Řízení bezpečnosti informací

Systém řízení bezpečnosti informací (ISMS) – Co to je?

Zajistit bezpečnost informací se lidé usilují již věky, dříve nahodilými opatřeními a někdy později již i víceméně systematickými postupy. Moderní systém řízení bezpečnosti informací vychází z potřeby zajistit cíle ochrany informačních aktiv organizovaným postupem, s přiměřenou mírou hospodárnosti. Je v zásadě jedno, zda potřebujete chránit informace před únikem k manželce nebo zda nějaký podnik potřebuje zajistit funkce nějakých informačních služeb či informace před konkurencí. Ani jednoho z vás nebude jistě dlouho bavit bez identifikace reálné potřeby tahat z rukávu nahodilá, vzájemně neprovázaná opatření se sporadickou účinností a bez výhledu na co vás to vlastně jako celek přijde.

Klíčovou myšlenkou skutečného systému řízení bezpečnosti informací (ISMS) je tedy navrhnout, zavést a udržovat souvislou sadu procesů a nástrojů a opatření pro efektivní řízení informační bezpečnosti, založené na bázi měření a vyhodnocování rizik a jim adekvátní prevenci a reakci. Jedná se tedy o dokumentovaný systém řízení prokazující, že popsaná informační aktiva jsou chráněna, rizika bezpečnosti informací jsou řízena a jsou zavedena a udržována opatření s požadovanou úrovní záruk, a to celé je pravidelně kontrolováno, vyhodnocováno a optimalizováno.

Aby i systém řízení bezpečnosti informací, stejně jako kterýkoliv jiný z procesů řízení mohl zůstat efektivní a účinný v dlouhodobém horizontu, aby byl schopen reflektovat změny uvnitř organizace a také vlivy vnějšího prostředí a podmínek, je vystavěn na principech neustálého zlepšování, založených na aplikaci tzv. PDCA modelu (Demingův cyklus), který zjednodušeně řečeno opakováním jednotlivých řídících fází, tedy Plan, Do, Check a Act (plánuj, dělej, kontroluj a jednej) zaručuje, že zavedení systému nebude jen jednorázovou aktivitou, ale neustálým koloběhem.

Většina modelů zlepšování procesů je založena na postupu, který zavedl W. Edwards Deming, americký průkopník na poli managementu, který se proslavil po II světové válce svojí činností v Japonsku, které pomohl hospodářsky postavit na nohy. Deming zavedl kroužky kvality složené ze samořízených týmů, které učil filozofii TQM a kontinuálního zlepšování (kaizen). Úspěchy japonské konkurence na světových trzích podnítily v 80. letech 20. století zájem západních průmyslníků o tyto metody. Součástí kontinuálního zlepšování je právě PDCA model, který byl převzat do mnoha odvětví.

Protože žijeme v moderní společnosti a nebylo by účelné vynalézat znovu kolo nebo objevovat jak dlouhý má být jeden metr, existuje i pro systémy řízení, a to včetně systému řízení bezpečnosti informací řada vodítek v normách. Základním vodítkem pro tuto oblast ISO normy ISO/IEC 27001 (BS 7799-2) a ISO/IEC 27002. Obě normy jsou úzce propojeny, každá z nich však plní jinou roli. Zatímco norma ISO 27002 poskytuje podrobný přehled (katalog) bezpečnostních opatření, které mohou být vybrány při budování ISMS, norma ISO 27001 specifikuje požadavky na to jak v organizaci správně ustavit, zavést, monitorovat, udržovat a zlepšovat systém pro řízení bezpečnosti informací organizace.

Pro organizace a subjekty v pozici povinné osoby dle zákona 181/2014 Sb. – o kybernetické bezpečnosti je v tomto kontextu potěšující zprávou, že prováděcí předpisy k danému zákonu v pohledu systému řízení bezpečnosti informací tyto normy a postupy respektují a principiálně se neodlišují.

 

Jak Vám můžeme pomoci?

Tým našich konzultantů je připraven poskytnout vám podporu v každém jednotlivém kroku úspěšného zavádění ISMS.

Dokážeme pomoci s identifikací potřebného rozsahu ISMS, správnými metodikami pro identifikaci a hodnocení aktiv, hodnocení zranitelností, dopadů, výpočty rizik, zajistíme celou analýzu rizik, návrh, projektování a implementaci bezpečnostních opatření. Pomůžeme vám navrhnout bezpečnostní politiky, jednotlivé interní předpisy, ale také kompletně zavádíme systémy řízení bezpečnosti informací. Bez vás se to ale neobejde, řadu rozhodnutí a opatření budete pro zavedení ISMS udělat sami, nicméně i v takových situacích jsme schopni vás podpořit a ušetřit vám řadu často drahých nebo čas beroucích omylů a přehmatů.

Bude-li v tom cokoliv potřebovat, obraťte se na nás!