Zarządzanie ryzykiem i ocena ryzyka zgodnie z normą ISO 27005

Dlaczego norma zarządzania ryzykiem ISO 27005 jest kluczem do uzyskania certyfikatu ISO/IEC 27001?

Jeśli znasz ISO/IEC 27001, wiesz, że jest to międzynarodowy standard dotyczący zarządzania bezpieczeństwem informacji, określający wymagania certyfikacyjne. Norma ta jest częścią większej serii ISO 27000, która obejmuje blisko 50 standardów. Wśród nich jest norma ISO/IEC 27005, dotycząca zarządzania ryzykiem, będąca jednym z kluczowych standardów, który niestety często jest pomijany.

 

Czym jest zarządzanie ryzykiem w bezpieczeństwie informacji?

Zarządzanie ryzykiem to proces analizy, w jaki sposób organizacja może zostać dotknięta destrukcyjnym incydentem i jakie mogą być jego konsekwencje. Obejmuje to każdy scenariusz, w którym poufność, integralność i dostępność danych jest zagrożona.

Ocena tych zagrożeń pomaga w podjęciu decyzji o najlepszym sposobie zmniejszenia ryzyka do akceptowalnego poziomu.

Właściwy proces jest niezbędny, ponieważ cały system ISMS (Information Security Management System - System Zarządzania Bezpieczeństwem Informacji) kształtuje się wokół reakcji na ryzyko. Potrzebne jest dokładne oszacowanie, w jaki sposób rozegrać ryzyko, aby ustalić priorytety największych zagrożeń i przyjąć odpowiedni nadzór.

 

Co mówi norma ISO/IEC 27005 w kontekście zarządzania ryzykiem w bezpieczeństwie informacji?

Jak w przypadku każdego standardu z serii ISO 27000, norma ISO/IEC 27005 nie określa konkretnego podejścia do zarządzania ryzykiem. Dzieje się tak, dlatego, że organizacje mają własne wyzwania i muszą stawić im czoła w sposób, który im odpowiada.

Różni się to znacznie od innych popularnych standardów zarządzania ryzykiem, takich jak OCTAVE i NIST SP 800-30, które przyjmują podejście uniwersalne i są postrzegane jako ograniczające wydajność i produktywność firmy.

ISO/IEC 27005 dostarcza szczegółową, ale elastyczną metodykę, obejmującą pięć etapów:

 

1. Identyfikacja aktywów

- Identyfikacja aktywów informacyjnych: Po pierwsze, musisz zlokalizować każdą przechowywaną informację i określić, czy ona aktywem „podstawowym” czy „wspierającym”. Aktywa podstawowe to informacje lub procesy biznesowe, a aktywa pomocnicze to powiązane systemy IT, infrastruktura i zasoby ludzkie. Organizacje są zobowiązane do identyfikacji aktywów podstawowych i pomocniczych, które mogą mieć wpływ na podstawowy zasób, zazwyczaj podając szczegóły dotyczące własności, lokalizacji i funkcji zasobu.

- Identyfikacja zagrożeń: Zagrożenia są liczne i zróżnicowane i powinny być stale monitorowane, aby uwzględnić nowe i pojawiające się zagrożenia.

- Zidentyfikuj luki: Twoja organizacja będzie miała słabości w technologii, ludziach (błąd ludzki, złośliwe działania, inżynieria społeczna itp.) i w procesach, z których wszystkie muszą zostać zidentyfikowane.

- Zidentyfikuj istniejące kontrole (zabezpieczenia): W przeciwieństwie do innych metodologii oceny ryzyka, ocena ryzyka ISO/IEC 27005 wymaga od organizacji zidentyfikowania wszystkich istniejących kontroli i uwzględnienia ochrony zapewnianej przez te kontrole przed zastosowaniem nowych.

 

2. Ocena ryzyka

ISO/IEC 27005 zachęca organizacje do skoncentrowania wysiłków w odpowiedzi na największe zagrożenia, dlatego należy wykorzystać zebrane informacje o swoich zasobach, lukach i zagrożeniach, aby nadać priorytet największym zagrożeniom.

Jest na to wiele sposobów, ale najpowszechniejsze podejście obejmuje następujące równanie:

Ryzyko (risk) = (prawdopodobieństwo wystąpienia zagrożenia) x (całkowity wpływ wykorzystywanej luki)

 

3. Postępowanie z ryzykiem

Teraz, gdy znasz poziom ryzyka, jakie stwarza każde zagrożenie, musisz zdecydować, jak je potraktujesz. Dostępne są cztery opcje:

- Minimalizuj ryzyko, wprowadzając zabezpieczenia w celu zmniejszenia prawdopodobieństwa jego wystąpienia. Na przykład, możesz zaradzić ryzyku kradzieży laptopa wydanego pracownikowi, tworząc politykę, która nakazuje pracownikom bezpieczne przechowywanie urządzeń.

- Unikaj ryzyka, przerywając wszelkie działania, które je tworzą. To rozwiązanie jest właściwe, jeśli ryzyko jest zbyt duże, aby można było nim zarządzać za pomocą kontroli bezpieczeństwa. Na przykład, jeśli nie chcesz ryzykować kradzieży laptopa, możesz zakazać pracownikom korzystania z niego poza biurem. Ta opcja zmniejszy wygodę pracowników, ale drastycznie poprawi poziom bezpieczeństwa.

- Podziel się ryzykiem. Można to zrobić na dwa sposoby: zlecając działania w zakresie bezpieczeństwa innej organizacji lub kupując ubezpieczenie, zapewni środki na pokrycie powstałych szków w przypadku zamterializowania się ryzyka. Żadna z tych opcji nie jest idealna, ponieważ w ostatecznym rozrachunku jesteś odpowiedzialny za bezpieczeństwo swojej organizacji, ale mogą one być najlepszym rozwiązaniem, jeśli brakuje Ci zasobów, aby poradzić sobie z ryzykiem.

- Zaakceptuj ryzyko. Oznacza to, że Twoja organizacja akceptuje ryzyko i uważa, że koszt postępowania z ryzykiem jest większy niż szkody, które by ono spowodowało.

Wybór metody zależy od okoliczności. Unikanie ryzyka jest najskuteczniejszym sposobem zapobiegania incydentom związanym z bezpieczeństwem informacji, ale będzie to prawdopodobnie kosztowne, jeśli nie niemożliwe. Na przykład wiele zagrożeń jest wprowadzanych do organizacji przez błąd ludzki, a często nie można usunąć elementu ludzkiego z równania.

Dlatego będziesz musiał zmodyfikować większość ryzyk. Obejmuje to wybór odpowiednich mechanizmów kontroli bezpieczeństwa informacji, które są opisane w załączniku A do ISO/IEC 27001 i wyjaśnione dalej w ISO/IEC 27002.

 

4. Komunikacja

Musisz prowadzić rejestr tego, jak radzisz sobie z ryzykiem i poinformować o tym każdego, kto może być nim dotknięty.

Na przykład, jeśli zminimalizowałeś ryzyko, w taki sposób że poufne dokumenty zostaną zablokowane poprzez zastosowanie do nich kontroli dostępu, powinieneś poinformować o tym swoich pracowników. W przypadku odmowy dostępu dla pracownika, gdy ma on uzasadnioną potrzebę przeglądania informacji, wie jaka jest tego przyczyna i jakie powinien podjąć działania.

Podobnie, jeśli decydujesz się na unikanie ryzyka poprzez zaprzestanie działań, które spowodowały problem, konieczne jest przekazanie tej informacji swoim pracownikom.

 

5. Przegląd

Zarządzanie ryzykiem (i ogólnie zgodność z normą ISO 27001) jest procesem ciągłym, więc musisz regularnie monitorować swój plan zarządzania. To służy dwóm celom. Po pierwsze, umożliwia sprawdzenie, czy wybrane opcje postępowania z ryzykiem działają zgodnie z przewidywaniem. Może się okazać, że zaimplementowane zabezpieczenie nie rozwiązuje problemu tak dobrze, jak się spodziewałeś lub po prostu nie jest odpowiednie. Podobnie, być może zdecydowałeś się uniknąć części zagrożeń, ale odkryłeś, że nadal są obecne.

Po drugie, pozwala ocenić zmieniający się krajobraz zagrożeń. Pojawią się nowe zagrożenia, a istniejące mogą się zmienić, zmuszając do ponownej oceny priorytetów i podejścia do zarządzania ryzykiem.

 

Szkolenie ISO 27005

Jeżeli chcesz dowiedzieć się więcej na temat zarządzania ryzykiem w systemach zarządzania bezpieczeństwem informacji, zapraszamy do udziału w organizowanym przez ISOQAR szkoleniu. Więcej na ten temat znajdziesz na stronie.

Skontaktuj się z nami

„Zgodnie z art. 13 ust. 1 i ust. 2 ogólnego rozporządzenia o ochronie danych osobowych z dnia 27 kwietnia 2016 r. (dalej RODO) informujemy, iż Administratorem Państwa danych osobowych jest ISOQAR CEE sp. z o.o  z siedzibą w Warszawie,  adres: ul.   Wąwozowa 11,  02-796 Warszawa.  Państwa dane osobowe przetwarzane będą w celach kontaktowych niezbędnych do realizacji usługi, zgodnie z obowiązującymi przepisami prawa na podstawie art. 6 ust. 1 lit. f RODO.„

>>Wyrażam zgodę na przetwarzanie moich danych osobowych przez ISOQAR CEE sp. z o.o jako administratora danych osobowych, w celach otrzymywania informacji handlowych i marketingowych wysyłanych na podany adres e-mail na podstawie art. 6 ust. 1 lit. a RODO. Więcej informacji w Polityka prywatności

Polityka prywatności

Klauzula informacyjna w zakresie przetwarzania danych osobowych na potrzeby newsletter

W związku z obowiązywaniem od dnia 25 maja 2018 r. rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (Dz. Urz. UE L 119, str. 1), zwanego dalej „rozporządzeniem RODO”, informujemy, że:

  1. Administratorem Pani/Pana danych osobowych jest ISOQAR CEE sp. z o.o  z siedzibą w Warszawie,  adres: ul.   Wąwozowa 11,  02-796 Warszawa, NIP 9512091016, wpisana do Krajowego Rejestru Sądowego prowadzonego  przez Sąd Rejonowy w dla m.st. Warszawy, XIII Wydział Gospodarczy Krajowego Rejestru Sądowego pod numerem KRS: 0000178492, 

  2. Administrator wyznaczył Inspektora Ochrony Danych Krzysztofa Radtke, z którym można się skontaktować drogą elektroniczną: iod@isoqar.pl

  3. Pani/Pana dane osobowe będą przetwarzane w celach wysyłki i otrzymywania newslettera.

  4. Przetwarzanie Pani/Pana danych osobowych odbywać się będzie na podstawie wyrażonej przez Panią/Pana zgody (podstawa prawna: art. 6 ust. 1 lit. a Rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE RODO

  5. Pani/Pana dane osobowe będą przetwarzane do czasu cofnięcia przez Panią/Pana zgody. 

  6. Odbiorcą Pani/Pana danych osobowych będą podmioty, którym Administrator zleca wykonywanie czynności, z którymi wiąże konieczność przetwarzania danych (podmioty przetwarzające) oraz podmioty publiczne na podstawie odrębnych przepisów prawa. 

  7. W związku z przetwarzaniem danych osobowych przysługuje Pani/Panu prawo dostępu do treści danych, ich sprostowania, usunięcia, ograniczenia ich przetwarzania oraz prawo do wniesienia sprzeciwu wobec przetwarzania danych osobowych. 

  8. Ma Pani/Pan prawo do cofnięcia zgody na przetwarzanie Pani/Pana danych w dowolnym momencie bez wpływu na zgodność z prawem przetwarzania, którego dokonano na podstawie zgody przed jej cofnięciem.

  9. W przypadku uznania, że przetwarzanie przez Administratora Pani/Pana danych osobowych narusza przepisy Rozporządzenia ma Pani/Pan prawo wnieść skargę do Prezesa Urzędu Ochrony Danych Osobowych (PUODO). 

  10. Podanie przez Panią/Pana danych osobowych jest dobrowolne, jednak jest warunkiem wysyłki newslettera.

  11. Pani/Pana dane osobowe nie będą przetwarzane w sposób zautomatyzowany, nie będą poddawane profilowaniu.

  12. Pani/Pana dane osobowe mogą być przekazywane do państwa trzeciego (UK).

Klauzula informacyjna zapytanie ofertowe

Zgodnie z art. 13 ust. 1 i ust. 2 ogólnego rozporządzenia o ochronie danych osobowych z dnia 27 kwietnia 2016 r. (dalej RODO) informuję, iż:

1. Administratorem Pani/Pana danych osobowych jest ISOQAR CEE sp. z o.o  z siedzibą w Warszawie,  adres: ul.   Wąwozowa 11,  02-796 Warszawa, NIP 9512091016, wpisana do Krajowego Rejestru Sądowego prowadzonego  przez Sąd Rejonowy w dla m.st. Warszawy, XIII Wydział Gospodarczy Krajowego Rejestru Sądowego pod numerem KRS: 0000178492, 

2. Administrator wyznaczył Inspektora Ochrony Danych Krzysztofa Radtke, z którym można się skontaktować drogą elektroniczną:  iod@isoqar.pl

3. Pani/Pana dane osobowe przetwarzane będą w celu:

•             odpowiedzi na zapytanie ofertowe na podstawie art. 6 ust. 1 lit. f RODO

więcej informacji pod linkiem

•             kontaktu w celu przekazania informacji marketingowych i handlowych na podstawie art. 6 ust. 1 lit. a RODO

•             w celu realizacji prawnie uzasadnionego interesu Spółki, polegającego na ewentualnym ustaleniu lub dochodzeniu roszczeń lub obronie przed roszczeniami, na podstawie prawnie uzasadnionego interesu Spółki (art. 6 ust. 1 lit. f RODO).

4. Odbiorcą Pani/Pana danych osobowych będą wspólnicy i pracownicy Administratora w zakresie swoich obowiązków służbowych na podstawie upoważnienia.

5. Pani/Pana dane osobowe nie będą przekazywane do państwa trzeciego ani organizacji międzynarodowej;

6. Pani/Pana dane osobowe będą przechowywane do czasu zakończenia współpracy lub do czasu cofnięcia przez Pani/Pana zgody.

7. Posiada Pani/Pan prawo dostępu do treści swoich danych oraz prawo ich sprostowania, usunięcia, ograniczenia przetwarzania, prawo do przenoszenia danych, prawo wniesienia sprzeciwu, prawo do przenoszenia danych.

8. Ma Pan/Pani prawo wniesienia skargi do organu nadzorczego- Urzędu Ochrony Danych Osobowych, gdy uzna Pani/Pan, iż przetwarzanie danych osobowych Pani/Pana dotyczących narusza przepisy ogólnego rozporządzenia o ochronie danych osobowych z dnia 27 kwietnia 2016 r.;

9. Podanie przez Pana/Panią danych osobowych jest dobrowolne, jednak konieczne w celu realizacji przedmiotu umowy/ jest konieczne w związku z przepisami szczególnymi ustawy (przetwarzanie danych osobowych jest wymogiem ustawowym). W przypadku niewyrażenia zgody na przetwarzanie danych osobowy, Administrator może zrezygnować z zawarcia umowy.

10. Pani/Pana dane nie będą przetwarzane w sposób zautomatyzowany w tym również w formie profilowania tzn. żadne decyzje wywołujące wobec osoby skutki prawne lub w podobny sposób na nią istotnie wpływające nie będą oparte wyłącznie na automatycznym przetwarzaniu danych osobowych i nie wiążą się z taką automatycznie podejmowaną decyzją.