Aneks A, deo 8: A.5.31–5.34 — Pravna usklađenost i zaštita podataka

Osmi deo serije o Aneksu A. Vraćamo se na teren koji smo dotakli još u prvom tekstu na ovom blogu — zakonske obaveze — sada kroz konkretne kontrole standarda, umesto uopštenog pregleda.

Šta ove kontrole traže

A.5.31 — Pravni, statutarni, regulatorni i ugovorni zahtevi. Firma treba da identifikuje, dokumentuje i redovno ažurira sve pravne, regulatorne i ugovorne zahteve relevantne za bezbednost informacija — ne jednom, nego kao živ, tekući proces.

A.5.32 — Prava intelektualne svojine. Treba da postoje procedure za zaštitu prava intelektualne svojine — i sopstvene firme, i onih čije proizvode ili materijale firma koristi.

A.5.33 — Zaštita zapisa. Poslovni zapisi treba da budu zaštićeni od gubitka, uništenja, falsifikovanja, neovlašćenog pristupa i neovlašćenog objavljivanja, u skladu sa pravnim, regulatornim, ugovornim i poslovnim zahtevima.

A.5.34 — Privatnost i zaštita ličnih podataka. Firma treba da identifikuje i ispuni zahteve vezane za očuvanje privatnosti i zaštitu ličnih podataka, u skladu sa primenljivim zakonima, propisima i ugovornim obavezama.

Zašto su ove kontrole bitne

Ove četiri kontrole spajaju bezbednost informacija sa nečim što postoji nezavisno od ISO 27001 — zakonom. Kao što smo pisali u prvom tekstu na ovom blogu, ISO 27001 nije zakonska obaveza za većinu malih firmi u Srbiji, ali zakonske obaveze — Zakon o zaštiti podataka o ličnosti, propisi o čuvanju finansijske dokumentacije, ugovorne obaveze prema klijentima — postoje bez obzira na to da li ste sertifikovani. Ove kontrole postoje da bi se ta dva sveta, dobrovoljni standard i obavezan zakon, svesno povezala, umesto da firma vodi dva odvojena, nekomunicirajuća sistema.

Primer iz prakse

A.5.31, živ registar, ne jednokratna lista: knjigovodstvena agencija vodi kratak registar pravnih i ugovornih zahteva — Zakon o zaštiti podataka o ličnosti, propise o čuvanju finansijske dokumentacije pomenute još u tekstu o klauzuli 4.1, i ugovorne obaveze poverljivosti prema klijentima. Kad je stupio na snagu novi Zakon o informacionoj bezbednosti, pomenut u prvom tekstu na blogu, agencija je proverila da li se sada na nju odnosi — zaključila da direktno ne spada u operatore sistema od posebnog značaja, ali je tu proveru i zaključak zapisala u registar, sa datumom, umesto da samo prećutno pretpostavi da se ništa nije promenilo.

A.5.32, provera koja se lako zaboravi: spoljni IT saradnik agencije jednom godišnje proverava da li sav softver koji firma koristi — operativni sistemi, kancelarijski paket, antivirus — ima važeću licencu, ne piratsku kopiju. Ovo se retko doživljava kao „bezbednosno" pitanje, ali nelicenciran softver često znači i da firma ne dobija bezbednosne ispravke na vreme, pa se dva naizgled različita problema — pravni i bezbednosni — u praksi preklapaju.

A.5.33, zaštita nečega što ste već pravili: finansijski podaci klijenata moraju biti čuvani određen broj godina po zakonu, ali isto važi i za sopstvenu ISMS dokumentaciju agencije — registar rizika, registar incidenata, zapisnike sa pregleda menadžmenta. Agencija je primenila ista pravila kontrole verzija i pristupa, opisana u klauzuli 7.5, i na ove interne zapise, ne samo na klijentske podatke, jer i oni predstavljaju zapise koje treba zaštititi od gubitka ili neovlašćene izmene.

A.5.34, gde se sve prethodno spaja: ovo je kontrola koja, u suštini, sabira gotovo sve što je agencija do sada uradila kroz ceo ovaj blog — individualni nalozi i kontrola pristupa iz A.5.15–5.18, pravila o prenosu informacija iz A.5.14, upravljanje incidentima iz A.5.24–5.28 — sve to zajedno čini stvaran, praktičan način da se ispune zahtevi Zakona o zaštiti podataka o ličnosti. Kao što smo napisali još u prvom tekstu na blogu, ISO 27001 nije zamena za zakon, ali primena standarda značajno olakšava dokazivanje da su „odgovarajuće tehničke i organizacione mere" iz zakona zaista sprovedene, ne samo deklarativno navedene.

Gde se dokumentuje

A.5.31 dokumentuje se kroz registar pravnih zahteva, opisan u primeru iznad — kratka tabela sa zahtevom, izvorom i datumom poslednje provere. A.5.32 dokumentuje se kroz kratak zapisnik godišnje provere licenci. A.5.33 se ne dokumentuje posebno — primenjuje se kroz postojeći sistem kontrole dokumenata iz klauzule 7.5, proširen i na zapise koji imaju zakonski propisan rok čuvanja. A.5.34 se ne dokumentuje kao poseban dokument, nego kao eksplicitna referenca u politici bezbednosti informacija iz klauzule 5.2, koja povezuje ISMS sa konkretnim zakonom koji firma time pomaže da ispuni.

Najčešća greška

Najčešća greška kod A.5.31 je registar napravljen jednom, pred prvu sertifikaciju, i nikad više otvoren — čak i kad se zakon promeni. Kod A.5.32, česta greška je potpuno zanemarivanje pitanja licenciranja softvera, jer se ne doživljava kao deo bezbednosti, iako direktno utiče na to da li firma dobija bezbednosne ispravke. Kod A.5.33, greška je primena pravila zaštite zapisa samo na klijentske podatke, uz zanemarivanje sopstvene ISMS dokumentacije, iako i ona podleže istim principima. Kod A.5.34, najčešća greška je posmatranje ISO 27001 i zakona o zaštiti podataka kao dva potpuno odvojena sveta, umesto da se prepozna koliko se rad na jednom direktno odražava na ispunjavanje drugog.

Šta sledi

Sledeći, poslednji deo poglavlja A.5 ide na kontrole A.5.35–5.37 — nezavisnu proveru i usklađenost, gde standard traži da firma sama proveri da li se pridržava sopstvenih pravila — poslednja organizaciona kontrola pre nego što pređemo na poglavlje A.6, ljudske kontrole.