ISO/IEC 27001:2022 u praksi — Podrška sistemu: resursi, kompetencije, svest, komunikacija (klauzula 7.1–7.4)

ISO/IEC 27001:2022 u praksi — deo 5 od 11

Podrška sistemu: resursi, kompetencije, svest, komunikacija

Ciljevi bezbednosti su postavljeni, tretman rizika odobren. Klauzula 7 sada osigurava da Kodni Krug ima ono što je stvarno potrebno da te ciljeve ispuni — prave ljude sa pravim znanjem, svest kod svih koji rade pod kontrolom firme (uključujući spoljne developere), i jasan plan ko šta i kome komunicira.

7.1 — Resursi

Standard traži da organizacija odredi i obezbedi resurse potrebne za uspostavljanje, primenu, održavanje i stalno poboljšanje ISMS-a. Za Kodni Krug, ovo pitanje je posebno konkretno jer firma nema posebnu bezbednosnu budžetsku liniju iz prošlosti — resursi se prvi put eksplicitno imenuju kroz ISMS uvođenje.

Kategorija resursa Primer za Kodni Krug
Ljudski resursi40% radnog vremena IT rukovodioca posvećeno ISMS-u (Post 2); interni auditor iz HR sektora
Finansijski resursiBudžetska linija za MFA licence, alat za maskiranje podataka, godišnju obuku o bezbednosti
Tehnički resursiIAM alat za upravljanje pristupom, EDR softver za radne stanice, alat za dependency scanning
Informacioni resursiAžurna ISMS dokumentacija, dostupna internim portalom svim zaposlenima

7.2 — Kompetencije

Standard zahteva da organizacija odredi neophodnu kompetenciju lica čiji rad utiče na bezbednosne performanse, obezbedi da su ta lica kompetentna na osnovu obrazovanja, obuke ili iskustva, preduzme akcije za sticanje kompetencije gde je primenljivo, i zadrži dokaz kompetencije.

Kodni Krug d.o.o. — interni dokument ISMS sistema
Matrica kompetencija za uloge relevantne za ISMS
Šifra dokumenta: KK-ISMS-DOC-011 Verzija: 1.0 Status: Usvojen
Vlasnik dokumenta: Menadžer bezbednosti informacija / HR sektor Odobrio: Generalni direktor
Uloga Potrebna kompetencija Način sticanja Dokaz kompetencije
Menadžer bezbednosti informacijaPoznavanje ISO 27001, procena rizika, IAM/cloud bezbednosne prakseEksterna sertifikovana obuka (npr. ISO 27001 Lead Implementer)Sertifikat o završenoj obuci
Developeri (interni i spoljni)Bezbedno kodiranje (OWASP Top 10), rukovanje pristupnim kredencijalimaInterna obuka pri onboardingu + godišnje osvežavanjePotpisana evidencija obuke, rezultat internog kviza
Vođe projekataPrepoznavanje i procena rizika specifičnih za projekat, upravljanje pristupom klijentskim podacimaInterna obuka od strane Menadžera bezbednosti informacijaEvidencija učešća, primer sprovedene procene rizika za sopstveni projekat
Interni auditorPrincipi internog audita, poznavanje zahteva standardaEksterna obuka za interne auditore ISO 27001Sertifikat o završenoj obuci
Rukovodilac ljudskih resursaProces bezbednog onboardinga/offboardinga, provera pozadine kandidataInterna procedura + konsultacija sa Menadžerom bezbednosti informacijaInterna checklist procedura, potpisana evidencija

7.3 — Svest

Standard zahteva da lica koja rade pod kontrolom organizacije budu svesna: politike bezbednosti informacija, sopstvenog doprinosa efikasnosti ISMS-a, i posledica neusaglašenosti sa zahtevima sistema. Za Kodni Krug, ovo je pitanje koje se ne završava jednom uvodnom obukom — phishing pretnje i socijalni inženjering evoluiraju, pa program svesti mora biti kontinuiran.

Kodni Krug d.o.o. — interni dokument ISMS sistema
Program podizanja svesti o bezbednosti informacija
Šifra dokumenta: KK-ISMS-DOC-012 Verzija: 1.0 Status: Usvojen
Vlasnik dokumenta: Menadžer bezbednosti informacija Odobrio: Generalni direktor
Aktivnost Ciljna grupa Učestalost Nosilac
Uvodna obuka o politici i ISMS-uSvi novi zaposleni i angažovani saradniciPri onboardingu, pre dobijanja pristupa sistemimaMenadžer bezbednosti informacija
Simulirani phishing testSvi zaposleniKvartalnoMenadžer bezbednosti informacija
Radionica o bezbednom kodiranjuDeveloperi (interni i spoljni)GodišnjeTehnički direktor
Interni bilten o bezbednosnim pretnjamaSvi zaposleniMesečnoMenadžer bezbednosti informacija
Podsetnik o posledicama neusaglašenosti (7.3 c)Svi zaposleniDeo godišnje obuke + istaknuto u internoj politiciRukovodilac ljudskih resursa

Napomena o spoljnim developerima: Iako nisu formalno zaposleni, spoljni saradnici koji pristupaju sistemima iz obima ISMS-a prolaze istu uvodnu obuku i uključeni su u kvartalne phishing testove — standard eksplicitno traži svest svih lica koja rade pod kontrolom organizacije, ne samo zaposlenih po ugovoru o radu.

7.4 — Komunikacija

Standard traži da organizacija odredi interne i eksterne komunikacije relevantne za ISMS: šta se komunicira, kada, sa kim i kako.

Kodni Krug d.o.o. — interni dokument ISMS sistema
Plan internih i eksternih komunikacija
Šifra dokumenta: KK-ISMS-DOC-013 Verzija: 1.0 Status: Usvojen
Vlasnik dokumenta: Menadžer bezbednosti informacija Odobrio: Generalni direktor
Šta se komunicira Kada Sa kim Kako Ko komunicira
Sumnja na bezbednosni incidentOdmah po uočavanjuMenadžer bezbednosti informacijaInterni kanal za prijavu incidenata (Slack #security-incident)Bilo koji zaposleni/saradnik
Potvrđen incident sa uticajem na klijentaU roku od 24h od potvrdePogođeni klijentTelefon + pisano obaveštenje, prema ugovornoj obaveziGeneralni direktor + Menadžer bezbednosti
Curenje ličnih podatakaU zakonski propisanom rokuPoverenik za informacije od javnog značaja i zaštitu podatakaZvaničan dopis / elektronski portalMenadžer bezbednosti informacija
Rezultati kvartalnog phishing testaU roku od nedelju dana od testaSvi zaposleni (agregatni rezultat), pojedinačna povratna informacija onima koji su "pali" na testInterni bilten + direktan razgovorMenadžer bezbednosti informacija
Status ISMS-a (KPI, otvoreni rizici)KvartalnoTop menadžmentKratak pisani izveštaj + prezentacija na sastankuMenadžer bezbednosti informacija
Odgovor na bezbednosni upitnik potencijalnog klijentaPo prijemu upita, u okviru poslovnog rokaPotencijalni klijentPisani odgovor, uz priložene relevantne ISMS dokumente (npr. politiku)Menadžer bezbednosti informacija + prodajni tim

Šta sledi

U narednom postu prelazimo na Klauzulu 7.5 — Kontrolu dokumentacije, gde ćemo izraditi centralni registar kontrole dokumenata za sve ISMS dokumente izrađene do sada, i pokazati kako Kodni Krug upravlja verzijama, pristupom i čuvanjem dokumentovanih informacija.

Коментари

Постави коментар

Популарни постови са овог блога

Šta je ISO 27001 i da li je mojoj firmi stvarno potreban?

  Prvi tekst na blogu InfoSec bez stresa — i pitanje koje sebi postavi skoro svaki vlasnik male ili srednje firme onog trenutka kad prvi put čuje za ovaj standard. Realna situacija Zamislite ovo: firma ima 15 zaposlenih, radi razvoj softvera ili pruža IT usluge, posluje solidno, sve funkcioniše. Onda stigne mejl od velikog klijenta — banke, osiguravajuće kuće ili strane kompanije s kojom se pregovara o saradnji. U prilogu je bezbednosni upitnik, a na dnu jedna rečenica koja pokvari popodne: „Molimo dostavite ISO 27001 sertifikat ili plan implementacije u naredna tri meseca." Ili, druga verzija iste priče: firma konkuriše na tenderu, sve uslove ispunjava — sem jednog. Traži se ISO 27001. Prva reakcija je obično paničan Google upit u stilu „šta je ISO 27001" i „da li mi to stvarno treba", u ponoć, uz osećaj da se upravo otvorila rupa u budžetu i rasporedu koje niko nije planirao. Ako je ovo vaša situacija — ili slutite da bi mogla postati — ovaj tekst je tu da va...
Прикажи све

ISO 27031: Upravljanje IRBC-om i usklađivanje sa ciljevima kontinuiteta (klauzula 6.1–6.3)

6.1 – Opšte Standard deli uzroke prekida u nekoliko grupa: prirodni uzroci – požar, poplava. Retki, ali fizički pogađaju celu lokaciju odjednom, ne samo jednu komponentu. tehnički kvarovi – hardver, softver, napajanje, klimatizacija. Najčešća kategorija u praksi, i ona za koju firme obično imaju najviše iskustva. ljudska greška – loše podešen bekap, propust u upravljanju izmenama. Retko ko je namerno kriv, ali posledice su iste kao da jeste. namerna akcija – hakovanje, malver, sabotaža. Ovde je pored oporavka bitna i istraga – ko je i kako ušao. društveni faktori – pandemija, štrajk. Ne pogađaju tehnologiju direktno, nego ljude koji je održavaju. cyber napadi – DoS, DDoS, napadi koji preplave sistem saobraćajem dok ne prestane da radi. lanac snabdevanja – prekid kod cloud provajdera, nejasni bezbednosni uslovi u ugovoru sa dobavljačem. Ovde firma nema direktnu kontrolu, samo ugovor i poverenje. Rizik da IT prestane da radi ima jedan prepoznatljiv obrazac: retko se ...
Прикажи све

ISO 22301:2019 u praksi — Praktična obuka na primeru fabrike piva

Ova serija od osam članaka provodi vas kroz sve zahteve standarda ISO 22301:2019 — Sistemi upravljanja kontinuitetom poslovanja (BCMS) , klauzulu po klauzulu, na konkretnom praktičnom primeru: fiktivnoj proizvodnoj pivari „Zeleni Hmelj" d.o.o. , sa sopstvenom varionicom, punionicom i hibridnom IT/OT arhitekturom (SCADA/PLC industrijski sistemi, lokalni ERP i cloud servisi — Microsoft 365, cloud backup/DR, SaaS CRM). Umesto apstraktnog prepričavanja teksta standarda, svaki post gradi stvaran, upotrebljiv dokument — politiku, matricu, BIA analizu, BCP plan, zapisnik — kakav bi auditor tražio na sertifikacionoj proveri. Kroz celu seriju provlači se jedan princip: zahtevi kontinuiteta poslovanja dolaze od biznisa ka IT sektoru, a ne obrnuto — proizvodnja i komercijala definišu koliko dugo mogu da izdrže bez svog sistema, a IT/OT sektor sprovodi tehnička rešenja koja taj zahtev ispunjavaju. Sadržaj serije Deo 1 Uvod u BCMS i Klauzula 4 — Kontekst organizacije Razlika BCMS v...
Прикажи све