Hasło „bezpieczeństwo informacji” kojarzy się z bezpieczeństwem cybernetycznym. Tymczasem norma ISO/IEC 27001 dotyczy też bezpieczeństwa fizycznego.
Jest to jeden z 4 obszarów zabezpieczeń, opisanych w załączniku A nowej normy ISO/IEC 27001:2022. Jego celem jest nadzorowanie dostępu do określonych miejsc bez uprawnień.
Pandemia spowodowała, że większość organizacji zaczęła pracować zdalnie. Pojawiły się nowe wyzwania związane z zapewnieniem bezpieczeństwa fizycznego. Organizacje, które pracują hybrydowo powinny przyjrzeć się swoim zasadom i procedurom dla odwiedzających: w jaki sposób przetwarzają informacje o odwiedzających osobach, jak dbają o to, by goście udali się bezpośrednio do wyznaczonych miejsc itp.
Inną kwestią jest fizyczna kontrola dostępu. Organizacje powinny wdrażać nie tylko cyfrowe kontrole dostępu (jak hasła, uwierzytelnianie wieloskładnikowe, zapory ogniowe i segmentację sieci), ale też zabezpieczenia fizyczne. Tu sprawdzić się może po prostu zamek na klucz, zamek szyfrowany pin kodem, czytnik kart lub biometryczna kontrola dostępu.
Monitorowanie bezpieczeństwa fizycznego ma na celu ograniczenie dostępu do określonych miejsc bez uprawnień. Taka kontrola może odbywać się przez telewizję przemysłową lub z pomocą ochroniarza, znajdującego się w pobliżu wejścia lub obsługującego panel systemu monitoringu.
Zakładając, że przedsiębiorstwo posiada dużo sprzętu i znajduje się w obszarze o wysokim wskaźniku przestępczości, zorganizowanie środków kontroli jest rozsądnym posunięciem. W takiej sytuacji zarówno telewizja przemysłowa, jak i system monitorowania bezpieczeństwa pełnią funkcje zapobiegawczą. Pomogą odstraszyć potencjalnych włamywaczy i pomóc w zidentyfikowaniu sprawców.
Wadą kamer jest to, że można je łatwo zasłonić lub zepsuć. Dodatkowo sam materiał filmowy może ulec uszkodzeniu. Nagrania mogą zostać nadpisane i są przechowywane przez określony czas.
Należy też pamiętać o obowiązkach organizacji w zakresie prywatności. Osoby nagrywane powinny wiedzieć o tym fakcie i mieć świadomość jakie dane na ich temat są w ten sposób zbierane.
Nie każdy pracownik organizacji powinien mieć dostęp wszędzie. Do pomieszczenia, w którym przechowywane są poufne informacje lub sprzęt, dostęp powinien być ograniczony, dozwolony tylko dla osób, które muszą z nich skorzystać. Powinna obowiązywać zasada tzw. „logicznego dostępu”, bazująca na niezbędnej wiedzy.
Możesz na przykład umieścić swój zespół HR w jednej części budynku, aby przechowywać wrażliwe dane osobowe personelu oddzielnie od zespołu sprzedaży. Z podobnych powodów warto również oddzielić finanse. Upewnij się, że ograniczasz go w oparciu o zasadę niezbędnej wiedzy.
To, czego nie chcesz robić, to mieszać zespoły. Kiedy wszyscy pracownicy finansowi siedzą razem, nie ma znaczenia, czy jedna osoba patrzy na ekran drugiej i widzi poufne dane finansowe. Nie da się jednak powstrzymać przypadkowych spojrzeń, sprzedawcy siedzącego obok personelu finansowego.
Powtórzmy raz jeszcze: nawet zweryfikowani pracownicy nie powinni widzieć informacji nieistotnych dla ich pracy – zwłaszcza jeśli są to informacje wrażliwe.
Nawet jeśli jesteś małą organizacją i zatrudniasz niewielu pracowników, powinieneś wyznaczyć bezpieczną przestrzeń do pracy z wrażliwymi informacjami. Możesz też ustawić ekrany w taki sposób, aby nie było widać, nad czym dana osoba pracuje, jeśli ktoś wejdzie do biura. Dobrym rozwiązaniem może być także zastosowanie filtrów prywatyzujących na monitor.
Obecnie jest dość powszechne, że wiele różnych organizacji mieści swoje biura w tym samym budynku. To normalne, że biuro znajduje się na dziesiątym piętrze, a personel otrzymuje kartę dostępu, która umożliwia mu dostęp tylko do tego piętra i do drzwi wejściowych budynku. Lub jeśli masz gościa, zadzwonią do Ciebie z głównej recepcji, która następnie skieruje ich na właściwe piętro i poinformuje Cię, żebyś ich wpuścił.
Przeprowadzenie wewnętrznego audytu bezpieczeństwa fizycznego zdalnie jest możliwe dzięki wykorzystaniu nowoczesnych technologii. Osoba poddawana audytowi może użyć telefonu z kamerą lub laptopa, aby w czasie rzeczywistym przekazywać obraz audytorowi. Podczas audytu osoba ta będzie opisywać, gdzie się znajduje, jakimi trasami się porusza i jakie czynności wykonuje.
Wykorzystanie kamer wideo do przeprowadzenia zdalnego audytu może być również skutecznym rozwiązaniem w przypadku, gdy dostęp do obiektu jest ograniczony lub gdy organizacja zarządza wieloma lokalizacjami.
Aby zwiększyć poziom bezpieczeństwa w przypadku osób pracujących zdalnie z domu na dobry początek warto wprowadzić politykę pracy zdalnej. Powinna ona uwzględniać wytyczne, jak fizycznie zabezpieczyć sprzęt firmowy. Np.
Obecnie firmy coraz częściej korzystają z rozwiązań chmurowych. Własne serwery i serwerownie stają się rzadziej wykorzystywane. Korzystanie z usług dostawcy chmury oznacza współdzielenie ryzyka. Twoje dane mogą być zarządzane i zabezpieczane przez dostawcę, ale z prawnego punktu widzenia to Ty pozostajesz za nie odpowiedzialny.
Dlatego ważne jest, aby przed wyborem dostawcy dokładnie zrozumieć warunki umowy, w tym zasady dotyczące bezpieczeństwa i prywatności danych. Zaleca się również regularne przeprowadzanie audytów bezpieczeństwa, aby upewnić się, że procedury ochrony danych są przestrzegane i dostosowywane do zmieniających się regulacji.
Zgodnie z normą ISO 27001:2022 zarządzanie dostawcami obejmuje wiele elementów kontrolnych:
To podkreśla jego znaczenie dla ogólnego bezpieczeństwa informacji. Jeśli Twój łańcuch dostaw nie jest bezpieczny, to Ty również nie jesteś bezpieczny.
Chcesz poznać więcej szczegółów dotyczących normy ISO/IEC 27001? Sprawdź, kiedy organizujemy najbliższe szkolenia.