Upravljanje sustavima informacijske sigurnosti
Što je to upravljanje sustavima informacijske sigurnosti?
Informacije su danas, kao i vrijeme, najvažniji resurs svakog poslovnog sustava, a nerijetko i njegova ključna imovina čiji gubitak može dovesti do prestanka poslovanja. Pojavljuju se u raznim oblicima: pisanim dokumentima, IT bazama podataka, slikama, dijagramima, poslovnim pravilima itd.
Informacijska imovina nije uvijek jasno prepoznatljiva, a mogu je činiti informacije i podaci o:
- viziji, misiji, strategiji, dugoročnijoj poslovnoj orijentaciji i strateškim ciljevima;
- poslovnim politikama, financijama, poslovnim procesima;
- tržištima, kupcima, dobavljačima, ugovornim obvezama;
- osoblju i njihovim kompetencijama;
- postupcima kojima se ostvaruju zakonske, regulatorne ili ugovorne obveze;
- instaliranoj računalnoj opremi, elektroničkim medijima, perifernoj opremi, sistemskoj programskoj opremi;
- korisničkim aplikacijama, telekomunikacijskim mrežama, IT zaposlenicima;
- transakcijama korisnika;
- izvještajima i obvezama prema regulatoru, kao i niz drugih vrijednih informacija.
Kao i kod drugih oblika poslovne imovine, postoje mnogobrojni izvori prijetnji od napada na ovu informacijsku imovinu, koji, ukoliko se dese, a ne postoji uspostavljena dovoljno dobra informacijska sigurnost, mogu izazvati neželjene posljedice i prouzrokovati određenu materijalnu štetu ili neki drugi oblik štete. Skupine takvih prijetnji su:
- tehničke pogreške;
- neautorizirani pristupi IT opremi ili podacima;
- prekidi u pružanju IT potpore poslovnim procesima;
- prirodne nepogode;
- fizička oštećenja;
- kompromitiranje podataka i informacija i sl.
Ipak, najveće prijetnje dolaze od ljudi – hakera, računarskih kriminalaca, terorista, industrijske špijunaže, vlastitih zaposlenika. Da li će se negativne posljedice napada na informacijsku imovinu dogoditi, ovisi od toga da li postoje adekvatne sigurnosne mjere i da li su one pravilo implementirane u cjelokupni sustav sigurnosti. Ukoliko je njihova razina nedovoljna, poslovni sustav je ranjiv i postoji rizik da će doći do ugrožavanja informacijske imovine.
Prema normi ISO 27001, sustav upravljanja informacijskom sigurnošću sastoji se od politika, postupaka, smjernica, pripadajućih resursa i aktivnosti kojima tvrtka upravlja s ciljem zaštite svoje informacijske imovine. ISMS je sustavni pristup za uspostavljanje, implementaciju, rad, praćenje, pregled, održavanje i poboljšanje informacijske sigurnosti organizacije radi postizanja poslovnih ciljeva.
Koje su koristi uspostave procesa i aktivnosti upravljanja sustavima informacijske sigurnosti?
Sigurnost informacija u nekom sustavu je realnost i potreba. Izgradnja upravljivog sustava sigurnosti i ponaosob sigurnosti informacija je nužnost u poslovnom svijetu, ali sve više i u ostalim organizacijama. Nerijetko je ovaj dio procesa zanemaren i ocijenjen kao manje bitan. Čak i kada se pristupi implementaciji mjera i kontrola, uglavnom se radi o djelomičnim rješenjima koja se odnose na sigurnost nekog istaknutog aspekta sustava (npr. implementacija antivirusa, vatrozida, ugradnja alarma, senzora za provalu i slično.) dok se drugi elementi zanemaruju. Izvjesno je, ipak, da je sigurnost cjelokupnog sustava uvijek proporcionalna sigurnosti najslabije točke.
Uvođenje sustava sigurnosti prema zahtjevima normi iz ISO 27K serije potrebno je gledati kao projekt sa svojim ciljevima, rokovima, timovima i njihovim angažmanom, troškovima. Takav projekt ima i neke svoje posebnosti, poput uvjeta da određeni sudionici trebaju imati iskustvo i primjerena znanja za specifična područjima (npr. prilikom procjene rizika potrebno je poznavati postojeće kontrole za zaštitu a prilikom analize utjecaja na poslovanje bitno je procijeniti važnost imovine i veličinu gubitka uslijed njene nedostupnosti).
Korist nakon završetka jednog takvog projekta i uspostave procesa upravljanja sustavom informacijske sigurnosti svakako je povećana sigurnost informacijske imovine u vidu zaštite cjelovitosti, dostupnosti i povjerljivosti. Tvrtka sama procjenjuje da li su i koliko te karakteristike bitne za njeno poslovanje na osnovu provedene analize utjecaja na poslovanje i procjene rizika kojima je informacijska imovina izložena.
Kvalitetno proveden proces procjene rizika omogućuje rukovodnim strukturama sagledavanje stvarnog stanja sigurnosti informacijske imovine te im olakšava donošenje odluka o načinu upravljanja sigurnošću informacijskih sustava a analiza utjecaja na poslovanje daje izvješće o gubicima za slučaje nedostupnosti pojedine informacijske imovine ili sustava informacijsko-komunikacijskih tehnologija.
Prethodno navedeno značajno povećava ukupnu sigurnost poslovanja same tvrtke , osigurava njenu dobru reputacijsku sliku među korisnicima i partnerima i smanjuje rizik neusklađenosti s regulatornim i zakonskim propisima, ako takvi postoje za industriju u kojoj tvrtka djeluje.
Kako Vam ZIH može pomoći?
Za svakog korisnika ZIH ima individualiziran pristup ovisno o njegovim potrebama uzimajući u obzir veličinu tvrtke i kontekst poslovanja. Bitan dio našeg pristupa su i radionice s rukovodećim timovima na kojima educiramo korisnike o koristima i načinima na koje se uspostavljaju procesi upravljanja informacijskom sigurnošću. Uz stručno vođenje naših konzultanata i primjenu referentnih svjetskih preporuka, pomažemo korisnicima da uspješno uvedu sustave informacijske sigurnosti i učinkovito njima upravljaju. Usluge koje Vam možemo pružiti pokrivaju sve procese i aktivnosti PIPD (engl. PDCA, plan-do-check-act) ciklusa i one mogu biti ali nisu ograničene na:
- procjenu trenutačnog stanja informacijske sigurnosti;
- pripremu ISMS projekta;
- izradu politika informacijske sigurnosti;
- izradu sigurnosnih procedura (obvezne dokumentacije);
- upravljanje imovinom;
- procjenu i obradu sigurnosnih rizika;
- oblikovanje organizacije informacijske sigurnosti i sigurnosti ljudskih resursa;
- dizajn kontrola pristupa;
- upravljanje fizičkom sigurnošću i sigurnošću okoline;
- definiranje sigurnosti IT operacija;
- dizajna upravljanja sigurnosnim incidentima;
- izrade analize utjecaja na poslovanje;
- uspostave upravljanja kontinuitetom poslovanja;
- provjere sukladnosti sa zakonodavstvom i drugim propisima.
Edukacije iz navedenog područja:
- Uvod u informacijsku sigurnost
- Zašto i kako upravljati sustavima informacijske sigurnosti
- Projektiranje ISO 27001:2013 sustava informacijske sigurnosti
- Osposobljavanje za interne procjenitelje u skladu s normom ISO 27001
- Certified ISO 27001 Foundation (PECB)
- Certified ISO 27001 Lead Implementer (PECB)
- Certified ISO 27001 Lead Auditor (PECB)
- Kontrole informacijske sigurnosti u skladu s ISO 27002
- Certified ISO 27002 Foundation (PECB)
- Certified ISO 27002 Lead Manager (PECB)
- Certified ISO 27002 Manager (PECB)
- Priprema za polaganje CISA ispita (Certified Information Systems Auditor)
- Priprema za polaganje CISM ispita (Certified Information Security Manager)
- Certified ISO 27018 Cloud Security Manager (PECB)
- Human Resources Security Foundation (PECB)
Možda Vas interesiraju i ove naše usluge i edukacije:
Zašto ZIH?
ZIH ima više od 20 godina bogatog iskustva u oblikovanja suvremene organizacije sustava upravljanja rizicima poslovanja a ponaosob rizicima informacijske sigurnosti i upravljanja sustavima informacijske sigurnosti te pomno prati razvoj i primjenu normi koje se odnose na ovu tematiku (poput ISO 31000, ISO 27005, ISO 27001). Također je uspješno proveo niz procjena rizika upotrebe informacijskih tehnologija, rizika informacijske sigurnosti, uspostave sustava upravljanja informacijske sigurnosti.
