InfoSec bez stresa

Šta standard zahteva Klauzula 10.2 traži da organizacija kontinuirano unapređuje pogodnost, adekvatnost i efektivnost SMS-a i usluga. Organizacija mora da odredi kriterijume evaluacije koji se primenjuju na prilike za unapređenje prilikom odlučivanja o njihovom odobravanju — kriterijumi evaluacije moraju uključiti usklađenost unapređenja sa ciljevima upravljanja uslugama. Prilike za unapređenje moraju biti dokumentovane. Organizacija mora da upravlja odobrenim aktivnostima unapređenja, koje uključuju: postavljanje jednog ili više ciljeva za unapređenje u oblastima kao što su kvalitet, vrednost, sposobnost, trošak, produktivnost, iskorišćenost resursa i smanjenje rizika; obezbeđivanje da su unapređenja prioritizovana, planirana i implementirana; izmene SMS-a, ako je potrebno; merenje implementiranih unapređenja naspram postavljenih ciljeva, i preduzimanje potrebnih mera kad ciljevi nisu ostvareni; izveštavanje o implementiranim unapređenjima. Standard napominje da unapređe...

Šta standard zahteva Klauzula 10.1.1 traži da, kad se dogodi neusaglašenost, organizacija: reaguje na neusaglašenost i, prema potrebi, preduzme meru da je kontroliše i ispravi, i da se pozabavi posledicama; oceni potrebu za merom koja uklanja uzroke neusaglašenosti kako se ne bi ponovila ili pojavila na drugom mestu, kroz preispitivanje neusaglašenosti, određivanje njenih uzroka, i utvrđivanje da li postoje ili bi mogle da se pojave slične neusaglašenosti; primeni svaku potrebnu meru; pregleda efektivnost svake preduzete korektivne mere; napravi izmene SMS-a, ako je potrebno. Korektivne mere moraju biti primerene efektima neusaglašenosti na koje se odnose. Klauzula 10.1.2 traži da organizacija čuva dokumentovanu informaciju kao dokaz prirode neusaglašenosti i svih preduzetih mera, i rezultata svake korektivne mere. Primer Primer: Interni audit u Adria Trade-u otkriva da nekoliko promena na POS softveru nije prošlo kroz proces upravljanja promenama, suprotno sopstvenoj p...

Šta standard zahteva Klauzula 9.4 traži da organizacija odredi zahteve za izveštavanje i njihovu svrhu. Izveštaji o performansama i efektivnosti SMS-a i usluga moraju biti sastavljeni na osnovu informacija iz aktivnosti SMS-a i isporuke usluga. Izveštavanje o uslugama mora da uključi trendove. Organizacija mora da donosi odluke i preduzima mere na osnovu nalaza iz izveštaja o uslugama, a dogovorene mere moraju biti komunicirane zainteresovanim stranama. Standard napominje da su izveštaji koji se zahtevaju specifikovani u relevantnim klauzulama ovog dokumenta, a dodatni izveštaji takođe mogu biti sastavljeni. Primer Primer: IT sektor Adria Trade-a određuje tri nivoa izveštavanja, svaki sa jasnom svrhom: mesečni operativni izveštaj za IT rukovodstvo, koji služi brzoj reakciji na odstupanja; kvartalni izveštaj za upravu, koji prikazuje šire trendove i služi strateškim odlukama; i godišnji izveštaj koji ulazi u pregled od strane rukovodstva iz klauzule 9.3. Izveštaji se sastavljaju...

Šta standard zahteva Klauzula 9.3 traži da najviše rukovodstvo, u planiranim intervalima, pregleda SMS organizacije i usluge, kako bi se obezbedila njihova stalna pogodnost, adekvatnost i efektivnost. Pregled od strane rukovodstva mora da uključi razmatranje: statusa mera iz prethodnih pregleda; promena u spoljašnjim i unutrašnjim pitanjima relevantnim za SMS; informacija o performansama i efektivnosti SMS-a, uključujući trendove u neusaglašenostima i korektivnim merama, rezultatima praćenja i merenja, i rezultatima audita; prilika za kontinuirano unapređenje; povratnih informacija od korisnika i drugih zainteresovanih strana; pridržavanja i pogodnosti politike upravljanja uslugama i drugih politika koje zahteva ovaj standard; ostvarenja ciljeva upravljanja uslugama; performansi usluga; performansi drugih strana uključenih u isporuku usluga; trenutnih i prognoziranih nivoa ljudskih, tehničkih, informacionih i finansijskih resursa, i sposobnosti ljudskih i tehničkih resurs...

Šta standard zahteva Klauzula 9.2.1 traži da organizacija sprovodi interne audite u planiranim intervalima, kako bi dobila informacije o tome da li je SMS: usaglašen sa sopstvenim zahtevima organizacije za SMS i sa zahtevima ovog standarda; efektivno primenjen i održavan. Klauzula 9.2.2 traži da organizacija: planira, uspostavi, primeni i održava program(e) audita, uključujući učestalost, metode, odgovornosti, zahteve planiranja i izveštavanje, uzimajući u obzir važnost relevantnih procesa, promene koje utiču na organizaciju, i rezultate prethodnih audita; definiše kriterijume i obim za svaki audit; bira auditore i sprovodi audite tako da se obezbedi objektivnost i nepristrasnost procesa audita; obezbedi da se rezultati audita izveštavaju relevantnom rukovodstvu; čuva dokumentovanu informaciju kao dokaz sprovođenja programa audita i rezultata audita. Standard napominje da ISO 19011 daje smernice za audit sistema upravljanja. Primer Primer: IT sektor Adria Trade-a...

Šta standard zahteva Klauzula 9.1 traži da organizacija odredi: šta treba pratiti i meriti za SMS i usluge; metode za praćenje, merenje, analizu i evaluaciju, prema potrebi, kako bi se obezbedili validni rezultati; kada se sprovode praćenje i merenje; kada se rezultati praćenja i merenja analiziraju i evaluiraju. Organizacija mora da čuva odgovarajuću dokumentovanu informaciju kao dokaz rezultata. Organizacija mora da oceni performanse SMS-a naspram ciljeva upravljanja uslugama i da oceni efektivnost SMS-a. Organizacija mora da oceni efektivnost usluga naspram zahteva usluga. Primer Primer: IT sektor Adria Trade-a određuje šta prati i meri — dostupnost POS sistema, vreme odziva service deska, broj otvorenih incidenata, zadovoljstvo korisnika, iskorišćenost kapaciteta. Za svaki pokazatelj bira se metod koji obezbeđuje pouzdane rezultate, ne procenu na oko: dostupnost se meri automatski kroz monitoring alat, vreme odziva se automatski beleži kroz alat za evidenciju prijava...

Šta standard zahteva Politika informacione bezbednosti (8.7.3.1): rukovodstvo sa odgovarajućim ovlašćenjem mora odobriti politiku informacione bezbednosti relevantnu za organizaciju. Politika mora biti dokumentovana i uzeti u obzir zahteve usluga i obaveze iz klauzule 6.3 c). Politika mora biti dostupna prema potrebi. Organizacija mora komunicirati važnost usaglašenosti sa politikom, i njenu primenljivost na SMS i usluge, relevantnim osobama unutar: organizacije; korisnika i krajnjih korisnika; spoljnih dobavljača, internih dobavljača i drugih zainteresovanih strana. Kontrole informacione bezbednosti (8.7.3.2): u planiranim intervalima, rizici informacione bezbednosti za SMS i usluge moraju biti procenjeni i dokumentovani. Kontrole moraju biti određene, primenjene i sprovedene radi podrške politici i adresiranja prepoznatih rizika, a odluke o kontrolama moraju biti dokumentovane. Organizacija mora dogovoriti i primeniti kontrole za rizike vezane za spoljne organizacije. Organizac...

Šta standard zahteva Klauzula 8.7.2 traži da se, u planiranim intervalima, procenjuju i dokumentuju rizici za kontinuitet usluge. Organizacija mora da odredi zahteve kontinuiteta usluge, uzimajući u obzir relevantne poslovne zahteve, zahteve usluga, SLA ugovore i rizike. Organizacija mora da kreira, primeni i održava jedan ili više planova kontinuiteta usluge, koji uključuju ili upućuju na: kriterijume i odgovornosti za aktiviranje plana kontinuiteta; procedure koje se sprovode u slučaju velikog gubitka usluge; ciljeve dostupnosti usluge dok je plan kontinuiteta aktiviran; zahteve za oporavak usluge; procedure za povratak na normalne uslove rada. Plan(ovi) kontinuiteta usluge i spisak kontakata moraju biti dostupni i kad je pristup uobičajenoj lokaciji usluge onemogućen. U planiranim intervalima, plan(ovi) kontinuiteta moraju biti testirani naspram zahteva kontinuiteta, i ponovo testirani nakon većih izmena okruženja usluge. Rezultati testova moraju biti zabeleženi. Pregled...

Šta standard zahteva Klauzula 8.7.1 traži da se, u planiranim intervalima, procenjuju i dokumentuju rizici za dostupnost usluge. Organizacija mora da odredi zahteve i ciljeve dostupnosti usluge. Dogovoreni zahtevi moraju uzeti u obzir relevantne poslovne zahteve, zahteve usluga, SLA ugovore i rizike. Zahtevi i ciljevi dostupnosti usluge moraju biti dokumentovani i održavani. Dostupnost usluge mora se pratiti, rezultati beležiti i porediti sa ciljevima. Neplanirana nedostupnost mora biti istražena i preduzete su potrebne mere. Standard napominje da rizici prepoznati u klauzuli 6.1 mogu poslužiti kao ulaz za rizike vezane za dostupnost usluge, kontinuitet usluge i informacionu bezbednost. Primer Primer: IT sektor Adria Trade-a kvartalno procenjuje rizike za dostupnost POS sistema — oslanjajući se direktno na rizike već prepoznate u 6.1.2, poput starenja opreme i zavisnosti od jedne internet veze po prodavnici. Ciljevi dostupnosti (99,5%, dogovoreno kroz SLA u 8.3.3) postavljeni su ...

Šta standard zahteva Klauzula 8.6.3 traži da organizacija analizira podatke i trendove o incidentima kako bi prepoznala probleme. Organizacija mora da sprovede analizu osnovnog uzroka i odredi moguće mere za sprečavanje pojave ili ponavljanja incidenata. Problemi moraju biti: evidentirani i klasifikovani; prioritizovani; eskalirani kad je potrebno; rešeni, ako je moguće; zatvoreni. Evidencije problema moraju biti ažurirane preduzetim merama. Promene potrebne za rešavanje problema moraju biti upravljane u skladu sa politikom upravljanja promenama. Tamo gde je osnovni uzrok prepoznat, ali problem nije trajno rešen, organizacija mora da odredi mere za smanjenje ili uklanjanje uticaja problema na usluge. Poznate greške moraju biti evidentirane, a ažurne informacije o poznatim greškama i rešenjima problema moraju biti dostupne drugim aktivnostima upravljanja uslugama, prema potrebi. U planiranim intervalima, efektivnost rešavanja problema mora se pratiti, pregledati i izveštava...

Šta standard zahteva Klauzula 8.6.2 traži da zahtevi za uslugu budu: evidentirani i klasifikovani; prioritizovani; ispunjeni; zatvoreni. Evidencije zahteva za uslugu moraju biti ažurirane preduzetim merama. Uputstva za ispunjavanje zahteva za uslugu moraju biti dostupna osobama uključenim u njihovo ispunjavanje. Primer Primer: IT sektor Adria Trade-a razlikuje zahteve za uslugu od incidenata — kad novi zaposleni treba nalog za pristup ERP sistemu, kad rukovodilac prodavnice traži dodatni POS terminal pred sezonu pojačanog prometa, ili kad zaposleni zaboravi lozinku, ništa od toga nije "nešto pokvareno", nego standardan zahtev. Svaki takav zahtev se evidentira i klasifikuje (na primer, "zahtev za pristup", "zahtev za opremu"), prioritizuje se prema hitnosti (reset lozinke koji blokira rad ima brži prioritet od zahteva za novi terminal koji je potreban tek za mesec dana), ispunjava se (nalog se kreira, oprema se isporučuje) i zatvara se tek po...

Šta standard zahteva Klauzula 8.6.1 traži da incidenti budu: evidentirani i klasifikovani; prioritizovani, uzimajući u obzir uticaj i hitnost; eskalirani kad je potrebno; rešeni; zatvoreni. Evidencije incidenata moraju biti ažurirane preduzetim merama. Organizacija mora da odredi kriterijume za identifikaciju velikog incidenta. Veliki incidenti moraju biti klasifikovani i upravljani prema dokumentovanoj proceduri. Najviše rukovodstvo mora biti informisano o velikim incidentima. Organizacija mora da dodeli odgovornost za upravljanje svakim velikim incidentom. Nakon što je incident rešen, veliki incident mora biti izveštan i pregledan radi prepoznavanja prilika za unapređenje. Primer Primer: Kad jedna kasa u prodavnici prestane da radi, IT sektor Adria Trade-a prolazi kroz ceo životni ciklus incidenta — prijava se evidentira i klasifikuje kao "POS hardver", prioritizuje se na osnovu uticaja (jedna kasa, ne cela prodavnica) i hitnosti (radno vreme prodavnice je u...

Šta standard zahteva Klauzula 8.5.3 traži da organizacija definiše tipove izdanja, uključujući hitno izdanje, njihovu učestalost i način upravljanja njima. Organizacija mora da planira implementaciju novih ili izmenjenih usluga i komponenti usluga u produkciono okruženje. Planiranje mora biti usklađeno sa upravljanjem promenama i sadržati reference na povezane zahteve za promenu, poznate greške ili probleme koji se zatvaraju kroz to izdanje. Planiranje mora da uključi datume implementacije svakog izdanja, isporuke i metode implementacije. Izdanje mora biti verifikovano naspram dokumentovanih kriterijuma prihvatanja i odobreno pre implementacije. Ako kriterijumi prihvatanja nisu ispunjeni, organizacija i zainteresovane strane donose odluku o potrebnim merama i o implementaciji. Pre implementacije izdanja u produkciono okruženje, mora se uzeti osnovno stanje (baseline) pogođenih konfiguracionih stavki. Izdanje se implementira u produkciono okruženje tako da se očuva integritet usluga...

Šta standard zahteva Planiranje novih ili izmenjenih usluga (8.5.2.1) mora da koristi zahteve usluga određene u 8.2.2 i da uključi ili upućuje na: ovlašćenja i odgovornosti za aktivnosti dizajna, izgradnje i tranzicije; aktivnosti koje sprovodi organizacija ili druge strane, sa vremenskim okvirima; ljudske, tehničke, informacione i finansijske resurse; zavisnosti od drugih usluga; testiranje potrebno za novu ili izmenjenu uslugu; kriterijume prihvatanja usluge; planirane ishode isporuke usluge, izražene u merljivim terminima; uticaj na SMS, druge usluge, planirane promene, korisnike i druge zainteresovane strane. Za usluge koje se ukidaju, planiranje dodatno mora da uključi datume ukidanja i aktivnosti arhiviranja, uklanjanja ili prenosa podataka. Za usluge koje se prenose, planiranje dodatno mora da uključi datume prenosa i aktivnosti prenosa podataka, dokumentacije, znanja i komponenti usluge. Konfiguracione stavke pogođene novom ili izmenjenom uslugom moraju biti upr...

Šta standard zahteva Politika upravljanja promenama (8.5.1.1) mora biti uspostavljena i dokumentovana, i mora da definiše: komponente usluga i druge stavke koje su pod kontrolom upravljanja promenama; kategorije promena, uključujući hitnu promenu, i kako se njima upravlja; kriterijume za određivanje promena koje mogu imati veliki uticaj na korisnike ili usluge. Pokretanje promene (8.5.1.2): zahtevi za promenu, uključujući predloge za dodavanje, uklanjanje ili prenos usluga, moraju biti evidentirani i klasifikovani. Organizacija mora da koristi proces dizajna i tranzicije usluge (klauzula 8.5.2) za: nove usluge sa potencijalno velikim uticajem na korisnike ili druge usluge; izmene usluga sa potencijalno velikim uticajem; kategorije promena koje politika određuje da idu kroz taj proces; uklanjanje usluge; i prenos usluge između organizacije i korisnika ili druge strane u bilo kom pravcu. Procena, odobravanje, planiranje i pregled novih ili izmenjenih usluga u okviru 8.5.2 upr...

Šta standard zahteva Klauzula 8.4.3 traži da se zahtevi za kapacitetom ljudskih, tehničkih, informacionih i finansijskih resursa odrede, dokumentuju i održavaju, uzimajući u obzir zahteve usluga i performansi. Organizacija mora da planira kapacitet uključujući: trenutni i prognozirani kapacitet na osnovu potražnje za uslugama; očekivani uticaj na kapacitet od dogovorenih ciljeva nivoa usluge, zahteva za dostupnost usluge i kontinuitet usluge; vremenske okvire i pragove za izmene kapaciteta usluge. Organizacija mora da obezbedi dovoljan kapacitet za ispunjenje dogovorenih zahteva kapaciteta i performansi. Organizacija mora da prati korišćenje kapaciteta, analizira podatke o kapacitetu i performansama, i prepoznaje prilike za unapređenje performansi. Primer Primer: IT sektor Adria Trade-a planira kapacitet kroz sve četiri kategorije resursa: ljudski: na osnovu prognoze potražnje iz 8.4.2, određuje da će za deset novih prodavnica biti potreban jedan dodatni agent service...

Šta standard zahteva Klauzula 8.4.2 traži da organizacija, u planiranim intervalima: odredi trenutnu potražnju i prognozira buduću potražnju za uslugama; prati i izveštava o potražnji i potrošnji usluga. Standard napominje da je upravljanje potražnjom odgovorno za razumevanje trenutne i buduće potražnje korisnika za uslugama, i da upravljanje kapacitetom sarađuje sa upravljanjem potražnjom kako bi se planirao i obezbedio dovoljan kapacitet za tu potražnju. Primer Primer: IT sektor Adria Trade-a mesečno prati konkretne pokazatelje potražnje — broj prijava na service desku, broj aktivnih POS terminala, broj korisnika koji pristupaju ERP sistemu. Na osnovu poznatog plana otvaranja deset novih prodavnica u narednih 18 meseci (prepoznatog još u klauzuli 4.1), IT sektor prognozira da će broj prijava porasti proporcionalno broju novih lokacija, i unosi tu prognozu u planiranje umesto da čeka da porast potražnje bude iznenađenje. Mesečni izveštaj prikazuje trend potrošnje — na pri...

Šta standard zahteva Za spoljne dobavljače (8.3.4.1) standard traži da organizacija ima jednu ili više imenovanih osoba odgovornih za upravljanje odnosom, ugovorima i performansama spoljnih dobavljača. Za svakog spoljnog dobavljača mora postojati dokumentovan ugovor koji sadrži ili upućuje na: obim usluga, komponenti usluga, procesa ili delova procesa koje pruža ili kojima upravlja spoljni dobavljač; zahteve koje spoljni dobavljač mora da ispuni; ciljeve nivoa usluge ili druge ugovorne obaveze; ovlašćenja i odgovornosti organizacije i spoljnog dobavljača. Organizacija mora da proceni usklađenost ciljeva nivoa usluge ili drugih ugovornih obaveza spoljnog dobavljača sa SLA ugovorima prema korisnicima, i da upravlja prepoznatim rizicima. Organizacija mora da definiše i upravlja interfejsima sa spoljnim dobavljačem. U planiranim intervalima, organizacija mora da prati performanse dobavljača i, kad ciljevi nisu ispunjeni, obezbedi da se prepoznaju prilike za unapređenje. Ugovor ...

Šta standard zahteva Klauzula 8.4.1 traži da organizacija budžetira i obračunava troškove za usluge ili grupe usluga, u skladu sa sopstvenim politikama i procesima finansijskog upravljanja. Troškovi moraju biti budžetirani tako da omoguće efektivnu finansijsku kontrolu i donošenje odluka o uslugama. U planiranim intervalima, organizacija mora da prati i izveštava o stvarnim troškovima u odnosu na budžet, pregleda finansijske prognoze i upravlja troškovima. Standard napominje da mnoge, ali ne sve organizacije naplaćuju svoje usluge — budžetiranje i obračunavanje troškova u ovom standardu ne podrazumeva naplatu, kako bi zahtev bio primenljiv na sve organizacije, uključujući interne davaoce usluga. Primer Primer: IT sektor Adria Trade-a, umesto jedne velike budžetske stavke "IT troškovi", raščlanjuje godišnji budžet po grupama usluga — service desk, podrška POS sistemu, podrška ERP-u, mrežna i serverska infrastruktura. Ova raščlanjenost usklađena je sa postojećim finansijs...

Šta standard zahteva Klauzula 8.3.3 traži da se organizacija i korisnik dogovore oko usluga koje će biti isporučene. Za svaku isporučenu uslugu, organizacija mora da uspostavi jedan ili više SLA ugovora zasnovanih na dokumentovanim zahtevima usluga. SLA mora da sadrži ciljeve nivoa usluge, ograničenja obima posla i izuzetke. U planiranim intervalima, organizacija mora da prati, pregleda i izveštava o: performansama u odnosu na ciljeve nivoa usluge; stvarnim i periodičnim promenama obima posla u poređenju sa ograničenjima obima posla iz SLA ugovora. Tamo gde ciljevi nivoa usluge nisu ispunjeni, organizacija mora da prepozna prilike za unapređenje. Standard napominje da dogovor o uslugama koje će biti isporučene može imati različite oblike — dokumentovan ugovor, zapisnik sa sastanka o usmenom dogovoru, dogovor putem mejla, ili prihvatanje uslova korišćenja. Primer Primer: IT sektor Adria Trade-a i prodajni sektor dogovaraju se, kroz zapisnik sa zajedničkog sastanka, koje u...