InfoSec bez stresa

Treći deo serije o Aneksu A. Vraćamo se unutar firme — na to kako se bezbednost ugrađuje u nove projekte od samog početka, i kako se vodi evidencija o tome šta firma uopšte poseduje, ko sme da to koristi, i šta se dešava kad neko ode. Šta ove kontrole traže A.5.8 — Bezbednost informacija u upravljanju projektima. Bezbednost informacija treba da bude ugrađena u svaki projekat firme od samog početka, ne dodata naknadno kad neko primeti propust. Ovo je bliska rođaka klauzule 6.3, koju smo obradili u glavnoj seriji, samo primenjena specifično na projekte — nove sisteme, veće promene, nove usluge. A.5.9 — Popis informacija i pridruženih sredstava. Firma treba da vodi i održava popis informacionih sredstava, sa jasno određenim vlasnicima za svako. Ovo smo već detaljno obradili kao drugi korak u samostalnom tekstu o proceni rizika — ova kontrola je mesto gde taj popis formalno pripada u Aneksu A. A.5.10 — Prihvatljiva upotreba informacija i sredstava. Treba da postoje jasna pravila o t...

Drugi deo serije o Aneksu A. Ove tri kontrole pomeraju fokus sa unutrašnjeg uređenja firme, koje smo pokrili u prvom delu, na nešto što male firme skoro nikad unapred ne pripreme — vezu sa spoljnim svetom kad zatreba pomoć ili informacija. Šta ove kontrole traže A.5.5 — Odnos sa vlastima Firma treba da uspostavi i održava kontakt sa relevantnim nadležnim organima — regulatorima, telima za zaštitu podataka, organima za sprovođenje zakona, i sličnim institucijama. Cilj nije formalno članstvo ili stalna komunikacija, nego jednostavno znanje: ko se kontaktira, kada, i kako, pre nego što se to zaista zatraži pod pritiskom. A.5.6 — Odnos sa interesnim grupama Firma treba da održava kontakt sa strukovnim udruženjima, bezbednosnim forumima ili sličnim grupama relevantnim za njenu delatnost. Ovo je izvor ranih upozorenja, dobre prakse i, često, besplatnih saveta — mnogo pristupačnije malim firmama nego što zvuči. A.5.7 — Obaveštajni podaci o pretnjama Firma treba da prikuplja i analizira...

Prvi pravi deo serije o Aneksu A. Prve četiri organizacione kontrole nadovezuju se direktno na ono što smo već obradili u glavnoj seriji — politiku iz klauzule 5.2 i uloge iz klauzule 5.3 — samo sada idemo dublje, u ono što Aneks A dodatno traži preko tih osnova. Šta ove kontrole traže A.5.1 — Politike za bezbednost informacija Klauzula 5.2, koju smo obradili u glavnoj seriji, traži jednu kratku, opštu politiku koju potpisuje rukovodstvo. A.5.1 ide korak dalje: pored te opšte politike, firma treba i tematske politike za konkretne oblasti — kontrolu pristupa, korišćenje uređaja, rezervne kopije, odnose sa dobavljačima, i slično. Svaka tematska politika treba da bude odobrena od rukovodstva, objavljena, komunicirana relevantnim ljudima koji treba da je i potvrde da su pročitali, i redovno preispitivana. A.5.2 — Uloge i odgovornosti za bezbednost informacija Klauzula 5.3 iz glavne serije tražila je da budu jasno dodeljene samo dve konkretne odgovornosti — ko obezbeđuje usaglašenost ...

Nova serija na blogu InfoSec bez stresa. Posle glavne serije klauzula po klauzula, koja je prošla kroz sve „shall" zahteve standarda, vreme je za drugu polovinu ISO 27001 priče — Aneks A, i devedeset i tri konkretne kontrole koje odatle birate. Realna situacija Ako ste pratili glavnu seriju do klauzule 6.1.3, znate da tretman rizika znači i biranje kontrola iz Aneksa A standarda. Realna situacija koja tu obično nastupi: otvorite tabelu sa 93 kontrole, organizovanih u četiri teme, i shvatite da polovina naziva zvuči kao da je pisana za nekog drugog — „upravljanje bezbednošću informacija u odnosima sa dobavljačima", „sprečavanje curenja podataka", „bezbedan životni ciklus razvoja". Za malu firmu bez pravnog i IT tima, ovo lako deluje kao još jedna prepreka, ne kao alat koji bi trebalo da pomogne. Ova serija postoji da tu tabelu pretvori u nešto razumljivo — kontrolu po kontrolu, grupisane u logične celine, sa objašnjenjem šta svaka zaista traži i kako izgleda kad j...

Poslednji tekst u glavnoj seriji klauzula po klauzula. Klauzula 10.2 formalno propisuje obrazac koji smo, bez da smo ga imenovali, koristili u primerima kroz gotovo svaki prethodni tekst u ovoj seriji — šta firma treba da uradi kad nešto ipak krene naopako. U jednoj rečenici: klauzula 10.2 traži da firma, kad se pojavi neusaglašenost, ne samo ispravi tu jednu situaciju, nego pronađe i otkloni njen stvarni uzrok, proveri da li se isti problem može pojaviti i na drugom mestu, i potvrdi da je preduzeta mera zaista delotvorna. Šta klauzula 10.2 traži Kad se pojavi neusaglašenost — bilo incident, nalaz audita, ili bilo koje odstupanje od onoga što sistem treba da radi — standard traži pet koraka: a) reagovati na neusaglašenost — preduzeti radnju da se ona kontroliše i ispravi, i pozabaviti se posledicama, b) oceniti potrebu za uklanjanjem uzroka , kako se ne bi ponovila ili pojavila na drugom mestu, kroz pregled neusaglašenosti, utvrđivanje njenog uzroka, i proveru da li slične neusag...

Ulazimo u deseto, poslednje poglavlje standarda — unapređenje. Klauzula 10.1 imenuje kao samostalan zahtev nešto što se, kao ideja, provlačilo kroz gotovo svaki prethodni tekst u ovoj seriji. U jednoj rečenici: klauzula 10.1 traži ono što smo pominjali kroz gotovo svaki prethodni tekst u ovoj seriji — da firma stalno unapređuje sistem, ne samo da ga održava u istom stanju iz godine u godinu. Šta klauzula 10.1 traži Tekst klauzule je, poput nekoliko drugih koje smo sreli, samo jedna rečenica: firma treba stalno da unapređuje adekvatnost, dovoljnost i efikasnost sistema upravljanja bezbednošću informacija. Vredi primetiti jednu promenu iz revizije standarda 2022. godine: u prethodnoj verziji, redosled u desetom poglavlju bio je obrnut — prvo neusaglašenosti i korektivne mere, pa tek onda stalno unapređenje. U novoj verziji, stalno unapređenje je stavljeno prvo. Ova naizgled sitna izmena nosi jasnu poruku: unapređenje ne treba da bude nešto što se dešava samo kao reakcija na problem,...

Nastavljamo seriju klauzula po klauzula. Ako ste pratili ovu seriju od početka, primetićete da smo „pregled menadžmenta" pominjali u gotovo svakom tekstu. Klauzula 9.3 je tačka gde se konačno formalno definiše šta je taj pregled zapravo. U jednoj rečenici: klauzula 9.3 traži da najviše rukovodstvo, u planiranim intervalima, sabere rezultate iz svih delova sistema na jedno mesto i donese konkretne odluke o tome šta se menja za narednu godinu. Šta klauzula 9.3 traži Rukovodstvo treba da pregleda sistem u planiranim intervalima kako bi proverilo da li je i dalje adekvatan, dovoljan i efikasan. Standard nabraja tačno šta taj pregled treba da uključi kao ulazne podatke: a) status radnji dogovorenih na prethodnom pregledu, b) promene u spoljnim i unutrašnjim faktorima relevantnim za sistem, klauzula 4.1, c) promene u potrebama i očekivanjima zainteresovanih strana, klauzula 4.2, d) povratne informacije o učinku bezbednosti informacija, uključujući trendove u neusaglašenostima i kor...