InfoSec bez stresa

ISO/IEC 27001:2022 u praksi — deo 11 od 11 Poboljšanje: neusaglašenosti, korektivne mere i sertifikacija — finale serije Interni audit iz prethodnog posta otkrio je neusaglašenost — pristup spoljnog developera nije oduzet u propisanom roku od 24h. Ovaj poslednji post pokazuje kako se ta neusaglašenost formalno zatvara, čime se zaokružuje PDCA ciklus Kodnog Kruga, i sumira kompletnu dokumentaciju izrađenu kroz seriju. 10.2 — Neusaglašenost i korektivna akcija Standard zahteva da organizacija, kada dođe do neusaglašenosti, reaguje kontrolom i korekcijom, proceni potrebu za uklanjanjem uzroka kako se neusaglašenost ne bi ponovila, sprovede potrebnu akciju, proveri njenu efikasnost, i po potrebi izmeni ISMS. Kodni Krug d.o.o. — interni dokument ISMS sistema Izveštaj o neusaglašenosti i korektivnoj meri (CAPA) Šifra dokumenta: KK-ISMS-CAPA-2026-01 Izvor: Interni audit KK-ISMS-AUDIT-2026-01 Odgovoran za zatvaranje: IT rukovodilac 1. Opis neusaglašenosti Pristup...

ISO/IEC 27001:2022 u praksi — deo 10 od 11 Merenje performansi: interni audit i preispitivanje rukovodstva Kroz prethodnih devet postova, Kodni Krug je izgradio kompletan ISMS — kontekst, politiku, procenu i tretman rizika, podršku, dokumentaciju, operativno sprovođenje i konkretne Annex A kontrole. Klauzula 9 sada postavlja pitanje koje razdvaja sistem koji postoji na papiru od sistema koji zaista radi: da li sve ovo funkcioniše, i ko to redovno proverava? 9.1 — Monitoring, merenje, analiza i evaluacija Standard zahteva da organizacija odredi šta treba pratiti i meriti, metode za to, kada se meri, ko meri, i ko analizira rezultate — sa dokumentovanim dokazom. Za Kodni Krug, ovo se direktno oslanja na ciljeve bezbednosti definisane u Postu 4 i mere sprovedene kroz Postove 8-9. Kodni Krug d.o.o. — interni dokument ISMS sistema Plan monitoringa i merenja ISMS performansi Šifra dokumenta: KK-ISMS-DOC-027 Verzija: 1.0 Status: Usvojen Vlasnik dokumenta: Menadžer ...

ISO/IEC 27001:2022 u praksi — deo 9 od 11 Fizička i tehnička zaštita: Annex A kroz primer Prethodni post pokazao je kako ljudske i organizacione kontrole izgledaju u praksi. Ovaj post prelazi na Annex A grupe 7 (fizičke kontrole) i 8 (tehnološke kontrole) — sa fokusom na one koje direktno adresiraju rizike identifikovane još u Postu 3: pristup izvornom kodu, zaštitu podataka, i konfiguraciju cloud pristupa. A.7.1–A.7.3 — Fizička bezbednost kancelarije Standard zahteva definisane bezbednosne perimetre, kontrolu ulaska i fizičku zaštitu prostorija koje sadrže informacionu imovinu. Za Kodni Krug, čija je najvrednija imovina digitalna (kod, pristupni podaci), fizička bezbednost i dalje ima ulogu — radne stanice sa lokalnim keš memorijom koda i pristupom sistemima moraju biti fizički zaštićene. Kodni Krug d.o.o. — interni dokument ISMS sistema Fizička bezbednost kancelarije (A.7.1–A.7.3) Šifra dokumenta: KK-ISMS-DOC-022 Verzija: 1.0 Status: Usvojen Vlasnik dokumen...

ISO/IEC 27001:2022 u praksi — deo 8 od 11 Ljudi i organizacija: Annex A kroz primer Izjava o primenljivosti iz Posta 4 pokazala je koje Annex A kontrole Kodni Krug primenjuje, uz kratko obrazloženje za svaku. Ovaj post ide korak dalje — pokazuje kako nekoliko ključnih organizacionih (5.x) i ljudskih (6.x) kontrola zaista izgleda kada se pretoče iz jednorečeničnog zahteva standarda u konkretnu proceduru koju HR i menadžment svakodnevno primenjuju. A.6.1 — Provera pre zapošljavanja (Screening) Standard zahteva proveru pozadine kandidata pre stupanja na posao i tokom angažovanja, srazmerno poslovnim potrebama, klasifikaciji informacija kojima će kandidat pristupati, i proceni rizika. Za Kodni Krug, ovo se razlikuje po tipu angažmana i nivou pristupa. Kodni Krug d.o.o. — interni dokument ISMS sistema Procedura provere pre angažovanja (A.6.1) Šifra dokumenta: KK-ISMS-DOC-018 Verzija: 1.0 Status: Usvojen Vlasnik dokumenta: Rukovodilac ljudskih resursa Odobrio: G...

ISO/IEC 27001:2022 u praksi — deo 7 od 11 Operativno sprovođenje i upravljanje rizikom u praksi Do sada je Kodni Krug napisao politiku, procenio i tretirao rizik, obezbedio resurse i kontrolisao dokumentaciju — sve to na papiru. Klauzula 8 postavlja pitanje koje razdvaja formalno usaglašen ISMS od stvarno funkcionalnog: da li se sve to zaista sprovodi u svakodnevnom radu, ponavlja u redovnim ciklusima, i kontroliše i kod dobavljača na koje se firma oslanja? 8.1 — Operativno planiranje i kontrola Standard zahteva da organizacija planira, primenjuje i kontroliše procese potrebne za ispunjenje zahteva i sprovođenje akcija određenih u Klauzuli 6, uspostavljajući kriterijume za procese i kontrolišući ih u skladu sa tim kriterijumima. Takođe zahteva kontrolu planiranih promena, pregled posledica nenamernih promena, i — posebno relevantno za Kodni Krug — kontrolu nad eksterno pruženim procesima, proizvodima ili uslugama relevantnim za ISMS. Za IT konsultantsku firmu koja svakodnevno...

ISO/IEC 27001:2022 u praksi — deo 6 od 11 Kontrola dokumentacije u praksi Kroz prethodnih pet postova, Kodni Krug je izradio trinaest ISMS dokumenata — od analize konteksta do plana komunikacija. Klauzula 7.5 postavlja pitanje koje se lako zaboravi dok se dokumenti pišu: ko garantuje da će, šest meseci od sada, zaposleni na terenu koristiti tačno tu, važeću verziju, a ne zastarelu kopiju sačuvanu na svom računaru? 7.5.1 — Šta uopšte mora biti dokumentovano Standard traži dve kategorije dokumentovanih informacija: one koje standard eksplicitno zahteva (politika, obim, registar rizika, SoA, i tako dalje — sve što smo do sada izradili), i one koje organizacija sama proceni kao neophodne za efikasnost ISMS-a. Standard eksplicitno napominje da obim dokumentacije zavisi od veličine organizacije, složenosti procesa i kompetencije ljudi — Kodni Krug sa 35 zaposlenih ne treba istu količinu papira kao korporacija sa 3.000 zaposlenih. 7.5.2 — Kreiranje i ažuriranje dokumenata Standard...

ISO/IEC 27001:2022 u praksi — deo 5 od 11 Podrška sistemu: resursi, kompetencije, svest, komunikacija Ciljevi bezbednosti su postavljeni, tretman rizika odobren. Klauzula 7 sada osigurava da Kodni Krug ima ono što je stvarno potrebno da te ciljeve ispuni — prave ljude sa pravim znanjem, svest kod svih koji rade pod kontrolom firme (uključujući spoljne developere), i jasan plan ko šta i kome komunicira. 7.1 — Resursi Standard traži da organizacija odredi i obezbedi resurse potrebne za uspostavljanje, primenu, održavanje i stalno poboljšanje ISMS-a. Za Kodni Krug, ovo pitanje je posebno konkretno jer firma nema posebnu bezbednosnu budžetsku liniju iz prošlosti — resursi se prvi put eksplicitno imenuju kroz ISMS uvođenje. Kategorija resursa Primer za Kodni Krug Ljudski resursi 40% radnog vremena IT rukovodioca posvećeno ISMS-u (Post 2); interni auditor iz HR sektora Finansijski resursi Budžetska linija za MFA licence, alat za maskiranje podataka, godišnju obuku o bezbedno...