cyklu wygląda tak:

1. 1

   Wyznacz zakres

   Określ, które jednostki, lokalizacje, systemy i dane obejmuje ISMS oraz kto ma w nim interes: klienci, regulatorzy, pracownicy.

2. 2

   Oceń ryzyko i je obsłuż

   Zidentyfikuj zasoby i zagrożenia, oceń ryzyka i zdecyduj, czy każde z nich ograniczyć, uniknąć, podzielić czy zaakceptować. Każde ryzyko ma właściciela i zapisaną decyzję.

3. 3

   Wybierz i uruchom zabezpieczenia

   Dobierz zabezpieczenia do ryzyk, zapisz wybór i jego uzasadnienie w Deklaracji stosowania i wprowadź je do codziennej pracy.

4. 4

   Mierz i audytuj

   Śledź skuteczność zabezpieczeń, prowadź audyty wewnętrzne i przeglądy zarządzania, aby kierownictwo widziało wyniki, a nie tylko polityki.

5. 5

   Doskonal

   Usuwaj niezgodności, wyciągaj wnioski z incydentów i przenoś je do kolejnej oceny ryzyka.

Norma wymaga udokumentowanych informacji, ale same dokumenty nie tworzą ISMS. Większość poniższych elementów istnieje po to, by pokazać, że cykl zarządzania naprawdę się obraca:

ISMS potrzebuje dowodów, że zabezpieczenia istnieją, a zmiany w nich można prześledzić. W Anexet Inventory karta stacji roboczej wylicza zainstalowane programy z wersją i datą instalacji, co jest surowcem dla rejestru zasobów. W konsoli administratora zakładka Journal zapisuje, kto zmienił który profil lub regułę i kiedy.

1 / 2

• 
• 

Wdrażających często zaskakuje, jak niewielka część ISMS należy do zespołu bezpieczeństwa. Norma oczekuje udziału kierownictwa, a właścicielami ryzyk mają być osoby, które naprawdę odpowiadają za proces biznesowy. W praktyce role wyglądają tak:

ISO/IEC 27001 bywa mylona z samym ISMS. ISMS to to, co organizacja prowadzi, norma jest miarą, a certyfikacja to niezależny audyt tego systemu w deklarowanym zakresie. Certyfikat mówi więc, że system w tym zakresie spełnia normę. Nie mówi, że cała firma jest bezpieczna ani że naruszenie jest niemożliwe.

Obok istnieją inne ramy. NIST Cybersecurity Framework i NIST SP 800-53 dostarczają struktur i katalogów zabezpieczeń, SOC 2 to raport poświadczający audytora według kryteriów dla organizacji usługowych, a przepisy takie jak RODO i unijna dyrektywa NIS2 wymagają odpowiednich środków bezpieczeństwa, nie narzucając ISMS. Działający ISMS obniża koszt tego nakładania się wymagań, bo jeden proces ryzyka i jeden zbiór dowodów obsługują kilka wymogów przez zarządzanie zgodnością. Pomaga wykazać należytą staranność, ale sam nie jest równoznaczny ze zgodnością z prawem.

Większość programów ISMS ugrzęzła z powodów organizacyjnych, nie technicznych. Typowy scenariusz to zakup narzędzia, na przykład systemu DLP, zanim ktokolwiek spisał, co trzeba chronić, a dokumentację pisze się dopiero potem. Wzorce się powtarzają:

• Zakres tak wąski, że certyfikat obejmuje niewiele z tego, na czym zależy klientom
• Rejestr ryzyk skopiowany z szablonu, bez prawdziwych właścicieli
• Deklaracja stosowania pełna wpisów „nie dotyczy” bez uzasadnień
• Polityki napisane raz, nigdy nieczytane i nietestowane
• Ustalenia z audytu zamykane na papierze bez usunięcia przyczyny

Zacznij od małego i prawdziwego zakresu: wybierz obszar ważny dla klientów, spisz jego zasoby informacyjne i ich właścicieli i oceń kilka ryzyk, które zabolałyby najbardziej. Zabezpieczenia dobieraj potem według ryzyka, a nie według kolejności w spisie treści normy.

Niech dowody wytwarzają same systemy, na przykład cykliczne raporty bezpieczeństwa i dzienniki zmian, zamiast zbierania zrzutów ekranu w tygodniu przed audytem. ISMS, który tanio się utrzymuje, to ten, który przeżywa drugi rok.