Jak zwiększyć cyberodporność w organizacji?

Czym jest norma ISO 27001?

ISO 27001 jest międzynarodową normą standaryzującą systemy zarządzania bezpieczeństwem informacji. Zawiera ona szczegółowe wytyczne odnoszące się do szacowania oraz postępowania w obliczu ryzyka związanego z bezpieczeństwem informacji i określa wymagania dla  ustanowienia, wdrożenia, utrzymania oraz ciągłego doskonalenia systemu zarządzania bezpieczeństwem informacji w organizacji.

Znaczenie normy ISO 27001 dla cyberodporności w firmie

ISO 27001 ma duże znaczenie dla cyberodporności w firmie. Norma ta dostarcza bowiem niezbędnych narzędzi do ochrony informacji w formie papierowej i cyfrowej, jak również aktywów fizycznych, takich jak komputery i sieci. Dzięki wdrożeniu rozwiązań proponowanych przez ISO 27001, firma jest w stanie:

– uzyskać odpowiedni poziom ochrony aktywów informacyjnych,
– zachować prywatność i integralność zgromadzonych danych,
– zwiększyć świadomość swoich pracowników w zakresie zagrożeń i konieczności stosowania odpowiednich zabezpieczeń,
– zwiększyć odporność na incydenty,
– zdobyć umiejętności niezbędne do sprawowania skutecznego nadzoru nad procesami przetwarzania informacji,
– zdefiniować role i obowiązki podmiotów biorących udział w procesie przetwarzania informacji,
– dostosować się do stawianych jej wymogów natury prawnej,
– uniknąć strat finansowych i wizerunkowych wynikających z otrzymania kar z tytułu naruszenia bezpieczeństwa informacji,
– spełnić oczekiwania klientów i partnerów biznesowych.

Zwiększenie cyberodporności w firmie – wdrożenia zgodne z normą ISO 27001

W celu zwiększenia cyberodporności w firmie norma ISO 27001 postuluje wdrożenie stosownych zabezpieczeń informatycznych, organizacyjnych i administracyjnych.

Zabezpieczenia informatyczne

Zabezpieczeniami informatycznymi, które firma powinna wdrożyć w celu zwiększenia cyberodporności, są przede wszystkim zapora sieciowa, wirtualne sieci prywatne oraz szyfrowanie informacji.

Zapora sieciowa

Zapora sieciowa to podstawowe zabezpieczenie urządzeń sieciowych przed skanowaniem i nawiązywaniem niechcianych połączeń. Na bieżąco filtruje ona ruch sieciowy i blokuje połączenia mogące stanowić potencjalne zagrożenie. Działanie zapory sieciowej może być dostosowane do indywidualnych potrzeb użytkownika. Wyróżnia się trzy główne metody jej pracy:

– filtrowanie pakietów, polegające na przepuszczaniu i zatrzymywaniu określonych danych według wcześniej zdefiniowanych kryteriów,
– dual-home-gateway, czyli filtrowanie przepływającej informacji na poziomie zarówno nagłówka pakietu, jak i zawartości jego pola danych,
– ekranowana podsieć, polegająca na stworzeniu sieci prywatnej oddzielonej od innych sieci dwoma routerami.

Wirtualne sieci prywatne

Wirtualna sieć prywatna, czyli VPN  (ang. Virtual Private Network), stanowi wydzieloną cząstkę ze struktury sieci publicznej, w obrębie której można kompresować lub szyfrować przesyłane dane w celu uzyskania większego poziomu bezpieczeństwa wymiany informacji.

Szyfrowanie informacji

Szyfrowanie to jedna z podstawowych, a zarazem najbardziej skutecznych metod zabezpieczania przesyłanych informacji. Polega na przekształceniu informacji w sposób nieczytelny za pomocą funkcji matematycznej, w celu utajnienia przekazu dla osób niepowołanych. Wyróżnia się szyfrowanie z kluczem publicznym, gdzie ten sam klucz jest używany zarówno do szyfrowania, jak i deszyfrowania informacji, oraz szyfrowanie z kluczem prywatnym, gdzie do szyfrowania informacji wykorzystywany jest klucz publiczny, a do jej odszyfrowania klucz prywatny.

Zabezpieczenia organizacyjne

Jako zabezpieczenia organizacyjne rozumiane są zmiany w obrębie działalności organizacji, służące zwiększeniu cyberodporności. Polegają one między innymi na projektowaniu i wdrażaniu regulaminów oraz procedur pracy i postępowania awaryjnego, jak również kształtowaniu odpowiedzialności osobistej pracowników za ochronę danych w firmie.

Zabezpieczenia administracyjne

Zabezpieczeniami administracyjnymi są systemy certyfikacji potwierdzające przydatność do pracy w warunkach danej organizacji. Dotyczą wykorzystywanego w firmie oprogramowania, technologii oraz sprzętu, jak również zatrudnianego przez nią personelu.

Zwiększenie cyberodporności w organizacji zgodnie z wytycznymi normy ISO 27001 zakłada ponadto wdrożenie takich rozwiązań, jak ochrona haseł, tworzenie kopii zapasowych oraz regularna aktualizacja systemów operacyjnych, aplikacji i kodów witryn internetowych.