7 kroków do przeprowadzenia skutecznej oceny ryzyka w ISO/IEC 27001

7 kroków do przeprowadzenia skutecznej oceny ryzyka w ISO/IEC 27001

Podstawą systemu zarządzania bezpieczeństwem informacji ISO/IEC 27001 (ISMS) jest przeprowadzanie oceny ryzyka.

 

Czym jest ocena ryzyka w bezpieczeństwie informacji?
Ocena ryzyka w bezpieczeństwie informacji to proces identyfikowania, rozwiązywania i zapobiegania problemom bezpieczeństwa.
Osoba oceniająca Twoją organizację zidentyfikuje zagrożenia, na jakie narażona jest Twoja organizacja i przeprowadzi ocenę ryzyka.
Ocena ryzyka często opiera się na aktywach, a ryzyko ocenia się w odniesieniu do posiadanych zasobów informacyjnych. Ocena będzie prowadzona w całej organizacji.
ISO 27001 wyraźnie wymaga, aby proces zarządzania ryzykiem był stosowany do przeglądu i potwierdzania kontroli bezpieczeństwa w świetle obowiązków prawnych i umownych.


Poniżej opiszemy 7 kroków do efektywnego zarządzania ryzykiem w ISO/IEC 27001
Przeprowadzenie oceny ryzyka może wydawać się bardzo skomplikowane, ale uprościliśmy ten proces do siedmiu kroków:
1. Określ swoją metodologię oceny ryzyka 
ISO/IEC 27001 nie określa konkretnej metodologii oceny ryzyka. Wybór właściwej metodologii dla organizacji jest niezbędny w celu określenia zasad, według których przeprowadzisz ocenę ryzyka. Metodologia musi uwzględniać cztery kwestie: podstawowe kryteria bezpieczeństwa, skalę ryzyka, apetyt na ryzyko oraz ocenę ryzyka opartą na scenariuszu lub opartą na aktywach.
2. Stwórz listę swoich zasobów informacyjnych
Decydując się na ocenę ryzyka opartą na aktywach, powinieneś pracować z istniejącą listą zasobów informacyjnych, która obejmuje wydrukowane informacje, pliki elektroniczne, nośniki wymienne, urządzenia mobilne i wartości niematerialne, takie jak własność intelektualna.
3. Zidentyfikuj zagrożenia i luki w zabezpieczeniach
Określ zagrożenia i luki w zabezpieczeniach, które dotyczą każdego zasobu. Na przykład zagrożeniem może być "kradzież urządzenia mobilnego".
4. Kwalifikuj zakres ryzyka
Przypisz wartości wpływu i prawdopodobieństwa wystąpienia ryzyka.
5. Zmniejsz ryzyko, aby ograniczyć je do uzgodnionego i akceptowalnego poziomu
ISO/IEC 27001 proponuje cztery sposoby traktowania ryzyka: "Zakończ" ryzyko, eliminując je całkowicie, "obserwuj" ryzyko, stosując środki kontroli bezpieczeństwa, "przenieś" ryzyko na stronę trzecią lub "toleruj" ryzyko.
6. Stwórz raport z analizy ryzyka
ISO/IEC 27001 wymaga, aby Twoja organizacja przygotowała zestaw raportów do celów audytu i certyfikacji, z których najważniejszym jest Deklaracja Stosowania (SoA) i plan postępowania z ryzykiem.
7. Przegląd, monitorowanie i audyt
ISO/IEC 27001 wymaga, aby Twoja organizacja stale przeglądała, aktualizowała i ulepszała ISMS, aby upewnić się, że działa optymalnie i dostosowuje się do ciągle zmieniającego się środowiska zagrożeń.


Pamiętaj, aby podczas procesu oceny ryzyka skupić się na poniższych punktach. Znajdziesz tutaj odpowiedź na pytanie: jakich błędów nie popełniać:
- Ogranicz zakres. 
Zacznij od ogółu i przejdź do szczegółu. Każdy wydział powinien być odpowiedzialny za swoje własne ryzyka i rozbijać je na łatwe do opanowania części. Jeden element może być używany przez kilka osób do różnych celów, a pięć stron oceny nie będzie miało znaczenia dla wszystkich operatorów. Wykonaj oddzielną ocenę dla każdej operacji i zaangażuj ludzi do współtworzenia oceny, aby utrzymać i pokazać jej znaczenie.
- Zajmij się znacznym ryzykiem.
Ignoruj banalne codzienne przeszkody, ale rozważ wszystkie okoliczności. Dany element może być niepożądany, ale nie stanowi zagrożenia.
- Działaj zgodnie z ustaleniami. 
Pracuj, jako zespół i kategoryzuj zagrożenia na wysokie, średnie i niższe ryzyko. Skoncentruj się na wyższym ryzyku i zaangażuj siłę roboczą w opracowywanie rozwiązań. Zdecyduj, co byłoby idealne i co jest praktycznie możliwe w obecnej sytuacji. Opracuj budżet na dłuższą metę, a w międzyczasie wprowadź odpowiednie środki w celu zminimalizowania ryzyka w miarę możliwości w krótkim i średnim terminie.


Nie musisz wszystkiego robić. Ważne jest, aby pokazać, że masz plan i pracujesz nad ulepszeniami.

 

Jeśli potrzebujesz dodatkowej wiedzy na ten temat skontaktuj się z nami. ISOQAR prowadzi szkolenia z zarządzania ryzykiem i z analizy ryzyka.
 

Skontaktuj się z nami

„Zgodnie z art. 13 ust. 1 i ust. 2 ogólnego rozporządzenia o ochronie danych osobowych z dnia 27 kwietnia 2016 r. (dalej RODO) informujemy, iż Administratorem Państwa danych osobowych jest ISOQAR CEE sp. z o.o  z siedzibą w Warszawie,  adres: ul.   Wąwozowa 11,  02-796 Warszawa.  Państwa dane osobowe przetwarzane będą w celach kontaktowych niezbędnych do realizacji usługi, zgodnie z obowiązującymi przepisami prawa na podstawie art. 6 ust. 1 lit. f RODO.„

>>Wyrażam zgodę na przetwarzanie moich danych osobowych przez ISOQAR CEE sp. z o.o jako administratora danych osobowych, w celach otrzymywania informacji handlowych i marketingowych wysyłanych na podany adres e-mail na podstawie art. 6 ust. 1 lit. a RODO. Więcej informacji w Polityka prywatności

Polityka prywatności

Klauzula informacyjna w zakresie przetwarzania danych osobowych na potrzeby newsletter

W związku z obowiązywaniem od dnia 25 maja 2018 r. rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (Dz. Urz. UE L 119, str. 1), zwanego dalej „rozporządzeniem RODO”, informujemy, że:

  1. Administratorem Pani/Pana danych osobowych jest ISOQAR CEE sp. z o.o  z siedzibą w Warszawie,  adres: ul.   Wąwozowa 11,  02-796 Warszawa, NIP 9512091016, wpisana do Krajowego Rejestru Sądowego prowadzonego  przez Sąd Rejonowy w dla m.st. Warszawy, XIII Wydział Gospodarczy Krajowego Rejestru Sądowego pod numerem KRS: 0000178492, 

  2. Administrator wyznaczył Inspektora Ochrony Danych Krzysztofa Radtke, z którym można się skontaktować drogą elektroniczną: iod@isoqar.pl

  3. Pani/Pana dane osobowe będą przetwarzane w celach wysyłki i otrzymywania newslettera.

  4. Przetwarzanie Pani/Pana danych osobowych odbywać się będzie na podstawie wyrażonej przez Panią/Pana zgody (podstawa prawna: art. 6 ust. 1 lit. a Rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE RODO

  5. Pani/Pana dane osobowe będą przetwarzane do czasu cofnięcia przez Panią/Pana zgody. 

  6. Odbiorcą Pani/Pana danych osobowych będą podmioty, którym Administrator zleca wykonywanie czynności, z którymi wiąże konieczność przetwarzania danych (podmioty przetwarzające) oraz podmioty publiczne na podstawie odrębnych przepisów prawa. 

  7. W związku z przetwarzaniem danych osobowych przysługuje Pani/Panu prawo dostępu do treści danych, ich sprostowania, usunięcia, ograniczenia ich przetwarzania oraz prawo do wniesienia sprzeciwu wobec przetwarzania danych osobowych. 

  8. Ma Pani/Pan prawo do cofnięcia zgody na przetwarzanie Pani/Pana danych w dowolnym momencie bez wpływu na zgodność z prawem przetwarzania, którego dokonano na podstawie zgody przed jej cofnięciem.

  9. W przypadku uznania, że przetwarzanie przez Administratora Pani/Pana danych osobowych narusza przepisy Rozporządzenia ma Pani/Pan prawo wnieść skargę do Prezesa Urzędu Ochrony Danych Osobowych (PUODO). 

  10. Podanie przez Panią/Pana danych osobowych jest dobrowolne, jednak jest warunkiem wysyłki newslettera.

  11. Pani/Pana dane osobowe nie będą przetwarzane w sposób zautomatyzowany, nie będą poddawane profilowaniu.

  12. Pani/Pana dane osobowe mogą być przekazywane do państwa trzeciego (UK).

Klauzula informacyjna zapytanie ofertowe

Zgodnie z art. 13 ust. 1 i ust. 2 ogólnego rozporządzenia o ochronie danych osobowych z dnia 27 kwietnia 2016 r. (dalej RODO) informuję, iż:

1. Administratorem Pani/Pana danych osobowych jest ISOQAR CEE sp. z o.o  z siedzibą w Warszawie,  adres: ul.   Wąwozowa 11,  02-796 Warszawa, NIP 9512091016, wpisana do Krajowego Rejestru Sądowego prowadzonego  przez Sąd Rejonowy w dla m.st. Warszawy, XIII Wydział Gospodarczy Krajowego Rejestru Sądowego pod numerem KRS: 0000178492, 

2. Administrator wyznaczył Inspektora Ochrony Danych Krzysztofa Radtke, z którym można się skontaktować drogą elektroniczną:  iod@isoqar.pl

3. Pani/Pana dane osobowe przetwarzane będą w celu:

•             odpowiedzi na zapytanie ofertowe na podstawie art. 6 ust. 1 lit. f RODO

więcej informacji pod linkiem

•             kontaktu w celu przekazania informacji marketingowych i handlowych na podstawie art. 6 ust. 1 lit. a RODO

•             w celu realizacji prawnie uzasadnionego interesu Spółki, polegającego na ewentualnym ustaleniu lub dochodzeniu roszczeń lub obronie przed roszczeniami, na podstawie prawnie uzasadnionego interesu Spółki (art. 6 ust. 1 lit. f RODO).

4. Odbiorcą Pani/Pana danych osobowych będą wspólnicy i pracownicy Administratora w zakresie swoich obowiązków służbowych na podstawie upoważnienia.

5. Pani/Pana dane osobowe nie będą przekazywane do państwa trzeciego ani organizacji międzynarodowej;

6. Pani/Pana dane osobowe będą przechowywane do czasu zakończenia współpracy lub do czasu cofnięcia przez Pani/Pana zgody.

7. Posiada Pani/Pan prawo dostępu do treści swoich danych oraz prawo ich sprostowania, usunięcia, ograniczenia przetwarzania, prawo do przenoszenia danych, prawo wniesienia sprzeciwu, prawo do przenoszenia danych.

8. Ma Pan/Pani prawo wniesienia skargi do organu nadzorczego- Urzędu Ochrony Danych Osobowych, gdy uzna Pani/Pan, iż przetwarzanie danych osobowych Pani/Pana dotyczących narusza przepisy ogólnego rozporządzenia o ochronie danych osobowych z dnia 27 kwietnia 2016 r.;

9. Podanie przez Pana/Panią danych osobowych jest dobrowolne, jednak konieczne w celu realizacji przedmiotu umowy/ jest konieczne w związku z przepisami szczególnymi ustawy (przetwarzanie danych osobowych jest wymogiem ustawowym). W przypadku niewyrażenia zgody na przetwarzanie danych osobowy, Administrator może zrezygnować z zawarcia umowy.

10. Pani/Pana dane nie będą przetwarzane w sposób zautomatyzowany w tym również w formie profilowania tzn. żadne decyzje wywołujące wobec osoby skutki prawne lub w podobny sposób na nią istotnie wpływające nie będą oparte wyłącznie na automatycznym przetwarzaniu danych osobowych i nie wiążą się z taką automatycznie podejmowaną decyzją.