(Nie)bezpieczeństwo danych w firmie – czyli po co mi ISO 27000 – część 1

W obecnych czasach prowadzenie jakiegokolwiek biznesu wiąże się z przetwarzaniem informacji. Im większa organizacja (czyli np. firma, urząd lub szpital), tym więcej informacji, a więc większe ryzyko, że jeśli nie zapewnimy odpowiedniego poziomu bezpieczeństwa przetwarzanych danych, mogą one zostać ujawnione przypadkowo (poprzez niewiedzę lub lekkomyślność personelu albo przez podatności w infrastrukturze) lub celowo. Prędzej czy później brak zapewnienia ochrony informacji zemści się na nas (czy to finansowo, czy wizerunkowo). Warto więc zastanowić się nad wdrożeniem odpowiednich mechanizmów zabezpieczeń, szczególnie jeśli chcemy zapewnić naszych kontrahentów, że jesteśmy pod tym względem godni zaufania.

Trudno znaleźć kompleksowe opracowanie dotyczące wdrażania zabezpieczeń informacji w organizacjach, dlatego też postanowiliśmy zaprezentować na Sekuraku cykl artykułów dotyczących praktycznego zapewnienia bezpieczeństwa danych. W pierwszej części przyjrzymy się podstawom wprowadzania systemu zarządzania bezpieczeństwem informacji, szczególnie w odniesieniu do procedur i zasobów ludzkich. W kolejnych częściach, które będą się sukcesywnie ukazywały na Sekuraku,  zajmiemy się m.in. zabezpieczaniem i kontrolą dostępu do informacji, fizyczną ochroną aktywów i bezpieczeństwem komunikacji oraz sposobami bezpiecznego wytwarzania oprogramowania, relacjami z innymi podmiotami oraz reakcją na incydenty.

Pierwsze “R” – reguły (i od razu wyjątek)

Aby zagwarantować jednakowe rozumienie tego, co kryje się pod pojęciem bezpieczeństwa informacji, warto skorzystać z norm ISO/IEC serii 27000. Składają się one z kilkudziesięciu dokumentów pokrywających różne obszary tej tematyki, od wskazówek dla systemów zarządzania  bezpieczeństwem informacji, poprzez wskazówki dotyczące bezpieczeństwa sieci i aplikacji, zapobiegania włamaniom i zabezpieczania danych w chmurze, a na ochronie danych dotyczących stanu zdrowia pacjentów skończywszy. Jednak w tym tekście chciałbym się skupić jedynie na spojrzeniu na poziom bezpieczeństwa danych firmowych przez pryzmat pierwszych dwóch dokumentów z serii – ISO/IEC 27001 i ISO/IEC 27002.

Na pierwszy rzut oka mogą one wydawać się tożsame – pierwszy zawiera wymagania dla Systemów Zarządzania Bezpieczeństwem Informacji (zwanych w skrócie SZBI, natomiast w angielskiej wersji ISMS – Information Security Management Systems), drugi natomiast zawiera praktyczne zasady zabezpieczania informacji w SZBI. Czym więc różnią się te dwa dokumenty? Podczas gdy treść samej normy ISO/IEC 27001 jest dość ogólna (dla osób zaznajomionych z normą jakościową ISO 9001:2015 może nawet okazać się dziwnie znajoma), to jej Załącznik A zawiera już dość konkretne informacje dotyczące zabezpieczeń.

W ramach wprowadzania wymagań normy ISO/IEC 27001 organizacja zobowiązana jest do wykonania Deklaracji Stosowalności (ang. SoA – Statement of Applicability), która określa jakie zabezpieczenia z zakresu Załącznika A tej normy zostaną wprowadzone w organizacji oraz dlaczego nie są wprowadzane zabezpieczenia, które organizacja uzna za niekonieczne. Norma ISO/IEC 27002 jest natomiast zbiorem tzw. „dobrych praktyk” przy wdrażaniu i utrzymywaniu SZBI. Podobnie jak kodeks Piratów z Karaibów – „to bardziej jak wskazówki”, a nie sztywne reguły. Norma ta jest następcą normy ISO/IEC 17799, która z kolei wywodzi się z brytyjskiego standardu BS 7799 z połowy lat 90. Pod względem układu ISO/IEC 27002 jest w pełni zgodna z układem Załącznika A normy ISO/IEC 27001, przez co dużo łatwiejsze jest opracowanie Deklaracji Stosowalności i wdrożenie zabezpieczeń dla potrzeb późniejszej certyfikacji.

Informacje powinny być chronione pod kątem trzech aspektów, zwanych triadą CIA (przy czym nie chodzi tu o amerykańskie służby, a o skrót od Confidentiality, Integrity, Availability) – poufności, integralności i dostępności. Poufność oznacza, że dane nie są udostępniane osobom do tego nieupoważnionym (np. będą zaszyfrowane hasłem znanym tylko upoważnionym osobom lub dostęp będzie przyznany tylko dla określonych użytkowników systemu). Integralność to właściwość danych określająca, że żadna ich część nie została zniszczona lub zmodyfikowana przez nieuprawnione osoby (jedną z technik wykrywania utraty integralności jest tworzenie sum kontrolnych). Dostępność natomiast wskazuje na konieczność zapewnienia dostępu do informacji kiedy są one potrzebne, a więc utrzymywanie odpowiedniej infrastruktury i likwidowania wszelkich utrudnień w dostępie do danych. Ważnym elementem jest też rozliczalność, czyli możliwość weryfikacji kto i kiedy miał dostęp do danych informacji. I tu od razu ciekawostka: w internecie można znaleźć wspomniane wyżej normy w plikach PDF z wyraźnym zaznaczeniem dla kogo zostały przygotowane (jest to standardowa procedura przy kupnie norm w formie PDF-ów z Polskiego Komitetu Normalizacyjnego). Wygląda na to, że organizacja ta ma wdrożony i certyfikowany system zgodnie z ISO/IEC 27001, jednak doszło tu do złamania zasady poufności informacji – upublicznione zostały dokumenty, których upubliczniać nie wolno. Być może stało się to przez brak świadomości kogoś z tej organizacji, a być może ktoś, kto miał dostęp do tych norm, po prostu je „wyniósł” i wrzucił do sieci. Jeśli ta druga opcja jest prawdziwa, to niewiele można było na to poradzić. Jeśli jednak to było działanie nieświadome, oznacza to, że system wymaga usprawnienia, a pracownicy – szkolenia.

Drugie “R” – ryzyko

Wybór i wprowadzanie zabezpieczeń musi być oparte na analizie ryzyka – w tym zakresie kierować się można normą ISO 31000, określającą zasady dotyczące postępowania z ryzykiem w organizacji. Jeśli taka norma jest już w danej organizacji stosowana, podejście do tematu będzie na pewno łatwiejsze. Jeśli chcemy podejść bardziej szczegółowo do zarządzania ryzykiem w bezpieczeństwie informacji, warto skorzystać z innej normy z serii 27000 – ISO/IEC 27005.

Trzecie “R” – RODO

Norma ISO/IEC 27001 zyskała „drugą młodość” ze względu na wprowadzenie rozporządzenia UE dotyczącego ochrony danych osobowych (czyli powszechnie znanego i lubianego RODO). Jeśli organizacja ma wprowadzony system zapewnienia bezpieczeństwa informacji zgodny z ISO/IEC 27001, dużo łatwiej jest udowodnić, że wymagania RODO są w danej organizacji spełnione.

Czwarte “R” – realia

Teoria teorią, jednak jeśli zamierzamy faktycznie zadbać o bezpieczeństwo informacji w firmie, nie wystarczy jedynie opracowanie suchych dokumentów, ale przede wszystkim należy budować świadomość osób pracujących ze wszelkiego rodzaju informacjami, tak by zdawali sobie sprawę z tego, że zapewnienie bezpieczeństwa danych jest w obecnych czasach sprawą kluczową i mogącą decydować o „być lub nie być” danej organizacji.

Poniżej zajmiemy się analizą tego, co właściwie należy wykonać w organizacji, aby zgodnie z zakresami określonymi przez ISO/IEC 27001 i uszczegółowionymi przez ISO/IEC 27002 faktycznie zapewnić bezpieczeństwo przetwarzanych przez nią informacji. Kolejne 14 punktów odnosi się bezpośrednio do mechanizmów kontroli z punktów od 5 do 18 normy ISO/IEC 27002, które razem wyróżniają 35 kategorii zabezpieczeń, zawierających w sumie aż 114 zabezpieczeń (ang. controls).

Polityki bezpieczeństwa informacji

Pierwszym krokiem do stworzenia polityk bezpieczeństwa informacji jest stworzenie przez tzw. najwyższe kierownictwo (czyli po prostu przez te osoby, które decydują o kluczowych aspektach działania danej organizacji) polityki ogólnej, uwzględniającej środowisko, w jakim funkcjonuje dana firma, obowiązujące ją zapisy prawne i przyjętą strategię działania. Dokument ten musi na dość wysokim poziomie ogólności definiować podejście organizacji do ochrony informacji. Oczywiście oprócz dokumentu ogólnego muszą istnieć także dokumenty bardziej szczegółowe, opisujące techniczne aspekty bezpieczeństwa informacji, np. w obszarach kontroli dostępu lub kopii zapasowych, a także zdefiniowane role w odniesieniu do zapewnienia bezpieczeństwa informacji oraz procedury postępowania w przypadku napotkania tematu nieujętego w politykach. Małe organizacje będą rzecz jasna  wymagały mniejszej ilości polityk niż duże.

Przygotowanie tych dokumentów i włożenie ich do szuflady nic jednak nie zmieni. Następnym krokiem jest więc zakomunikowanie zawartych w nich informacji pracownikom i zaplanowanie cyklicznego odświeżania tej wiedzy. Wszyscy muszą być świadomi tego, że dane powinny być chronione, a także po co takie regulacje są wprowadzane oraz jakie odpowiedzialności ciążą na jakich osobach.

Określenie ról w organizacji

Jeśli chodzi o role, to zaleca się możliwie jak największe oddzielenie osób weryfikujących dany aspekt ochrony informacji od osób z nim związanych, czyli np. administrator sieci nie powinien być osobą odpowiedzialną za weryfikowanie poprawności tworzenia backupów. Ma to zapewnić jak największą bezstronność przy sprawdzaniu, czy na pewno ochrona działa jak należy (w końcu zależy nam, żeby bezpieczeństwo faktycznie było na odpowiednim poziomie). Zadanie to może być trudne do wykonania w mniejszych firmach, gdzie może zdarzyć się sytuacja, że każdy ma po trochu styczność ze wszystkimi obszarami działania, ale w każdym przypadku należy dążyć do zapewnienia jak najwyższego poziomu niezależności. Ważną kwestią jest też upewnienie się, żeby w przypadku udostępniania polityk na zewnątrz żadne wrażliwe dane zawarte w politykach (np. informacje o infrastrukturze i sposobie backupowania danych) nie zostały udostępnione. Wszystkie polityki powinny być oczywiście przeglądane i aktualizowane przez odpowiedzialne za to osoby, gdyż zarówno wewnątrz każdej organizacji, jak i w jej otoczeniu cały czas zachodzą zmiany mogące mieć wpływ na aktualność polityk.

Więcej szczegółów na temat tworzenia polityki bezpieczeństwa można znaleźć tutaj.

Organizacja bezpieczeństwa informacji

Wiemy już, że do zapewnienia bezpieczeństwa informacji musimy wyznaczyć osoby i przydzielić im odpowiednie role oraz zapewnić ich niezależność. Wybór takich osób musi być poprzedzony sprawdzeniem ich wiarygodności i kompetencji w tym zakresie – wszak bezpieczeństwo naszych danych będzie w ich rękach. Jeśli dana organizacja nie jest wystarczająco duża, by zapewnić pełne oddzielenie obowiązków związanych z bezpieczeństwem od codziennych zadań danych pracowników, wyniki pracy takich osób należy monitorować, aby upewnić się, że wykonują swoje oni obowiązki poprawnie i systematycznie.

Kontaktowanie się z organami władzy i specjalistami dziedzinowymi

Poruszony jest tu aspekt kontaktowania się z zewnętrznymi podmiotami i służbami oraz utrzymywania tych kontaktów. Można by pomyśleć – po co do zapewnienia bezpieczeństwa informacji wymagane są kontakty z policją, energetyką lub kimkolwiek innym? Sprawa jest bardzo prosta. Jeśli u nas zdarzy się incydent, powinniśmy wiedzieć, że w takim przypadku kontaktujemy się z przedstawicielem policji. Z kolei jeśli np. policja będzie wiedziała o niebezpieczeństwie włamania lub zakład energetyczny uprzedzi nas o wyłączeniu prądu, może nam to zaoszczędzić problemów z tymi faktami związanych, jeśli odpowiednio wcześnie na nie zareagujemy.

Ale nie tylko kontakt ze służbami jest ważny. Liczą się także wszystkie kontakty z grupami społecznymi zajmującymi się np. technologią. Zakładając, że nasz administrator śledzi grupy, fora lub strony o tematyce bezpieczeństwa (ot, choćby Sekuraka), będzie mógł szybciej zareagować na nowo powstałe zagrożenia, zanim zostaną one wykorzystane do zagrożenia naszej organizacji. Tutaj jednak należy pamiętać o jednej ważnej zasadzie: jeśli w ramach tych kontaktów szukamy choćby wsparcia na internetowym forum w temacie bezpieczeństwa, to nie wolno nam zdradzać informacji, które mogą zostać wykorzystane przeciwko nam (jeśli nasze systemy antywłamaniowe wyłączają się codziennie o północy na godzinę, to nie możemy zadać pytania o przyczynę takiego stanu rzeczy, a już szczególnie podając adres, bo narazimy się na wykorzystanie tej „podatności” przez osoby mogące nam zaszkodzić).

Prowadzenie projektów

W rozdziale tym zawarte są też wskazówki dotyczące prowadzenia projektów w kontekście bezpieczeństwa informacji. Przy rozpoczynaniu każdego nowego projektu należy zawrzeć w nim mechanizmy zapewniające bezpieczeństwo danych. Podczas początkowej analizy ryzyka mogą ukazać się nam nowe zagrożenia, których wcześniej nie zauważaliśmy lub które wcześniej nie występowały, a teraz muszą zostać „obsłużone”. To ważne, aby podczas rozdzielania odpowiedzialności w nowym projekcie od razu pomyśleć o rolach dotyczących zapewnienia bezpieczeństwa odpowiednim dla tego zadania osobom i zapewnić im na to odpowiednie możliwości czasowe i techniczne.

Zabezpieczanie pracy zdalnej i urządzeń mobilnych

Kolejną grupą zabezpieczeń występującą w tej części są zabezpieczenia dotyczące użycia mobilnych urządzeń i pracy zdalnej. Są to tematy bardzo aktualne, gdyż coraz więcej pracowników pracuje z domu lub w podróży. Konieczne jest więc określenie polityki bezpieczeństwa dla korzystania z urządzeń mobilnych, gdyż właśnie przez swoją mobilność są one narażone na wiele niebezpieczeństw, takich jak choćby zgubienie czy kradzież. Jeśli już do takiej sytuacji dojdzie, musimy mieć określone procedury dotyczące „unieszkodliwienia” takiego urządzenia, tzn. zablokowania dostępu do danych na nim zawartych, jak i dostępu poprzez nie do innych źródeł informacji firmowych. Musi także istnieć procedura backupowania danych z urządzeń mobilnych pracowników, aby zminimalizować czas potrzebny na odtworzenie wyników pracy w przypadku utraty urządzenia.

Niezależnie od tego, czy pracownicy wykorzystują swoje prywatne czy firmowe komórki lub laptopy, powinno być wymuszone instalowanie na nich najnowszych dostępnych aktualizacji systemu oraz oprogramowania użytkowego i antywirusowego. W miarę możliwości należy pomyśleć o zabezpieczeniu fizycznego środowiska pracy zdalnej, chociaż nie zawsze jest to możliwe – praca zdalna na tym właśnie polega, że można ją wykonywać z każdego miejsca. Można jednak uczulić pracowników, aby nie korzystali z otwartych sieci WiFi czy też zaopatrzyć ich w specjalne naklejki na monitory, umożliwiające zobaczenie tego, co jest wyświetlane na ekranie, tylko pod określonym, małym kątem.

Warto tutaj także wspomnieć o tematach praw do wyników pracy wykonywanej na urządzeniach prywatnych, jeśli pracownicy z takich mogą korzystać. W takich wypadkach najczęściej spisywane umowy pomiędzy firmą a pracownikiem mówią dokładnie kto jest właścicielem wyników pracy wykonywanej na sprzęcie prywatnym i poza siedzibą organizacji, a także zapewniają możliwość dostępu do urządzeń pracownika w przypadku zaistnienia uzasadnionych wątpliwości organizacji wobec pracownika.

Bezpieczeństwo zasobów ludzkich

Rekonesans

Ten zbiór reguł i wskazówek dotyczących zapewnienia bezpieczeństwa informacji w firmie odnosi się do tworzenia odpowiednich zasad i procedur dotyczących spraw HR-owych. Już od etapu rozważania zatrudnienia danej osoby zalecane jest sprawdzanie kandydatów pod kątem ich umiejętności i wiarygodności. Nie dotyczy to oczywiście wszystkich kandydatów, bo byłby to przerost formy nad treścią, ale im bardziej odpowiedzialne stanowisko chcemy obsadzić (a więc obarczone większym ryzykiem w przypadku zatrudnienia niekompetentnej osoby), tym bardziej musimy postarać się „zinwigilować” daną osobę (rzecz jasna nie naruszając przy tym jej prywatności). Można do tego użyć wielu sposobów – przy obecnym poziomie przenikania się życia prywatnego społeczeństwa z internetem znalezienie szczegółów dotyczących kandydatów jest dużo prostsze – wystarczy użyć odpowiednich wyszukań w Google, na Facebooku, Instagramie, Twitterze i w innych źródłach. Jeśli samo wprowadzenie imienia i nazwiska osoby w Google ujawni nam np. jej zdjęcia przed firmowym monitorem (zwróconym przodem do obiektywu) – powinno nam to dać do myślenia w kwestii przezorności tego kandydata.

Weryfikacja pracowników niekiedy realizowana jest nie tylko przez nowego pracodawcę, ale także już po zatrudnieniu, przez odpowiednie służby ochrony państwa. Taka sytuacja ma miejsce, jeśli chcemy upoważnić pracownika do dostępu do informacji niejawnych (w myśl Ustawy o ochronie informacji niejawnych). Dla klauzuli “zastrzeżone” – najniższej – wystarczy upoważnienie kierownika jednostki organizacyjnej, czyli pracodawcy, a dla klauzuli “poufne” – drugiej w kolejności – weryfikacji danej osoby musi dokonać pełnomocnik do spraw informacji niejawnych. Dostęp do klauzuli “tajne” i “ściśle tajne” wiąże się już z procedurą sprawdzającą dokonywaną przez odpowiednie służby: ABW lub SKW.

Szkolenie, kształcenie i uświadamianie pracowników

Na etapie zatrudniania nowy pracownik musi być oczywiście zaznajomiony z zasadami zachowania poufności informacji, do których będzie miał dostęp w związku z wykonywaniem swoich obowiązków służbowych, a także z konsekwencjami ujawnienia takich danych, czy to przypadkowo, czy celowo. Odpowiednie kroki dyscyplinarne muszą zostać określone i zakomunikowane, aby uniknąć później tłumaczeń, że ktoś ujawnił dane „przez przypadek”, „omyłkowo” lub „przez niewiedzę”. Dobrą gwarancją utrzymania odpowiedniego poziomu bezpieczeństwa informacji przez pracownika będzie podpisanie przez niego odpowiedniej klauzuli podczas zatrudnienia. To samo tyczy się innych firm, z którymi współpracujemy i wymieniamy się kluczowymi danymi.

Pamięć ludzka jest jednak ulotna, więc cykliczne szkolenia i sprawdziany wiedzy powinny być przeprowadzane w celu utrwalenia posiadanych informacji o procedurach i zasadach postępowania. Istotny jest też tutaj fakt dawania przez kierownictwo dobrego przykładu postępowania według zasad i ich świadomości, aby pracownicy nie czuli, że tylko oni są do czegoś zobowiązani. W ramach sprawdzania i uczenia dobrych zachowań odnośnie bezpieczeństwa warto przypominać o odpowiednich procedurach backupowania danych, tworzenia i przechowywania haseł, komunikacji, zgłaszania incydentów itp. Osobne szkolenia dla osób zajmujących się typowo bezpieczeństwem informacji w organizacji (administratorzy, inspektorzy) powinny być wykonywane na wyższym poziomie „wtajemniczenia”.

Jeśli jednak „mleko się rozleje” i zdarzy się jakiś incydent bezpieczeństwa, powinien istnieć anonimowy kanał komunikacji, za pomocą którego pracownicy mogliby poinformować odpowiednie osoby o zaistniałej sytuacji. Każde zgłoszenie musi zostać przeanalizowane pod wieloma kątami: kto je spowodował, czy zrobił to umyślnie czy przez przypadek lub brak wiedzy, czy nie zdarza się to danej osobie zbyt często, jakie straty zostały poniesione i co w przyszłości możemy zrobić, aby tego typu incydentów uniknąć. Powinno się także zachęcać do zgłaszania potencjalnych niebezpieczeństw, które mogą wystąpić, a nawet nagradzać je i promować – nie po to, aby zachęcać do donosicielstwa, ale by pokazać, że każdy pracownik powinien dbać jak najlepiej o tematy bezpieczeństwa.

Zmiana stanowiska lub pracodawcy

W przypadku kiedy jakaś osoba w firmie zmienia swoje stanowisko, a co za tym idzie, zmienia poziom dostępu do informacji, powinien istnieć „wyzwalacz”, który sprawi, że takie wydarzenie nie zostanie przegapione przez osoby odpowiedzialne za nadawanie i odbieranie praw dostępu do informacji. W tym temacie działy HR i IT powinny ze sobą ściśle współpracować. Do czasu objęcia nowych obowiązków pracownik powinien zachować dotychczasowy poziom dostępu do informacji. To samo tyczy się osób na okresie wypowiedzenia, chociaż w tym przypadku warto zwrócić większą uwagę na to, czy dana osoba na pewno w tym czasie nadal wymaga dostępu do wszystkich informacji i czy fakt jej zwolnienia nie spowoduje u niej chęci wyrządzenia szkody organizacji. Słyszy się czasami o przypadkach, kiedy po zwolnieniu administratora następnego dnia firma obudziła się z wyczyszczonymi serwerami.

Podsumowanie

W tej części poruszone zostały pierwsze trzy grupy zabezpieczeń, które pokazują jak planować bezpieczeństwo informacji w organizacji od strony zasobów ludzkich. Pierwszym krokiem jest świadomość i chęć najwyższego kierownictwa do wdrożenia zabezpieczeń i wspierania zmian, które muszą zajść, aby zapewnić odpowiedni poziom bezpieczeństwa oraz określenie uprawnień i obowiązków podległej kadry. W kolejnej części skupimy się na dalszych, technicznych aspektach zabezpieczeń.

– KW