ISO 17799

Norma ISO 17799 wywodzi się z brytyjskiego standardu bezpieczeństwa BS 7799. Stanowi zestaw wskazówek dla wdrożenia i utrzymania bezpieczeństwa informacji w przedsiębiorstwie. Uwaga! Artykuł historyczny. Aktualnym odpowiednikiem jest norma ISO 27002.

Zastosowanie ISO 17799 pozwala określić wymagania przedsiębiorstwa w zakresie bezpieczeństwa, sformułować politykę ochrony i bezpieczeństwa informacji oraz wybrać środki, dzięki którym bezpieczeństwo informacji zostanie zapewnione. Norma wspomaga więc procesy organizacyjne w sposób umożliwiający racjonalne podwyższenie bezpieczeństwa informacji koncentrując się na sferze organizacyjnej oraz kontrolując obszary zwiększonego ryzyka, takie jak:

• polityka bezpieczeństwa,
• kontrola dostępu do informacji,
• zabezpieczenia na poziomie organizacyjnym,
• klasyfikacja i kontrola zasobów,
• zarządzanie działaniem urządzeń informatycznych,
• przestrzeganie obowiązujących procedur i przepisów prawa,
• pracownicy,
• zabezpieczenie fizyczne organizacji i otoczenia,
• zarządzanie ciągłością,
• opracowywanie i utrzymywanie systemów informatycznych.

Wyróżnia się wiele bardzo różnorodnych metod ustalania wymagań związanych z bezpieczeństwem informacji, z których podstawowe to:

• znajomość uregulowań prawnych dotyczących wymaganych działań zapewniających bezpieczeństwo informacji,
• oszacowanie poziomu ryzyka utraty informacji,
• wypracowanie w przedsiębiorstwie odpowiedniej postawy odnośnie zapewnienia bezpieczeństwo informacji,
• wskazanie obszarów, w których zachodzi konieczność poprawy.

Ewolucja normy ISO 17799

1. BS 7799 - brytyjski standard stanowiący podstawę systemów zarządzania bezpieczeństwem informacji opracowany został przez BSI (British Standards Institution).
2. BS 7799:1999 to dwuczęściowa norma:

• BS 7799-1:1999 - standardowy kodeks praktyki, katalog zagadnień, jakie należy realizować dla potrzeb bezpieczeństwa informacji (Code of practice for Information Security Managemen);
• BS 7799-2:1999 - standardowa specyfikacja dla systemów zarządzania bezpieczeństwem informacji (ISMS - Information Security Management System).

1. Pierwsza część została przyjęta przez organizację ISO jako standard ISO 17799 i dalej przyjęta do systemu "Polska Norma" jako PN-ISO/IEC 17799. Druga cześć została zatwierdzona do publikacji jako polskojęzyczna wersja normy BS 7799-2:1999 oznaczona PN-I-07799-2:2005.
2. W październiku 2005 r. została opublikowana norma ISO/IEC 27001 (wcześniej znana jako brytyjska norma BS 7799-2; polskie tłumaczenie PN-I-07799-2:2005), która jest specyfikacją sytemów zarządzania bezpieczeństwem informacji na zgodność z którą będą wydawane certyfikaty. W dalszym okresie planowane są publikacje kolejnych norm serii ISO / IEC 27000 - słownictwo i terminologia, ISO/IEC 27002 (obecnie znane jako BS 7799-1 oraz ISO/IEC 17799) - praktyczne zasady zarządzania bezpieczeństwem informacji, ISO/IEC 27003 - porady i wskazówki dotyczące implementacji systemu zarządzania bezpieczeństwem informacji (ISMS), ISO/IEC 27004 - System Zarządzania Bezpieczeństwem Informacji. Wskaźniki i pomiar oraz ISO/IEC 27005 (obecnie BS 7799-3) - zarządzanie ryzykiem bezpieczeństwa informacji.

Korzyści z wdrożenia normy ISO 17799

• Wdrożenie normy ISO 17799 może przyczynić się do poprawy bezpieczeństwa informacji w przedsiębiorstwie. Zapewnia ona kompleksowe podejście do zarządzania ryzykiem związanym z bezpieczeństwem informacji, co pozwala na skuteczną ochronę danych i uniknięcie incydentów związanych z naruszeniem poufności, integralności i dostępności informacji.
• Norma ISO 17799 ma pozytywny wpływ na zarządzanie ryzykiem i zgodnością z przepisami. Jej wdrożenie pomaga zidentyfikować i ocenić ryzyko związanego z bezpieczeństwem informacji oraz opracować odpowiednie środki zaradcze. Ponadto, norma ISO 17799 uwzględnia wymagania prawne i regulacyjne, co pozwala przedsiębiorstwu być zgodnym z obowiązującymi przepisami.
• Przedsiębiorstwo może osiągnąć wiele konkretnych korzyści dzięki wdrożeniu normy ISO 17799. Przykłady takich korzyści to: zwiększenie zaufania klientów i partnerów biznesowych, poprawa wizerunku firmy, minimalizacja ryzyka finansowego związanego z naruszeniem bezpieczeństwa informacji, ochrona wartościowych informacji przed nieautoryzowanym dostępem, zwiększenie świadomości pracowników w zakresie bezpieczeństwa informacji.
• Inwestycja w wdrożenie normy ISO 17799 może przynieść zwrot z inwestycji. Zwiększenie bezpieczeństwa informacji może ograniczyć koszty związane z incydentami bezpieczeństwa, takimi jak wycieki danych czy ataki cybernetyczne. Ponadto, przedsiębiorstwo może zyskać przewagę konkurencyjną dzięki pozytywnemu wizerunkowi jako wiarygodnego i odpowiedzialnego partnera biznesowego.
• Wdrożenie normy ISO 17799 może przyczynić się do sukcesu przedsiębiorstwa poprzez zwiększenie efektywności operacyjnej. Bezpieczeństwo informacji jest kluczowym elementem skutecznego zarządzania przedsiębiorstwem, a norma ISO 17799 dostarcza wytycznych i najlepszych praktyk w tym zakresie. Poprawa bezpieczeństwa informacji może wpływać na poprawę procesów biznesowych, zwiększenie produktywności i zadowolenia klientów.

Proces wdrożenia normy ISO 17799

• Etapy procesu wdrożenia normy ISO 17799 obejmują: analizę ryzyka, opracowanie polityki bezpieczeństwa informacji, opracowanie i wdrożenie procedur i kontroli, szkolenie pracowników, monitorowanie i audyt.
• Główne działania na poszczególnych etapach wdrożenia normy ISO 17799 to: identyfikacja aktywów informacyjnych, ocena ryzyka, opracowanie polityki bezpieczeństwa informacji, opracowanie procedur i kontroli, szkolenie pracowników w zakresie bezpieczeństwa informacji, monitorowanie i przegląd polityki i procedur.
• Zespół projektowy ma kluczowe znaczenie w procesie wdrożenia normy ISO 17799. Powinien składać się z przedstawicieli różnych działów organizacji, takich jak IT, zarządzanie ryzykiem, dział prawny, dział personalny. Zespół projektowy jest odpowiedzialny za koordynację działań wdrożenia, zapewnienie zgodności z wymaganiami normy i monitorowanie postępów.
• Kluczowe czynniki sukcesu w procesie wdrożenia normy ISO 17799 to: zaangażowanie zarządu, odpowiednia alokacja zasobów, dostosowanie normy do indywidualnych potrzeb przedsiębiorstwa, odpowiednie szkolenie pracowników, monitorowanie i ocena skuteczności wdrożenia.
• Praktyczne wskazówki dotyczące skutecznego wdrożenia normy ISO 17799 w przedsiębiorstwie obejmują: przeprowadzenie wstępnej oceny zgodności, opracowanie planu wdrożenia, uwzględnienie wymagań prawnych i regulacyjnych, dostosowanie normy do indywidualnych potrzeb przedsiębiorstwa, zapewnienie odpowiedniego szkolenia pracowników, monitorowanie skuteczności wdrożenia i ciągłe doskonalenie.

Audyt zgodności z normą ISO 17799

• Audyt zgodności z normą ISO 17799 polega na ocenie stopnia zgodności przedsiębiorstwa z wymaganiami normy. Ma on na celu potwierdzenie, czy przedsiębiorstwo wdrożyło odpowiednie środki zaradcze w celu ochrony bezpieczeństwa informacji.
• Etapy procesu audytu zgodności z normą ISO 17799 obejmują: planowanie audytu, przegląd dokumentacji, przeprowadzenie audytu, opracowanie raportu audytu, monitorowanie działań naprawczych.
• Główne czynniki, które należy uwzględnić przy przygotowaniu do audytu zgodności z normą ISO 17799 to: identyfikacja i przegląd dokumentacji dotyczącej bezpieczeństwa informacji, przeprowadzenie oceny ryzyka, przygotowanie odpowiednich procedur i kontroli.
• Podczas audytu zgodności z normą ISO 17799 oceniane są takie aspekty jak: zarządzanie ryzykiem, polityka bezpieczeństwa informacji, zarządzanie dostępem, zarządzanie incydentami bezpieczeństwa, zarządzanie ciągłością działania.
• Praktyczne wskazówki dotyczące przeprowadzenia audytu zgodności z normą ISO 17799 obejmują: przygotowanie odpowiedniej dokumentacji, przeprowadzenie wewnętrznego audytu przed zewnętrznym, zapewnienie odpowiedniej komunikacji z audytorami, odpowiednie przygotowanie pracowników przed audytem, wprowadzenie działań naprawczych w przypadku stwierdzenia niezgodności.

ISO 17799 — artykuły polecane

ISO 27001 — Identyfikacja systemu zarządzania jakością — Nowelizacja norm ISO 9000 — Dokumentowanie systemu zarządzania — OHSAS 18001 — ISO 9004 — Dokumentacja systemu zarządzania jakością — System jakości w gminie - założenia — Podejście procesowe

Bibliografia

• Dworakowski W. (2005), Zarządzanie bezpieczeństwem informacji wg normy BS 7799 - Wprowadzenie, XI Konferencja PLOUG, Kościelisko
• Perłowski R. (2006), Zarządzanie bezpieczeństwem informacji, [w:] Łunarski J. (red.), Systemy zarządzania bezpieczeństwem w przedsiębiorstwie, Oficyna Wydawnicza Politechniki Rzeszowskiej, Rzeszów
• Strona internetowa: ISO 17799:2005, ISO - International Organization for Standardization

Autor: Arkadiusz Kowalczyk