System Zarządzania Bezpieczeństwem Informacji (SZBI) to uporządkowany zestaw zasad, procedur, wytycznych i zaleceń, które chronią informacje w organizacji. Jego kształt wynika z wyników szacowania ryzyka i poziomu ryzyka akceptowanego przez kierownictwo. Najpowszechniej stosowanym wzorcem jest norma ISO/IEC 27001.
Kto musi wdrożyć SZBI?
- Podmioty kluczowe i ważne w rozumieniu ustawy o KSC – zgodnie z art. 8 wdrażają SZBI w systemie informacyjnym wykorzystywanym do świadczenia usługi. SZBI jest głównym filarem wymagań ustawy.
- Podmioty publiczne objęte Rozporządzeniem KRI – § 19 wymaga ustanowienia i utrzymywania systemu zarządzania bezpieczeństwem informacji.
Wdrożenie SZBI bywa kosztem kwalifikowanym w programach finansowania, m.in. Cyberbezpieczny Wodociąg i KPO dla szpitali.
Etapy wdrożenia SZBI
- Powołanie zespołu wdrożeniowego i ustalenie zasad współpracy.
- Identyfikacja informacji, procesów i zasobów (aktywów).
- Ocena ryzyka.
- Opracowanie dokumentacji SZBI – polityki, procedur i instrukcji.
- Wdrożenie i omówienie procedur z pracownikami.
- Monitorowanie działania wdrożonego systemu.
Dokumentacja musi być przygotowana z zachowaniem zasady rozliczalności – tak, aby audytor mógł zweryfikować, że podmiot rzeczywiście spełnia wymagania.
Rola organizacji przy wdrożeniu
SZBI nie da się wdrożyć „zza biurka” konsultanta. Potrzebny jest zespół złożony z kierownictwa i pracowników, a zwłaszcza administratora IT, który:
- przekaże informacje o funkcjonowaniu jednostki i jej systemach,
- pomoże zorganizować prace (np. szkolenia),
- będzie na bieżąco konsultował rozwiązania,
- koordynuje ustalenia z dyrekcją.
Systematyczna analiza ryzyka
O tym, czy SZBI działa, decyduje stosowanie procedur w praktyce i ich okresowa aktualizacja. Kierunek zmian wyznacza regularnie powtarzana analiza ryzyka.
Co po wdrożeniu?
SZBI wymaga utrzymania i doskonalenia. W praktyce oznacza to:
- bieżącą aktualizację procedur i uzupełnianie wiedzy pracowników,
- działania korygujące i zapobiegawcze po wykryciu nowych podatności i zagrożeń (co najmniej raz w roku),
- monitorowanie postępu wdrożenia procedur,
- przegląd obowiązków kierownictwa i ich realizacji przez pracowników,
- okresową weryfikację w siedzibie zakończoną raportem.
Wdrożenie a audyt – zachowaj niezależność
Ten sam wykonawca nie powinien wdrażać SZBI i potem go audytować. Dlaczego – wyjaśniam w artykule o konflikcie interesów przy audycie KRI.
Co oferujemy
- wdrożenie SZBI zgodnie z ISO/IEC 27001, ustawą o KSC i Rozporządzeniem KRI – od identyfikacji aktywów, przez ocenę ryzyka, po dokumentację i omówienie procedur z pracownikami,
- narzędzie do analizy ryzyka, z którego pracownik jednostki może samodzielnie korzystać przy kolejnych analizach,
- utrzymanie i doskonalenie SZBI: aktualizacja procedur, działania korygujące i zapobiegawcze, monitorowanie wdrożenia, przegląd obowiązków kierownictwa,
- wizyty weryfikujące w siedzibie, zakończone raportem,
- przygotowanie organizacji do certyfikacji ISO 27001.
Zapraszamy do kontaktu – przedstawimy szczegóły.