ISO/IEC 27001:2022 u praksi — Praktična obuka na primeru IT konsultantske firme

ISO/IEC 27001:2022 u praksi

Ova serija od 11 tekstova prati uvođenje sistema upravljanja bezbednošću informacija (ISMS) po standardu ISO/IEC 27001:2022 u fiktivnoj firmi Kodni Krug d.o.o. — beogradskoj IT konsultantskoj kući sa oko 35 zaposlenih, koja se bavi razvojem softvera po meri i IT konsaltingom za klijente u Srbiji i regionu, sa hibridnim modelom rada, cloud infrastrukturom (AWS, Azure) i angažovanim spoljnim developerima.

Svaki tekst pokriva jedan deo standarda kroz stvarne, popunjene dokumente — politike, registre, procene rizika, izveštaje sa audita — onako kako bi zaista izgledali u firmi ove veličine, a ne kao apstraktan pregled klauzula. Serija posebno pokazuje kako se Annex A kontrole primenjuju u praksi kroz konkretne scenarije: pristup izvornom kodu, zaštitu klijentskih podataka i bezbednost cloud infrastrukture.

Sadržaj serije

Deo 1

Klauzula 4 — analiza konteksta organizacije, registar zainteresovanih strana i Izjava o obimu ISMS-a.

Deo 2

Klauzula 5 — Politika bezbednosti informacija i matrica uloga, sa rešenjem za firmu bez posebnog CISO-a.

Deo 3

Klauzula 6.1.2 — metodologija procene rizika i registar procene rizika po C-I-A dimenzijama.

Deo 4

Klauzula 6.1.3, 6.2 — plan tretmana rizika, Izjava o primenljivosti i registar ciljeva bezbednosti informacija.

Deo 5

Klauzula 7.1–7.4 — matrica kompetencija, program podizanja svesti i plan komunikacija.

Deo 6

Klauzula 7.5 — centralni registar kontrole dokumenata i klasifikacija po nivou poverljivosti.

Deo 7

Klauzula 8.1–8.3 — kontrola eksterno pruženih procesa, ciklus periodične procene rizika i praćenje sprovođenja tretmana.

Deo 8

Annex A kontrole 6.1, 6.3, 6.4, 6.7 — provera pre angažovanja, izveštaj sa phishing testa, disciplinski postupak, rad na daljinu.

Deo 9

Annex A kontrole 7.1–7.14, 8.4, 8.13, 8.15–8.16, 5.19–5.23 — fizička bezbednost, pristup kodu, bekap, logovanje, cloud konfiguracija.

Deo 10

Klauzula 9 — plan monitoringa, nalazi internog audita i zapisnik preispitivanja od strane rukovodstva.

Deo 11

Klauzula 10 — izveštaj o korektivnoj meri (CAPA) i zaključni pregled cele ISMS dokumentacije.

Kome je ova serija namenjena

Serija je pisana za IT rukovodioce, vlasnike ISMS-a, menadžere bezbednosti informacija i konsultante koji uvode ISO/IEC 27001 u manjim IT i softverskim firmama sa ograničenim resursima — ne samo u konsultantskim kućama. Svi obrasci prikazani kroz seriju (politike, registri rizika, SoA, izveštaji o incidentima) mogu se direktno prilagoditi drugom poslovnom kontekstu.

Napomena: Firma „Kodni Krug d.o.o." je fiktivna kompanija kreirana isključivo u obrazovne svrhe, korišćena za ilustraciju zahteva standarda kroz realan poslovni kontekst.

Comments

Post a Comment

Popular posts from this blog

Šta je ISO 27001 i da li je mojoj firmi stvarno potreban?

  Prvi tekst na blogu InfoSec bez stresa — i pitanje koje sebi postavi skoro svaki vlasnik male ili srednje firme onog trenutka kad prvi put čuje za ovaj standard. Realna situacija Zamislite ovo: firma ima 15 zaposlenih, radi razvoj softvera ili pruža IT usluge, posluje solidno, sve funkcioniše. Onda stigne mejl od velikog klijenta — banke, osiguravajuće kuće ili strane kompanije s kojom se pregovara o saradnji. U prilogu je bezbednosni upitnik, a na dnu jedna rečenica koja pokvari popodne: „Molimo dostavite ISO 27001 sertifikat ili plan implementacije u naredna tri meseca." Ili, druga verzija iste priče: firma konkuriše na tenderu, sve uslove ispunjava — sem jednog. Traži se ISO 27001. Prva reakcija je obično paničan Google upit u stilu „šta je ISO 27001" i „da li mi to stvarno treba", u ponoć, uz osećaj da se upravo otvorila rupa u budžetu i rasporedu koje niko nije planirao. Ako je ovo vaša situacija — ili slutite da bi mogla postati — ovaj tekst je tu da va...
Read more

ISO 22301:2019 u praksi — Praktična obuka na primeru fabrike piva

Ova serija od osam članaka provodi vas kroz sve zahteve standarda ISO 22301:2019 — Sistemi upravljanja kontinuitetom poslovanja (BCMS) , klauzulu po klauzulu, na konkretnom praktičnom primeru: fiktivnoj proizvodnoj pivari „Zeleni Hmelj" d.o.o. , sa sopstvenom varionicom, punionicom i hibridnom IT/OT arhitekturom (SCADA/PLC industrijski sistemi, lokalni ERP i cloud servisi — Microsoft 365, cloud backup/DR, SaaS CRM). Umesto apstraktnog prepričavanja teksta standarda, svaki post gradi stvaran, upotrebljiv dokument — politiku, matricu, BIA analizu, BCP plan, zapisnik — kakav bi auditor tražio na sertifikacionoj proveri. Kroz celu seriju provlači se jedan princip: zahtevi kontinuiteta poslovanja dolaze od biznisa ka IT sektoru, a ne obrnuto — proizvodnja i komercijala definišu koliko dugo mogu da izdrže bez svog sistema, a IT/OT sektor sprovodi tehnička rešenja koja taj zahtev ispunjavaju. Sadržaj serije Deo 1 Uvod u BCMS i Klauzula 4 — Kontekst organizacije Razlika BCMS v...
Read more

ISO 27031: Upravljanje IRBC-om i usklađivanje sa ciljevima kontinuiteta (klauzula 6.1–6.3)

6.1 – Opšte Standard deli uzroke prekida u nekoliko grupa: prirodni uzroci – požar, poplava. Retki, ali fizički pogađaju celu lokaciju odjednom, ne samo jednu komponentu. tehnički kvarovi – hardver, softver, napajanje, klimatizacija. Najčešća kategorija u praksi, i ona za koju firme obično imaju najviše iskustva. ljudska greška – loše podešen bekap, propust u upravljanju izmenama. Retko ko je namerno kriv, ali posledice su iste kao da jeste. namerna akcija – hakovanje, malver, sabotaža. Ovde je pored oporavka bitna i istraga – ko je i kako ušao. društveni faktori – pandemija, štrajk. Ne pogađaju tehnologiju direktno, nego ljude koji je održavaju. cyber napadi – DoS, DDoS, napadi koji preplave sistem saobraćajem dok ne prestane da radi. lanac snabdevanja – prekid kod cloud provajdera, nejasni bezbednosni uslovi u ugovoru sa dobavljačem. Ovde firma nema direktnu kontrolu, samo ugovor i poverenje. Rizik da IT prestane da radi ima jedan prepoznatljiv obrazac: retko se ...
Read more