Več kot tehnična zaščita
Informacijska varnost varuje zaupnost, celovitost in razpoložljivost informacij ne glede na to, ali so v informacijskem sistemu, oblaku, papirni dokumentaciji ali pri zunanjem izvajalcu. Učinkovit sistem zato povezuje ljudi, procese, pogodbe in tehnologijo ter določa, kdo sprejema odločitve in kako se preverja izvajanje ukrepov.
Pri vzpostavitvi sistema upravljanja informacijske varnosti se opiramo na načela standarda ISO/IEC 27001:2022. Obseg in zahtevnost prilagodimo velikosti organizacije, njenim storitvam, informacijskim sredstvom in tveganjem.
Ocena stanja in tveganj
Najprej določimo področje obravnave, kritične procese, informacije, informacijske rešitve, dobavitelje in odgovorne osebe. Z analizo vrzeli ocenimo obstoječe ukrepe. Nato vzpostavimo metodologijo ocenjevanja tveganj, register tveganj in načrt njihove obravnave z nosilci, roki ter merili uspešnosti.
Področja sodelovanja
- politika informacijske varnosti, organizacija vlog in upravljanje dostopov,
- popis ter klasifikacija informacij in drugih sredstev,
- ocena tveganj in načrt varnostnih ukrepov,
- upravljanje dobaviteljev, sprememb, varnostnih dogodkov in incidentov,
- analiza vplivov na poslovanje (BIA) in neprekinjeno poslovanje,
- notranje presoje, kazalniki, vodstveni pregledi in program izboljšav,
- povezava z varstvom osebnih podatkov in notranjimi pravili.
Kaj organizacija prejme
Rezultat je jasen pregled tveganj, dokumentiran sistem odgovornosti in izvedljiv načrt izboljšav. Sodelovanje lahko obsega posamezno analizo, pripravo politik in postopkov, celovito uvedbo SUVI ali pripravo organizacije na neodvisno presojo oziroma certificiranje.
Posebej pomembno je, da ukrepi niso izbrani samo kot seznam tehničnih rešitev. Vsak ukrep povežemo z ugotovljenim tveganjem, odgovorno osebo, načinom preverjanja in pričakovanim učinkom na poslovanje. Vodstvo tako lažje določi prednostne naloge in utemelji potrebne naložbe.