ISO 27001 - system zarządzania bezpieczeństwem informacji

Rola wdrożenia systemu zarządzania bezpieczeństwem informacji  ISO 27001

Potrzeba usystematyzowania działań dotyczących  systemu zarządzania bezpieczeństwem informacji pojawiła się w 2005 r. Zdano sobie wówczas sprawę, jak ważne dla firm jest zabezpieczenie informacji, które w niej powstają. Norma ta ewoluowała i obecnie obowiązuje najnowsza norma IPN-ISO/IEC 27001:2017.

W obecnych czasach firmy nie mogą pozwolić sobie na zaniedbanie zabezpieczenia  informacji, jakie posiadają. Czasami dzieje się tak, że zwalniany pracownik potrafi doprowadzić do upadku firmy, zabierając całą bazę klientów do konkurencji lub zdradza know how.

Dlaczego warto wdrażać system zarządzania bezpieczeństwem informacji ISO 27001?

Zadaniem jakie stawia sobie system bezpieczeństwa informacji to zabezpieczenie firmy, uwzględniając wszystkie aspekty jej działalności, przed utratą informacji. Myśląc o informacji, mamy na myśli informacje wewnętrzne firmy oraz te pozyskane od klienta, który powierza firmie wykonanie jakiegoś produkty, czy też usługi.

Informacja to nie tylko zapis elektroniczny, to również dokumentacja papierowa i wiedza pracowników. Dokumentacja uzyskana od klienta, dokumentacja pracownicza (ważna również z powodu RODO), to poczta email, zapisy z monitoringu, nagrania dźwiękowe i wiele innych danych, które pojawiają się w firmach ściśle związane ze specyfiką ich działalności.

We wszystkich normach, tak samo w ISO 27001, pojawia się schemat - PDCA  - koło Deminga, który mówi o tym, żeby ciągle pracować nad wdrożonym systemem, znajdować nowe rozwiązania, które usprawnią jego funkcjonowanie.

Uzyskanie certyfikatu ISO 27001 jest prestiżowym osiągnięciem dla firmy. To uznanie jej wkładu w zabezpieczenie swoich danych firmowych oraz w bezpieczeństwo danych swoich klientów. Zdarzają się firmy, które nawiązanie współpracy warunkują posiadaniem certyfikatu bezpieczeństwa informacji. Budowa systemu bezpieczeństwa to stworzenie dokumentacji zgodnie z wytycznymi normy ISO 27001 oraz wdrożenie jej w firmie. Każda firma to indywidualny przypadek. W każdej należy przeprowadzić audyt bezpieczeństwa danych, wyeliminować ewentualne luki, które mogą doprowadzić do wycieku danych. Ważne jest oszacowanie ryzyka na każdym etapie pracy z danymi. Tam, gdzie ryzyko jest duże należy podjąć natychmiastowe działania. Ze względu na charakter danych, mogą to być działania związane z 1) fizycznym zabezpieczeniem danych – metalowe szafki zamykane na klucz zawierające np. teczki pracownicze, umowy, wytyczne technologii itp., 2) działania związane z elektronicznym zabezpieczeniem danych – hasła do komputerów zmienianie co np.: 90 dni, zabezpieczenia na serwerach chroniące przed atakiem hackerskim itp. 3) działania związane z organizacyjnym zabezpieczeniem danych - klauzule poufności, procedury reagowania na incydenty i zagrożenia, procedury dotyczące prewencji i testów zabezpieczeń. System zarządzania bezpieczeństwem informacji ISO 27001 związany jest również prawnie ze spełnieniem rozporządzenia RODO. Budując system należy wziąć pod uwagę założenia tego rozporządzenia. Wszystkie cele jakie stawia przed sobą firma budując system ISO 27001 zawarte powinny zostać w polityce bezpieczeństwa informacji. Wszyscy pracownicy powinni zostać poinformowani o wprowadzonych zmianach w zasadach bezpieczeństwa i stosować się do nowych procedur bezpieczeństwa, które powstaną w trakcie tworzenia systemu. Należy również zdać sobie sprawę, że najwrażliwszym elementem całego systemu jest człowiek i jego działania, dlatego należy przyjąć takie rozwiązania, które zminimalizują ryzyko wycieku danych ze strony działań pracowników czy kooperantów.

Jak uzyskać certyfikat ISO 27001?

Aby pozytywnie przebiegł proces auditu przez niezależną jednostkę certyfikacyjną, należy wdrożyć i udokumentować wszystkie etapy zawarte w normie ISO 27001. Audytor sprawdzi powstałą dokumentację pod względem spełnienia wymagań normy bezpieczeństwa  oraz sprawdzi jak firma zaimplementowała stworzone procedury i jak one funkcjonują. System bezpieczeństwa wymaga ciągłego doskonalenia, zmieniają się nośniki danych, zmienia się ilość i ważność posiadanych danych, dlatego system, który stworzymy dziś, za rok może być już nieskuteczny, ponieważ zmieniła się firma, pracownicy zdobyli nowe kompetencje, wprowadzono nowe skuteczniejsze zabezpieczenia, powstały nowe zagrożenia. Postęp techniczny, który wpisany jest w system zarządzania bezpieczeństwem, wymaga reagowania na zmiany, inaczej staje się bezużyteczny. Audytorzy jednostki certyfikacyjnej, którzy sprawdzają zgodność systemową wskazują kierunki rozwoju, które mogą się sprawdzić w waszej firmie. Jest to niewątpliwie wartość dodana do auditu. Firma FranCraft wdrażała systemy zarządzania bezpieczeństwem w wielu branżach i dysponuje praktyczną wiedzą, jakie działania podjąć, aby zminimalizować ryzyko utraty danych oraz jak pokierować działaniami firmy, aby pozytywnie przejść audyt ISO 27001. Niezbędna w tym celu jest ścisła współpraca między konsultantami FranCraft oraz powołanym do wdrażania  zaleceń w firmie, pełnomocnikiem ds. bezpieczeństwa informacji.

FranCraft posiada niezbędną wiedzę, doświadczenie  oraz zespół konsultantów, które niezbędne są do wprowadzenia zmian w firmie, które doprowadzą do pozytywnego wyniku, jakim będzie uzyskanie celu czyli uzyskania dla firmy certyfikatu ISO 27001. Oferujemy również możliwość kontynuowania współpracy, po uzyskaniu certyfikatu ISO 27001. Audyty firmy zewnętrznej FranCraft to najlepszy sposób na wykrycie nieprawidłowości, jakie mogą powstać w trakcie funkcjonowania systemu. Zaproponujemy wam możliwe sposoby ich rozwiązania  wprowadzając działania korygujące.

Szkolenia z zakresu ISO 27001

Bezpieczeństwo danych to bardzo szeroki temat, dlatego proponujemy szkolenia, które pozwolą zrozumieć funkcjonowanie przepływu danych przez całą firmę. Pracownicy często nie zdają sobie sprawy, że ich praca wpływa na inne działy.  Tak samo jest z danymi -  najczęściej pracownicy ograniczają swoją wiedzę do swojego działu. Aby prawidłowo zbudować system bezpieczeństwa informacji, należy umiejętnie zidentyfikować dane i grożące im zagrożenia. Jest to złożony proces i wymaga praktycznej wiedzy. Największą trudność sprawia stworzenie rejestru zagrożeń bezpieczeństwa informacji, dlatego proponujemy szkolenie z zakresu wdrażania systemu zarządzania bezpieczeństwem informacji ISO 27001 oraz oceny ryzyka w systemie zarządzania informacją ISO 27001. Są to szkolenia oparte na latach doświadczeń we wdrażaniu systemów bezpieczeństwa informacji.