Moduł bezpieczeństwa informacji normy ISA 2027: analiza poszczególnych środków kontroli

Polityki, role i zasoby

1.1.1 – W jakim stopniu dostępne są polityki bezpieczeństwa informacji? Polityki muszą być obecnie dostępne i przekazane odpowiednim podmiotom. Położenie większego nacisku na informowanie wszystkich zainteresowanych stron o zmianach w politykach stanowi odpowiedź na powszechne wyzwanie dla wielu organizacji – polityki, które istnieją, ale nigdy nie zostały faktycznie przekazane w dół łańcucha organizacyjnego.

1.2.2 – W jakim stopniu zorganizowane są obowiązki w zakresie bezpieczeństwa informacji? Role muszą być zdefiniowane, przypisane i wyposażone w odpowiednie uprawnienia. Eliminuje to częstą lukę, w której role są formalnie przypisane na papierze, ale brakuje im rzeczywistych uprawnień niezbędnych do ich wypełniania i egzekwowania.

1.3.1 – W jakim stopniu zidentyfikowano i zarejestrowano zasoby informacyjne? Zasoby muszą zostać zidentyfikowane, sklasyfikowane i przypisane do osoby odpowiedzialnej – przy większym niż dotychczas nacisku na klasyfikację i jasne określenie własności.

Zarządzanie incydentami i sytuacjami kryzysowymi

1.6.2 – W jakim stopniu zarządzane są zgłaszane zdarzenia związane z bezpieczeństwem? Należy teraz zdefiniować kryteria eskalacji i ramy czasowe – wyjaśniając, co powoduje eskalację i w jakim terminie musi ona nastąpić.

1.6.3 – W jakim stopniu organizacja jest przygotowana do radzenia sobie w sytuacjach kryzysowych? Należy opracować i przetestować plan zarządzania kryzysowego, kładąc większy nacisk zarówno na planowanie, jak i na praktyczne testowanie postępowania w sytuacjach kryzysowych, a nie tylko na jego dokumentowanie.

Zarządzanie zasobami ludzkimi i dostępem

2.1.4 – W jakim stopniu regulowana jest praca mobilna? Termin „telepraca” został zastąpiony terminem „praca mobilna”, który lepiej odzwierciedla sposób, w jaki organizacje opisują to zjawisko obecnie.

4.2.1 – W jakim stopniu przyznawane są i zarządzane są uprawnienia dostępu? Uprawnienia dostępu muszą być przyznawane, weryfikowane i cofane – jest to aktualizacja, która lepiej odzwierciedla ciągły, cykliczny charakter zarządzania uprawnieniami dostępu, zamiast traktowania go jako jednorazowego zadania konfiguracyjnego.

IT i cyberbezpieczeństwo

5.2.4 – W jakim stopniu rejestrowane i analizowane są dzienniki zdarzeń? Rejestrowanie musi obecnie obejmować sesje zdalne oraz naruszenia zasad. Rejestrowanie aktywności sesji zdalnych jest rozsądnym krokiem w kierunku zapewnienia identyfikowalności i rozliczalności – choć pozostaje otwartą kwestią, które naruszenia zasad można realistycznie zidentyfikować i zarejestrować w sposób technicznie niezawodny.

5.2.6 – W jakim stopniu systemy i usługi IT są poddawane kontroli technicznej (audyt systemów i usług)? Luki w zabezpieczeniach muszą być identyfikowane i usuwane w określonym terminie. Samo zidentyfikowanie luk bez zobowiązania do ich usunięcia nie jest już wystarczające – jest to mile widziane zaostrzenie wymogów, ponieważ nierozwiązane znane luki w zabezpieczeniach są jedną z częściej spotykanych luk, jakie obserwujemy w praktyce.

5.2.8 – W jakim stopniu wdrożono planowanie ciągłości działania usług informatycznych? Należy teraz wyraźnie zdefiniować konkretne scenariusze – ataki DDoS, oprogramowanie ransomware i podobne – tak aby strategie naprawcze mogły być dostosowane do każdego scenariusza, a nie opierać się na ogólnym planie ciągłości działania.

5.2.9 – W jakim stopniu zapewniono tworzenie kopii zapasowych i odzyskiwanie danych oraz usług informatycznych? Należy zdefiniować procesy tworzenia kopii zapasowych, odzyskiwania, sekwencjonowania i izolacji, kładąc większy nacisk na możliwość przywrócenia danych, wzajemne zależności między kopiami zapasowymi oraz aspekty bezpieczeństwa informacji związane z samymi kopiami zapasowymi (np. ochrona kopii zapasowych w stanie spoczynku).

Relacje z dostawcami

6.1.1 – W jakim stopniu zapewnione jest bezpieczeństwo informacji wśród wykonawców i partnerów współpracujących? Wymagania muszą być teraz zdefiniowane, monitorowane i poddawane audytom. Profil ryzyka dostawcy może ulegać zmianom w czasie – dostawca uznawany w przeszłości za akceptowalnego może już nie spełniać aktualnych kryteriów oceny – dlatego też cykliczne audyty wewnętrzne i zewnętrzne odgrywają ważną rolę w ciągłym potwierdzaniu stanu poufności i dostępności.

W naszych przeglądach jakości często zauważamy, że organizacje nie wykorzystują okazji do przeniesienia wymagań TISAX® na swoją bazę dostawców. Jeśli dostawca ma kluczowe znaczenie dla dostępności produktów lub usług danej organizacji, powinien być zobowiązany do wykazania odpowiedniego poziomu zapewnienia dostępności. Ta sama logika ma zastosowanie w przypadku udostępniania informacji poufnych dostawcom, którzy również powinni być zobowiązani do wykazania, że spełniają niezbędne wymagania dotyczące bezpieczeństwa informacji.

6.1.3 (poprzednio 1.2.4) – W jakim stopniu zdefiniowano podział obowiązków między zewnętrznymi dostawcami usług IT a organizacją? Ten element kontroli został przeniesiony do rozdziału poświęconego zarządzaniu dostawcami, a termin „dostawcy IT” został rozszerzony na „dostawców usług IT”. W przeszłości wiele organizacji interpretowało pojęcie „dostawców IT” zbyt wąsko, kojarząc je głównie z outsourcingiem usług IT – mimo że punkt ten zawsze miał obejmować wszystkie usługi IT/OT świadczone zewnętrznie, w tym usługi w chmurze i usługi internetowe.

Zmienione sformułowanie jasno wskazuje, że od zewnętrznych dostawców usług IT można wymagać na mocy umowy ochrony informacji poufnych (poprzez umowy SLA oraz oświadczenie dostawcy o zakresie stosowania), podczas gdy sama organizacja pozostaje odpowiedzialna za wewnętrzne zasady regulujące sposób, w jaki jej pracownicy postępują z informacjami poufnymi udostępnianymi zewnętrznym dostawcom.

Zgodność

7.1.2 – W jakim stopniu uwzględnia się ochronę danych osobowych przy wdrażaniu zabezpieczeń informacji? Obok terminu „informacje umożliwiające identyfikację osoby”, znanego z ustalonych ram norm ISO i ram prawnych, takich jak RODO, stosuje się obecnie bardziej intuicyjny termin „dane osobowe”.

Obszary, w których nadal widzimy pole do poprawy: rozbieżność zakresów IT/OT

Jednym z obszarów, na który chcielibyśmy zwrócić szczególną uwagę, jest fakt, że wiele organizacji nie zdaje sobie sprawy, iż termin „system IT” jest zdefiniowany w katalogu ISA szerzej, niż się spodziewają. Zgodnie z definicjami ISA system IT to każdy rodzaj systemu służącego do elektronicznego przetwarzania informacji – definicja ta jest na tyle szeroka, że obejmuje również technologie operacyjne (OT), takie jak przełączniki, kamery i czujniki.

W rezultacie organizacje często pomijają fakt, że środki kontroli odnoszące się do systemów IT – zwłaszcza te powiązane z normą IEC 62443-2-1 – mają zastosowanie zarówno do środowisk IT, jak i OT, a nie tylko do klasycznej infrastruktury IT.

Tak było już w przypadku normy ISA 6.0 i naszym zdaniem norma ISA 2027 mogła wyraźnie położyć większy nacisk na wymiar OT. W praktyce oczekujemy, że opisy samooceny będą traktować IT i OT oddzielnie, ilekroć są one zarządzane przez różne zespoły lub stosują różne środki w celu osiągnięcia zamierzonego celu środków kontroli ISA.

Co to oznacza w praktyce

Żadna z tych zmian nie wymaga od organizacji przebudowywania systemu zarządzania bezpieczeństwem informacji (ISMS) od podstaw. Warto jednak przed kolejną oceną sprawdzić kilka z nich w świetle aktualnej dokumentacji:

• Komunikacja dotycząca polityki i uprawnienia związane z rolami – nie chodzi tylko o to, „czy one istnieją”, ale „czy są faktycznie komunikowane i egzekwowane”.
• Kaskadowość dostawców – czy Państwa baza dostawców jest zobowiązana do przestrzegania standardów dostępności/poufności, które Państwa organizacja musi spełniać wobec swoich klientów.
• Obowiązki – czy pracownicy otrzymują wytyczne dotyczące bezpiecznego i odpowiedzialnego korzystania z udostępnionych usług internetowych.
• Zakres OT – czy w ramach samooceny systemy OT (przełączniki, czujniki, kamery, przemysłowe systemy sterowania) są obecnie traktowane jako objęte zakresem wraz z klasycznymi systemami IT.

Jeśli chcesz uzyskać szerszy obraz zmian zachodzących w całym katalogu ISA 2027 – w tym uproszczenia w zakresie ochrony prototypów oraz nowego rocznego cyklu publikacji – zapoznaj się z naszym artykułem towarzyszącym: „ISA 2027: Co się zmienia w nowym katalogu TISAX®”.

Niniejszy artykuł odzwierciedla publicznie dostępne informacje na temat normy ISA 2027 w momencie jego napisania. Podobnie jak w przypadku każdej nowej wersji katalogu, niektóre szczegóły dotyczące dokładnego harmonogramu i procesu przejścia mogą jeszcze zostać doprecyzowane przez ENX i VDA. Będziemy aktualizować tę treść w miarę pojawiania się nowych informacji.