Jak zbudować System Zarządzania Bezpieczeństwem Informacji zgodny z wymaganiami KSC

Skrót SZBI brzmi jak nazwa kolejnego segregatora. W rzeczywistości System Zarządzania Bezpieczeństwem Informacji powinien działać bardziej jak układ nerwowy organizacji: zbiera informacje o ryzykach, uruchamia działania, sprawdza wyniki i dostarcza decyzje kierownictwu.

Zacznij od tego, co firma musi utrzymać

Pierwszym elementem nie jest polityka. Jest nim mapa kluczowych usług i zależności. Firma powinna wiedzieć, które procesy są najważniejsze, jakie systemy je wspierają, gdzie znajdują się dane, kto nimi zarządza i od których dostawców zależy ich działanie.

Następnie trzeba ustalić role. Zarząd zatwierdza kierunek i środki. Właściciele usług określają wpływ biznesowy. IT i bezpieczeństwo projektują oraz wykonują zabezpieczenia. HR, zakupy, prawo i inni właściciele realizują zadania w swoich obszarach.

Zbuduj cykl, a nie bibliotekę

Każdy ważny obszar powinien działać w podobnym rytmie:

ryzyko → zasada → kontrola → wykonanie → dowód → weryfikacja → poprawa

Polityka dostępu wyznacza zasadę. Cykliczny przegląd kont jest kontrolą. Zatwierdzona lista i zgłoszenia odebrania uprawnień są dowodem. Jeżeli kontrola wykryje konta byłych pracowników, powstaje działanie naprawcze, a organizacja poprawia sposób odbierania dostępów po odejściu z pracy.

SZBI obejmuje znacznie więcej niż IT: bezpieczeństwo personelu, fizyczne, dostawców, rozwój systemów, ciągłość działania, kryptografię, incydenty, szkolenia i zarządzanie aktywami. Nie wszystkie elementy muszą być równie rozbudowane. Ustawa opiera się na adekwatności do ryzyka.

Zarząd potrzebuje krótkiego obrazu

System jest zarządzany dopiero wtedy, gdy kierownictwo regularnie widzi top ryzyka, nieudane kontrole, otwarte wyjątki, krytycznych dostawców i decyzje wymagające finansowania. Raport o długości 80 stron zwykle przegrywa z jedną stroną pokazującą trzy pilne decyzje.

Program wdrożeniowy UP² pomaga uruchomić podstawowy SZBI dla uzgodnionych priorytetów, a platforma UP² utrzymuje jego codzienny rytm: właścicieli, terminy, dowody, wyjątki i przeglądy zarządu. Poznaj sposób wdrożenia i prowadzenia SZBI w UP².

Źródła

• Ustawa o KSC - art. 8 i katalog elementów SZBI