Securitatea informației și controlul riscurilor

O solicitare de ofertă, un fișier tehnic transmis unui subcontractant sau accesul unui fost angajat la o aplicație pot produce efecte mai mari decât pare la prima vedere. Securitatea informației nu se referă doar la atacuri cibernetice spectaculoase. Ea privește modul în care organizația își protejează datele, documentele, sistemele, cunoștințele și capacitatea de a-și continua activitatea atunci când apare un incident.

Pentru administratori și manageri, miza este concretă: respectarea cerințelor contractuale, păstrarea încrederii clienților, limitarea timpilor de întrerupere și demonstrarea unui control real asupra informațiilor sensibile. În multe industrii, de la construcții și logistică până la IT, sănătate sau administrație publică, partenerii solicită tot mai des dovezi că riscurile informaționale sunt gestionate în mod sistematic.

Ce acoperă securitatea informației

În sens larg, securitatea informației urmărește trei obiective: confidențialitatea, integritatea și disponibilitatea informațiilor. Confidențialitatea înseamnă că datele sunt accesibile numai persoanelor autorizate. Integritatea presupune că informațiile sunt corecte, complete și protejate împotriva modificărilor neautorizate. Disponibilitatea se referă la accesul la informații și sisteme atunci când acestea sunt necesare pentru activitatea organizației.

Aceste principii se aplică atât documentelor electronice, cât și celor pe suport hârtie, conversațiilor, mediilor de stocare, echipamentelor, aplicațiilor și serviciilor furnizate din exterior. O listă de salarii, un proiect tehnic, datele personale ale angajaților, planurile unei investiții, credențialele de acces sau baza de date a clienților au niveluri diferite de sensibilitate, dar toate trebuie administrate în funcție de riscul asociat.

Un risc nu apare exclusiv printr-un atac extern. Eroarea umană, transmiterea greșită a unui e-mail, lipsa copiilor de siguranță, drepturile de acces prea largi, furtul unui laptop sau indisponibilitatea unui furnizor pot avea consecințe comparabile. De aceea, o abordare eficientă nu începe cu achiziția unei tehnologii, ci cu înțelegerea informațiilor care contează pentru organizație și a situațiilor în care acestea pot fi compromise.

Securitatea informației ca proces de management

Un sistem de management al securității informației transformă preocupările punctuale într-un proces repetabil. Conducerea stabilește direcția, definește roluri și alocă resurse. Organizația identifică riscurile, selectează măsuri de tratare, verifică eficacitatea acestora și corectează neconformitățile sau vulnerabilitățile identificate.

ISO/IEC 27001 este standardul internațional care stabilește cerințele pentru un astfel de sistem de management. Standardul nu impune o soluție tehnică unică și nici nu tratează toate organizațiile la fel. O companie cu o singură locație și câteva aplicații poate avea un sistem proporțional cu activitatea sa, în timp ce o organizație multisite, cu infrastructură critică, furnizori numeroși sau cerințe contractuale complexe va avea nevoie de un domeniu și de controale mai extinse.

Analiza de risc este punctul central. Organizația trebuie să stabilească ce active informaționale are, ce amenințări și vulnerabilități sunt relevante, ce consecințe pot apărea și ce nivel de risc acceptă. Pe această bază, selectează controale și justifică aplicabilitatea lor. Anexa A din ISO/IEC 27001:2022 grupează 93 de controale în patru teme: organizaționale, privind factorul uman, fizice și tehnologice. Aceste controale nu se aplică mecanic, ci în funcție de rezultatele evaluării riscurilor și de obligațiile aplicabile.

De exemplu, autentificarea multifactor poate fi esențială pentru accesul la sisteme care conțin date sensibile. În alt caz, problema prioritară poate fi controlul accesului vizitatorilor într-o zonă de producție, gestionarea furnizorilor de cloud sau testarea periodică a restaurării copiilor de siguranță. Măsurile devin credibile atunci când sunt susținute de responsabilități clare, instruire, evidențe și verificări periodice.

Politicile singure nu sunt suficiente

O politică de securitate redactată corect nu reduce, prin ea însăși, riscul. Ea trebuie înțeleasă și aplicată în procesele curente. Dacă procedura prevede aprobarea accesului, auditorul va urmări dacă aprobarea există, dacă accesul este retras la încetarea raportului de muncă și dacă nivelul de autorizare corespunde rolului persoanei.

Aceeași logică se aplică furnizorilor. Contractele, acordurile de confidențialitate, cerințele de securitate, evaluarea serviciilor externalizate și notificarea incidentelor pot fi relevante, mai ales când un partener prelucrează date sau administrează sisteme în numele organizației. Controlul nu înseamnă eliminarea colaborării externe, ci definirea responsabilităților și verificarea lor într-o măsură proporțională cu riscul.

Cum se pregătește o organizație pentru ISO/IEC 27001

Pregătirea are rezultate mai bune când este tratată ca un proiect de management, nu ca o sarcină izolată a departamentului IT. În primul rând, organizația definește domeniul sistemului de management: locațiile, procesele, aplicațiile, serviciile și activitățile acoperite. Un domeniu prea restrâns poate să nu răspundă cerințelor unui client sau realității operaționale, iar unul prea larg poate fi dificil de administrat fără resurse suficiente.

Apoi sunt identificate părțile interesate și cerințele relevante. Acestea pot include clauze contractuale, cerințe legale, obligații de confidențialitate, cerințe ale autorităților, reguli interne sau condiții impuse de un client corporativ. Organizația stabilește metodologia de evaluare a riscurilor, desemnează proprietarii activelor și ai riscurilor și documentează deciziile de tratare.

Urmează implementarea măsurilor alese și producerea dovezilor de funcționare. Pot fi necesare registre de acces, rezultate ale instruirilor, evaluări ale furnizorilor, rapoarte privind incidentele, teste ale planurilor de continuitate, rezultate ale copiilor de siguranță sau verificări ale echipamentelor. Tipul și nivelul documentării depind de complexitatea organizației, dar informațiile trebuie să fie suficiente pentru a demonstra controlul și îmbunătățirea.

Înaintea certificării, organizația trebuie să efectueze audituri interne și o analiză efectuată de management. Aceste activități nu sunt formalități. Ele ajută conducerea să înțeleagă dacă sistemul funcționează, ce neconformități există, ce resurse lipsesc și ce măsuri trebuie prioritizate. Un incident sau o neconformitate identificată intern și tratată corespunzător poate deveni o sursă utilă de învățare.

Ce verifică auditul de certificare

Auditul de certificare este o evaluare independentă a conformității sistemului de management cu cerințele standardului și cu propriile reguli stabilite de organizație. În mod obișnuit, auditul inițial include Stage 1, în care se evaluează nivelul de pregătire și elementele esențiale ale sistemului, urmat de Stage 2, în care se verifică aplicarea efectivă a acestuia.

Auditorii analizează documente, discută cu personalul relevant și urmăresc dovezi din activitatea curentă. Ei nu proiectează sistemul în locul organizației și nu oferă consultanță de implementare. Separarea dintre certificare și consultanță protejează imparțialitatea evaluării: organismul de certificare trebuie să poată formula o decizie obiectivă, bazată pe dovezi.

Certificarea nu reprezintă o garanție că organizația nu va avea niciodată un incident de securitate. Ea arată că există un sistem evaluat pentru gestionarea riscurilor, că acesta îndeplinește cerințele aplicabile ale standardului în domeniul certificat și că este menținut prin audituri periodice de supraveghere. Dacă apar neconformități, acestea trebuie analizate și tratate înainte ca decizia de certificare să poată fi susținută.

Certificare, acreditare și consultanță: diferențe necesare

Certificarea este confirmarea, de către un organism independent, că sistemul de management al unei organizații este conform cu un standard într-un domeniu definit. Acreditarea este recunoașterea competenței unui organism de certificare de către organismul național de acreditare, pentru activitățile și schemele incluse în domeniul său de acreditare. Consultanța, în schimb, presupune sprijin direct pentru proiectarea sau implementarea soluțiilor organizației.

Pentru organizațiile care solicită ISO/IEC 27001, este esențial să verifice statutul și domeniul acreditării organismului ales, precum și condițiile aplicabile certificării. În România, UNICERT se află în proces de extindere a acreditării RENAR pentru ISO/IEC 27001. Comunicarea clară a acestui statut ajută organizațiile să ia decizii informate, în special atunci când certificarea este solicitată în contracte, relații cu parteneri sau proceduri de achiziție.

Valoarea unei certificări depinde de competența evaluării, de independența deciziei și de relevanța domeniului certificat pentru activitatea reală a organizației. Un certificat trebuie citit împreună cu domeniul său de aplicare: acesta indică procesele, locațiile sau serviciile acoperite, nu o validare generală a tuturor activităților unei companii.

O decizie care trebuie susținută în timp

Securitatea informației nu se rezolvă printr-un set de documente pregătite pentru audit. Procesele se schimbă, apar furnizori noi, angajații își modifică rolurile, iar amenințările evoluează. Auditul de supraveghere, monitorizarea indicatorilor, analiza incidentelor și revizuirea riscurilor permit sistemului să rămână conectat la activitatea reală.

Pentru o organizație, întrebarea utilă nu este doar dacă poate obține certificarea, ci dacă poate demonstra consecvent că își cunoaște informațiile esențiale, riscurile și responsabilitățile. De aici începe încrederea pe care clienții, partenerii și propriii angajați o pot verifica în practică.