Aneks A, deo 12: A.7.1–7.4 — Fizički perimetar i ulazak

Dvanaesti deo serije o Aneksu A, i prvi iz poglavlja A.7 — fizičke kontrole. Kroz ceo ovaj blog, fokus je uglavnom bio na digitalnim rizicima. Fizička bezbednost se pominjala usput — kod proizvodnog pogona iz mini-serije, kod fizičke dokumentacije u knjigovodstvenoj agenciji — ali nikad detaljno. Vreme je da se to promeni.

Šta ove kontrole traže

A.7.1 — Fizički bezbednosni perimetri. Treba definisati i koristiti bezbednosne perimetre za zaštitu oblasti koje sadrže informacije i druga sredstva — jasnu granicu između „unutra" i „napolju".

A.7.2 — Fizički ulazak. Bezbedne oblasti treba da budu zaštićene odgovarajućom kontrolom ulaska i pristupnim tačkama — ko sme da uđe, i kako se to proverava.

A.7.3 — Obezbeđivanje kancelarija, prostorija i objekata. Fizička bezbednost za kancelarije, prostorije i objekte treba da bude posebno projektovana i primenjena — ne isti nivo zaštite svuda, nego prilagođen onome što se u toj prostoriji čuva.

A.7.4 — Fizičko bezbednosno praćenje. Prostorije treba kontinuirano da se prate radi otkrivanja neovlašćenog fizičkog pristupa.

Zašto su ove kontrole bitne

Lako je zaboraviti da bezbednost informacija nije samo pitanje lozinki i mrežnih podešavanja. Fizički spisi klijenata, laptop ostavljen na stolu, neko ko uđe u kancelariju bez pratnje — sve to nosi isti rizik kao slaba lozinka, samo u drugačijem obliku. Ove četiri kontrole postavljaju istu logiku kontrole pristupa koju smo detaljno obradili za digitalni svet u ranijem delu serije, sada na fizički prostor.

Primer iz prakse

A.7.1, jasna granica: perimetar knjigovodstvene agencije je jednostavan — glavna ulazna vrata kancelarije. Zajednički hodnik zgrade nije deo perimetra; sve što je iza zaključanih vrata agencije jeste. Za malu firmu sa jednom kancelarijom, perimetar ne mora biti komplikovan — samo jasno određen.

A.7.2, ko ulazi gde: agencija ima malu recepciju gde klijenti čekaju sastanke, ali sam radni prostor, sa fizičkim spisima i računarima zaposlenih, nalazi se iza dodatnih, zaključanih vrata. Klijent nikad ne ulazi u radni prostor bez pratnje zaposlenog, čak i kad dolazi na zakazan sastanak.

A.7.3, dodatni sloj za najosetljivije: iako je većina dokumentacije digitalizovana, agencija i dalje čuva određenu stariju fizičku dokumentaciju, pomenutu još u tekstu o klauzuli 4.1. Ta dokumentacija se ne drži u običnom ormaru u otvorenom prostoru, nego u zaključanom ormaru u posebnoj prostoriji, sa dodatnim ključem koji poseduju samo koordinatorka i vlasnica — dva sloja zaštite za materijal koji se ne može jednostavno zameniti ili obrisati na daljinu ako se izgubi.

A.7.4, praćenje koje nije skupo: agencija koristi elektronsku bravu sa pojedinačnim kodovima umesto fizičkih ključeva — svaki zaposleni ima svoj kod, a sistem beleži tačno ko je i kada ušao. Jednom je alarm signalizirao ulazak van radnog vremena, tokom vikenda, i vlasnica je odmah dobila obaveštenje na telefon. Ispostavilo se da je jedan zaposleni došao da završi hitan posao pred rok — bezopasna situacija, ali sistem je omogućio da se to odmah proveri, umesto da ostane potpuno neprimećeno da li se neko uopšte nalazio u kancelariji van radnog vremena.

Gde se dokumentuje

A.7.1 i A.7.2 dokumentuju se kroz kratak opis fizičkog rasporeda i pravila ulaska, često kao deo šire tematske politike o fizičkoj bezbednosti. A.7.3 dokumentuje se kroz spisak posebno obezbeđenih prostorija ili ormara i ko ima pristup njima. A.7.4 dokumentuje se kroz zapise sistema za praćenje ulazaka, ako postoji, ili kroz jednostavan dnevnik ako se prati ručno.

Najčešća greška

Najčešća greška kod A.7.1 i A.7.2 je nepostojanje jasne granice između prostora dostupnog klijentima i radnog prostora — klijenti koji slobodno prolaze kroz kancelariju dok zaposleni rade na osetljivim podacima na ekranu. Kod A.7.3, greška je isti nivo zaštite za sve prostorije, bez razlike između obične kancelarije i mesta gde se čuva najosetljivija dokumentacija. Kod A.7.4, najčešća greška je pretpostavka da je fizičko praćenje preskupo za malu firmu — kao što primer iznad pokazuje, jednostavan sistem sa pojedinačnim kodovima često je jeftiniji i praktičniji od fizičkih ključeva, uz dodatnu korist praćenja koju obični ključevi nikad ne pružaju.

Šta sledi

Sledeći deo serije ide na kontrole A.7.5–7.7 — bezbedne zone i radna okolina, gde ulazimo dublje u to kako izgleda bezbedno uređen radni prostor u svakodnevnom radu, ne samo na ulazu.