ISO 27001 poglavlje 4 u praksi: agencija za nekretnine

 Sedmi tekst u mini-seriji primene poglavlja 4 na različite tipove firmi. Ovde se pojavljuje rizik koji nadilazi digitalnu bezbednost — podaci o rasporedu i vrednim stvarima u nečijem domu mogu, ako procure, direktno ugroziti fizičku bezbednost klijenata, ne samo njihovu privatnost.

Profil firme

Agencija sa 12 zaposlenih — agenti za nekretnine, administracija i pravni savetnik za ugovore — posreduje u prodaji i izdavanju nekretnina, radeći i sa vlasnicima nekretnina i sa kupcima i zakupcima. Agenti pretežno rade na terenu, uz stalnu komunikaciju sa bankama, notarima i katastrom nepokretnosti.

4.1 — Kontekst

Spoljni faktori: Zakon o zaštiti podataka o ličnosti relevantan je zbog ličnih i finansijskih podataka klijenata i vlasnika nekretnina; saradnja sa bankama radi hipotekarnih kredita zahteva redovnu razmenu finansijske dokumentacije klijenata; saradnja sa notarima i katastrom nepokretnosti uključuje razmenu pravne dokumentacije o vlasništvu; fotografije i video obilasci nekretnina mogu, ako dospeju u pogrešne ruke, otkriti raspored prostorija, vredne predmete i period kad je nekretnina prazna — specifičan rizik po fizičku bezbednost klijenata, ne samo digitalni rizik; klijenti koji prodaju vrednije nekretnine sve više paze kome poveravaju podatke o svojoj imovini.

Unutrašnji faktori: agenti pretežno rade na terenu i koriste lične telefone i laptopove za pristup bazi klijenata i nekretnina, uz mešanje privatnog i poslovnog uređaja; fluktuacija agenata je relativno visoka u ovoj branši, pa je pitanje šta se dešava sa pristupom bazi klijenata kad agent ode — često kod konkurentske agencije; fizička dokumentacija (ugovori, kopije ličnih dokumenata klijenata) čuva se u kancelariji bez posebne kontrole pristupa; ne postoji jasna podela ko od agenata ima pristup celoj bazi klijenata, a ko samo svojim aktivnim predmetima.

4.2 — Zainteresovane strane

Zainteresovana strana	Šta očekuje	Rešava li se kroz ISMS
Klijenti (kupci, zakupci, prodavci, iznajmljivači)	Poverljivost ličnih, finansijskih podataka i podataka o nekretnini	Da
Banke (hipotekarni krediti)	Tačna i bezbedna razmena finansijske dokumentacije klijenata	Da
Notari i katastar nepokretnosti	Bezbedna razmena pravne dokumentacije o vlasništvu	Da
Agenti za nekretnine	Jasna pravila pristupa bazi klijenata, posebno pri prestanku saradnje	Da
Vlasnici agencije	Zaštita reputacije i poverenja klijenata koji poveravaju vredna imovinska pitanja	Da

4.3 — Obim

Agencija dodatno nudi i uslugu nezavisne procene tržišne vrednosti nekretnina, bez posredovanja u prodaji — ova usluga se pruža van baze aktivnih klijenata agencije i ne zahteva pristup ugovorima o posredovanju ili finansijskim podacima kupaca, pa se prirodno isključuje iz obima.

Obim sistema upravljanja bezbednošću informacija pokriva sve aktivnosti posredovanja u prodaji i izdavanju nekretnina, uključujući bazu podataka o nekretninama i vlasnicima, lične i finansijske podatke klijenata, i komunikaciju sa bankama, notarima i katastrom nepokretnosti. Iz obima je isključena usluga nezavisne procene tržišne vrednosti nekretnina, jer se pruža van baze aktivnih klijenata agencije i ne zahteva pristup ugovorima o posredovanju ili finansijskim podacima kupaca. Pristup bazi klijenata dodeljen agentima ograničava se prema njihovim aktivnim predmetima, a ukida se odmah po prestanku saradnje.

4.4 — Sistem kao celina

Pre nekoliko meseci, agent koji je napustio agenciju da bi radio za konkurentsku firmu i dalje je imao pristup celoj bazi klijenata na svom ličnom telefonu — pristup je bio podešen preko ličnog naloga, bez razdvajanja privatnog i poslovnog uređaja, i bez formalnog postupka za oduzimanje pristupa pri odlasku. U sistemu izgrađenom prema klauzuli 4.4, ovaj slučaj bi pokrenuo ažuriranje procene rizika vezanog za pristup agenata bazi klijenata, uveo jasnu proceduru trenutnog ukidanja pristupa pri prestanku saradnje, i pokrenuo razmatranje rešenja koje jasnije razdvaja poslovne podatke od ličnog uređaja agenta.

Šta sledi

Sledeći tekst u mini-seriji prelazi na agenciju za zapošljavanje, gde se pojavljuje nova, posebno osetljiva kategorija podataka — biografije, rezultati intervjua i, ponekad, provere iz prošlosti kandidata koji nisu ni zaposleni firme niti njeni direktni klijenti, već treća strana o kojoj se ipak čuvaju podaci.