Audytor zewnętrzny
W dobie często koniecznych implementacji w organizacjach dyrektyw unijnych, polityk i systemów, koniecznym są regularne audyty (RODO, KRI, SZBI...)
Audyt KRI
Audyt KRI (Krajowych Ram Interoperacyjności) - celem sprawdzenia jest weryfikacja, czy wszystkie analizowane obszary są zgodne z określonymi standardami i wymogami interoperacyjności, umożliwiając efektywną wymianę informacji między różnymi instytucjami. Ocenie podlega zdolność systemu lub produktu do pełnej współpracy z innymi systemami lub produktami. Praktyczniej sprawdzeniu ulegają 3 istotne poziomy interoperacyjności: organizacyjny, semantyczny oraz technologiczny. Obowiązkowo takie sprawdzenie wykonują podmioty realizujące zadania publiczne.
Audyt SZBI
Jest to rozbudowane sprawdzenie środowiska działania organizacji w oparciu o normę ISO 27001. Praktycznemu sprawdzeniu podlegają cztery ogólne aspekty:
Bezpieczeństwo fizyczne w organizacji;
Bezpieczeństwo prawne;
Bezpieczeństwo teleinformatyczne;
Bezpieczeństwo osobiste.
Bardziej obrazowo, wylistowałem polityki mające wpływ na spełnienie zakładanych norm SZBI:
Polityka bezpieczeństwa informacji - w swojej istocie polityka bezpieczeństwa informacji ustanawia fundamenty i stanowisko dotyczące sposobu, w jaki firma zarządza bezpieczeństwem informacji. Obejmuje podstawowe zasady, kwestie prawne, zaangażowanie kierownictwa, cele bezpieczeństwa, role i obowiązki w odniesieniu do bezpieczeństwa informacji;
Polityka ochrony danych - praktycznie zapewnia, że dane organizacji mają wystarczające zabezpieczenia poprzez wdrożenie kontroli bezpieczeństwa, które są zgodne ze standardami zgodności i prawnymi;
Polityka przechowywania danych - określa ograniczenia dotyczące przechowywania, użytkowania i usuwania poufnych danych zebranych przez organizację w ramach wymogów prawnych i operacyjnych;
Polityka kontroli dostępu - to udokumentowane określenie, że dostęp do danych i zasobów organizacji jest przyznawany wyłącznie personelowi z określonymi uprawnieniami i przywilejami. Polityka obejmuje kluczowe aspekty, takie jak rejestracja użytkownika, wymagania uwierzytelniania, przegląd dostępu i uprawnień, raportowanie i zewnętrzna kontrola dostępu;
Polityka zarządzania aktywami - ma na celu umożliwienie identyfikacji, ochrony i zarządzania kluczowymi aktywami organizacji. Obejmuje ona kluczowe aspekty w całym cyklu życia aktywów, a mianowicie klasyfikację, lokalizację, inwentaryzację, własność i zwrot;
Polityka zarządzania ryzykiem - ma za zadanie pomoc organizacji w identyfikowaniu ryzyka, ocenę i przegląd wpływu, rejestrowanie ryzyka, wdrażanie planów postępowania z ryzykiem i raportowanie ryzyka bezpieczeństwa kluczowych aktywów przy jednoczesnym zrozumieniu ich podatności na ryzyko;
Polityka klasyfikacji i obsługi informacji - to kluczowa polityka, która definiuje sposób, w jaki organizacja klasyfikuje, przechowuje, przetwarza, tworzy kopie zapasowe, przesyła i usuwa informacje. Obejmuje ona również role i obowiązki, o których pracownicy muszą wiedzieć, aby chronić poufne informacje;
Polityka dotycząca świadomości i szkoleń w zakresie bezpieczeństwa informacji - zapewnia, że pracownicy otrzymują odpowiednie szkolenia w zakresie bezpieczeństwa i świadomości, są na bieżąco informowani o ryzyku i wiedzą, jak na nie reagować w miarę jego pojawiania się. Polityka ta obejmuje również tworzenie planów szkoleniowych i modułów oceny dla pracowników wewnętrznych, jak również zewnętrznych stron trzecich;
Polityka dozwolonego poziomu bezpieczeństwa - pomaga organizacjom zapewnić, że wewnętrzni pracownicy i zewnętrzni interesariusze są świadomi indywidualnej odpowiedzialności, właściwego wykorzystania zasobów organizacji związanych z przetwarzaniem informacji, własnością intelektualną, raportowaniem i monitorowaniem;
Zasady czystego ekranu i czystego biurka - celem jest zapobieganie nieautoryzowanemu dostępowi do wewnętrznych systemów, zasobów i aktywów, a także wynikającym z tego stratom lub uszkodzeniom w trakcie i poza standardowymi godzinami pracy w miejscu pracy;
Polityka pracy zdalnej - gorący temat podczas ostatniej pandemii, zwrócił uwagę na tematykę pracy poza organizacją i tu zespół procedur pozwala identyfikować i łagodzić zagrożenia bezpieczeństwa pracy zdalnej, które są wprowadzane poprzez korzystanie z urządzeń osobistych, a także konstruować protokół dotyczący sposobu gromadzenia, przetwarzania i przechowywania informacji poza siedzibą firmy. Polityka pracy zdalnej obejmuje aspekty rejestracji urządzeń, zapór sieciowych, bezpieczeństwa sieci, dostępu zdalnego, obowiązków właściciela i kopii zapasowych danych;
Polityka ciągłości działania - koncentruje się przede wszystkim na przywracaniu i utrzymywaniu ciągłości działania w obliczu zakłóceń lub incydentów bezpieczeństwa dowolnego rodzaju. Polityka określa elementy analizy wpływu, testowania ciągłości działania, planów ciągłości działania, odzyskiwania i przywracania, zarządzania incydentami, planów odzyskiwania po awarii i dalszych możliwych do przewidzenia wypadków w organizacji;
Polityka tworzenia kopii zapasowych - organizacji określa protokół, którego pracownicy powinni przestrzegać, aby zapobiec utracie danych. Obejmuje procedury, które wchodzą w życie, gdy wystąpią zakłócenia, i podkreśla taktyki, które pomagają w przeprowadzaniu, testowaniu i wdrażaniu kopii zapasowych w celu przywrócenia ciągłości działania firmy;
Polityka dotycząca złośliwego oprogramowania i oprogramowania antywirusowego - pomaga organizacjom edukować pracowników na temat wirusów i złośliwego oprogramowania, a także sposobów łagodzenia szkód wynikających z takich zagrożeń. W istocie polityka dotycząca złośliwego oprogramowania i oprogramowania antywirusowego obejmuje szczegóły, takie jak dopuszczalne korzystanie z oprogramowania, zarządzanie konfiguracją systemu, specyfikacje oprogramowania antywirusowego, świadomość bezpieczeństwa, integralność, włamania do sieci itp;
Polityka zarządzania zmianą - celem jest ułatwienie płynnych przejść operacyjnych i złagodzenie wpływu ryzyka związanego z przeprowadzaniem zmian w firmie. Polityka zarządzania zmianą szczegółowo opisuje wszystko, od wniosków o zmianę, klasyfikacji, zatwierdzeń, ustalania priorytetów, oceny ryzyka bezpieczeństwa, oceny wpływu, kontroli wersji, testowania, wycofywania, a także aspekty zarządzania zmianą awaryjną i raportowania;
Polityka bezpieczeństwa dostawców zewnętrznych - koncentruje się na zapewnieniu, że dostawcy zewnętrzni są zarejestrowani, włączeni i wdrażają wystarczające zabezpieczenia w całym cyklu życia. Zapewnia również, że dostawcy zewnętrzni zbierają, przetwarzają, przesyłają i przechowują dane w bezpieczny sposób i zgodnie z wymogami zgodności;
Polityka ciągłego doskonalenia - jest jednym z kluczowych elementów normy ISO 27001, jest to nacisk na ciągłe doskonalenie, aktualizowanie i przeglądanie. Polityka ciągłego doskonalenia kładzie nacisk na przydatność, co jest ułatwione poprzez okresowe przeglądanie skuteczności i adekwatności bezpieczeństwa informacji;
Polityka rejestrowania i monitorowania - umożliwia identyfikację i zarządzanie systemami ryzyka poprzez dokładne procedury rejestrowania i monitorowania audytu. Polityka obejmuje wszystkie aspekty danych o zdarzeniach i aktywnościach, ich gromadzenie, rejestrowanie, przetwarzanie, analizę i przechowywanie, a także utrzymanie kontroli dostępu i ochronę takich danych;
Polityka zarządzania bezpieczeństwem sieci - to dokument polityki bezpieczeństwa opracowany specjalnie w celu ochrony infrastruktury sieciowej, jak również danych w niej zagnieżdżonych. Zawiera wytyczne dotyczące kontroli sieci, segregacji, dostępu, urządzeń fizycznych, lokalizacji i bezpiecznego przetwarzania danych (często zastosowanie w leciwej instrukcji zarządzania systemem informatycznym);
Polityka transferu informacji - której celem jest zapewnienie, że organizacja przestrzega właściwego protokołu, gdy dane są przesyłane, tj. gdy informacje są przesyłane wewnętrznie lub zewnętrznie. Polityka obejmuje metody transferu danych, metody szyfrowania i utratę informacji;
Polityka bezpiecznego rozwoju - to kolejna kluczowa polityka, która zapewnia, że najlepsze praktyki bezpieczeństwa informacji są zakorzenione w całym cyklu życia rozwoju produktu lub organizacji. Ogólnie rzecz biorąc, polityka obejmuje tematy związane z segregacją środowisk, wytycznymi kodowania, repozytorium kodu rozwoju, zatwierdzeniami, przeglądami kodu, testowaniem, zarządzaniem danymi testowymi i przenoszeniem kodu do produkcji;
Polityka bezpieczeństwa fizycznego i środowiskowego - kładzie nacisk przede wszystkim na zapobieganie nieautoryzowanemu dostępowi fizycznemu do danych organizacji, jak również jej obiektów przetwarzania danych. Obejmuje ona kluczowe tematy, takie jak bezpieczeństwo fizyczne, dostęp pracowników, kontrola dostępu do sieci, dostęp gości itp.;
Polityka zarządzania kluczami kryptograficznymi - ma na celu zapewnienie, że klucze szyfrujące są chronione przez cały cykl ich życia — od generowania, dystrybucji, przechowywania, depozytu i tworzenia kopii zapasowych, a także zapewnienie rozliczalności i regularnego zarządzania audytem. Określa również protokół dotyczący sytuacji, w których klucze są zagrożone, oraz sposób ich odzyskiwania;
Polityka kontroli kryptograficznej i szyfrowania - określa procesy związane z efektywnym wdrażaniem szyfrowania przy jednoczesnym zabezpieczeniu integralności i poufności poufnych informacji. Obejmuje wytyczne dotyczące algorytmów szyfrowania, szyfrowania sieci i chmury, szyfrowania bezprzewodowego, szyfrowania poczty e-mail, danych posiadacza karty, danych w ruchu, szyfrowania bazy danych, szyfrowania urządzeń mobilnych i laptopów itp;
Polityka dotycząca dokumentów i zapisów - celem jest pomoc organizacjom w śledzeniu dokumentów i zapisów w ramach Systemu Zarządzania Bezpieczeństwem Informacji. Określa ona podstawowe wytyczne dotyczące tworzenia i zarządzania dokumentami, zapewniając jednocześnie dostępność, bezpieczeństwo, poufność i integralność dokumentacji. Definiuje również sposób, w jaki organizacja musi wykonywać kluczowe zadania, takie jak kontrola wersji, zatwierdzanie i klasyfikacja kluczowych dokumentów.
Powyższe polityki, procedury w większym lub mniejszym stopniu powinny być zaimplementowane w organizacji. Pozsiadam doświadczenie z pracy w organizacjach od kilku do 900 osób w sektorach medycznych, samorządowych, edukacyjnych i prywatnych. Obecnie współpracuje przy wdrażaniu oraz wdrażam całościowo omawiane rozwiązania.
Audyt RODO
Oddzielna podstrona poświęcona tematyce: kliknij teraz .