Синергія інфобезпеки й якості

У цифрову епоху захист цінної інформації є першочерговим завданням. Для компаній це означає, що інформаційна безпека, поряд із захистом даних, є абсолютно необхідною. Компанії, які мають сертифіковану систему управління якістю (СУЯ) відповідно до ISO 9001, вже мають гарну основу для поетапного впровадження комплексної інформаційної безпеки.

Крок за кроком до більшої безпеки інформації

Хоча тема інформаційної безпеки не нова, а небезпеки для інформаційного ландшафту організацій відомі давно , безпека конфіденційної інформації часто досі ігнорується. Згідно з «Опитуванням кібербезпеки» BSI за квітень 2019 року, 43% великих компаній та 26% малих і середніх підприємств постраждали від кіберінцидентів у 2018 році. «Звіт про стан ІТ-безпеки в Німеччині 2021» BSI показав значне зростання кіберзлочинності, зокрема збільшення кількості нових варіантів шкідливого програмного забезпечення на 22% (приблизно 144 мільйони) з червня 2020 по травень 2021 року, а також зростання якості атак. Багато зловмисників скористалися проблемами, спричиненими пандемією COVID-19. Часто бракує обережності при обробці та зберіганні інформації , а усвідомлення наслідків крадіжки даних недостатньо розвинене. Деякі компанії також неохоче інвестують час та зусилля в ефективний захист конфіденційної інформації.

Однак зусилля для захисту даних не обов’язково мають бути великими. Багатьом компаніям не потрібно впроваджувати комплексну систему управління інформаційною безпекою (СУІБ) за один раз. Можливий поетапний підхід. Першим кроком для компаній з СУЯ відповідно до ISO 9001 може бути оновлення існуючого підходу, заснованого на оцінці ризиків, з урахуванням вимог стандарту інформаційної безпеки ISO 27001.

Інформаційна безпека та управління якістю

Стандарт управління якістю ISO 9001 вимагає всебічного підходу, заснованого на оцінці ризиків. Хоча його реалізація значною мірою залежить від конкретної організації , для інформаційної безпеки потрібен окремий, більш детальний процес оцінки ризиків, ніж той, що зазвичай застосовується в управлінні якістю. Проте, оцінку ризиків для питань управління якістю можна легко розширити, включивши інформаційну безпеку. Для цього корисно ознайомитися з вимогами ISO 27001 щодо ідентифікації та управління ризиками безпеки для СУІБ. Більшість аспектів можуть бути реалізовані користувачами СУЯ з розумними зусиллями, що є першим кроком до цілісної інформаційної безпеки.

Обидва міжнародні стандарти, ISO 27001 для інформаційної безпеки та ISO 9001 для управління якістю, розглядають відповідні теми в розділі 6.1 «Заходи для роботи з ризиками та можливостями». Основною метою є забезпечення трьох аспектів у системі управління: досягнення запланованих результатів, запобігання небажаним ефектам та постійне вдосконалення. Щодо інформаційної безпеки, це насамперед три основні цілі захисту: конфіденційність, цілісність та доступність інформації.

Виявлення ризиків і робота з ними

Підрозділ 6.1.2 ISO 27001 вимагає встановлення та застосування процесу оцінки ризиків інформаційної безпеки. Цей процес повинен встановлювати та підтримувати критерії ризику інформаційної безпеки, включаючи критерії прийняття ризику та виконання оцінки ризиків. Він також повинен гарантувати, що «повторні оцінки ризиків інформаційної безпеки дають послідовні, достовірні та порівнянні результати». Це включає: визначення, аналіз та оцінку ризиків інформаційної безпеки.

Вимоги в 6.1.3 вимагають процесу для усунення ризику інформаційної безпеки, що передбачає вибір відповідних варіантів, визначення необхідних дій, порівняння заходів з засобами контролю Додатку А ISO 27001, підготовку заяви про застосовність та формулювання плану поводження з ризиками з його схваленням власниками ризиків.

Додаток А до ISO 27001 містить вказівки

Додаток А стандарту ISO/IEC 27001 має нормативний характер. Його можна розглядати як контрольний список, що містить цілі та заходи, який допомагає переконатися, що жоден важливий момент для боротьби з ризиками безпеки не був пропущений. Однак він не претендує на вичерпність.

СУІБ та СУЯ – який підхід найкращий?

ISO 27001 вимагає двох окремих процесів для оцінки та управління ризиками інформаційної безпеки. Проте, для першого кроку їх можна об’єднати в один процес, який розширює оцінку ризиків управління якістю, щоб включити аспект інформаційної безпеки. Таким чином, ці два стандарти (ISO/IEC 27001 та ISO 9001) створюють гарну основу для впровадження захисних заходів для даних та ІТ-безпеки. Глибина цього процесу залежить від складності інформаційного ландшафту організації та даних, що потребують захисту. Ефективність процесу бажано перевірити під час зовнішнього аудиту, наприклад, під час сертифікаційного аудиту СУЯ за ISO 9001.

Які переваги?

Процес, що розглядає ризики інформаційної безпеки, може слугувати першим важливим кроком до цілісної СУІБ відповідно до ISO/IEC 27001. Впровадження такого процесу підвищує обізнаність щодо безпеки інформації та захисту даних на всіх рівнях. Цілеспрямований розгляд ризиків інформаційної безпеки дозволяє компанії виявити необхідність дій та вжити відповідних заходів (орієнтованих на ISO 27001, додаток А). Розширена оцінка ризиків, наприклад, як частина управління якістю, зміцнює загальний підхід компанії, заснований на ризиках. Необхідні фінансові та людські ресурси для впровадження та перевірки ефективності є керованими.

ПРИРОСТ: використовуючи якість

Сертифіковані системи менеджменту набувають все більшого значення, що ПРИРОСТ сприймає позитивно. Успішні компанії та організації використовують результати аудитів для постійного покращення своїх результатів. Вони також використовують всесвітньо визнані сертифікати як об’єктивний доказ своєї якості , що створює довіру як всередині, так і зовні організації.

Таким чином, Прирост має:

• Великий досвід у сертифікації систем управління.
• Досвідчені аудитори з глибокими технічними знаннями.
• Індивідуальна, безперебійна підтримка від наших фахівців.
• Особисті пропозиції з гнучкими умовами контракту та без прихованих витрат.