Configurare controale ISO 27001 în practică

O configurare controale ISO 27001 bine realizată nu începe cu copierea unei liste de politici sau cu achiziția unor soluții tehnice. Începe cu întrebarea concretă: ce informații trebuie protejate, unde se află acestea, cine le utilizează și ce consecințe ar avea compromiterea lor? Pentru un administrator sau un manager de securitate, răspunsul trebuie să producă măsuri funcționale, asumate și verificabile, nu doar documente pregătite pentru audit.

ISO/IEC 27001 stabilește cerințele pentru un sistem de management al securității informației. Controalele din Anexa A susțin tratarea riscurilor, însă nu sunt o rețetă identică pentru toate organizațiile. O companie de dezvoltare software, un operator logistic, o instituție publică și un producător industrial pot avea active, obligații legale și scenarii de risc foarte diferite. De aceea, selecția și configurarea controalelor trebuie să fie proporționale cu contextul organizației.

Ce înseamnă configurarea controalelor ISO 27001

În ediția ISO/IEC 27001:2022, Anexa A include 93 de controale, grupate în patru teme: organizaționale, privind persoanele, fizice și tehnologice. Acestea acoperă subiecte precum controlul accesului, gestionarea furnizorilor, răspunsul la incidente, copiile de siguranță, securitatea fizică, dezvoltarea securizată și protecția informațiilor în relația de muncă.

Configurarea nu înseamnă aplicarea automată a tuturor controalelor în aceeași formă. Organizația trebuie să stabilească ce controale sunt necesare pentru riscurile identificate, ce măsuri suplimentare sunt justificate și cum va demonstra funcționarea lor. Uneori, un control din Anexa A poate fi neaplicabil. Această decizie trebuie argumentată, nu omisă pur și simplu.

Un exemplu simplu este controlul privind munca la distanță. Pentru o organizație în care angajații lucrează exclusiv din locații controlate, riscurile pot fi mai reduse, dar nu dispar: accesul administrativ, utilizarea dispozitivelor mobile sau accesarea e-mailului din exterior pot rămâne relevante. În schimb, o firmă cu echipe distribuite va avea nevoie, de regulă, de reguli mai detaliate privind accesul, autentificarea, echipamentele, conexiunile și raportarea incidentelor.

Porniți de la domeniul sistemului și de la risc

Primul punct de control este domeniul sistemului de management al securității informației. Acesta trebuie să arate clar ce entități, locații, procese, servicii, informații și tehnologii sunt incluse. Un domeniu formulat prea larg poate face implementarea dificil de susținut. Un domeniu prea restrâns poate exclude procese care influențează în mod real securitatea informației.

Apoi, organizația identifică activele relevante: informații ale clienților, date cu caracter personal, contracte, documentație tehnică, aplicații, infrastructură, echipamente, servicii cloud, persoane și cunoștințe critice. Pentru fiecare activ, evaluarea riscurilor urmărește amenințările, vulnerabilitățile, probabilitatea și impactul. Metoda aleasă trebuie să fie consecventă și suficient de clară pentru a permite prioritizarea deciziilor.

Nu există o singură matrice de risc obligatorie. O organizație mică poate utiliza o metodă simplă, bine definită, în timp ce un grup multisite sau un furnizor de servicii IT poate avea nevoie de criterii mai detaliate. Ceea ce contează la audit este legătura logică dintre risc, opțiunea de tratare, controlul selectat, responsabil și dovada aplicării.

Declarația de aplicabilitate: documentul care leagă deciziile

Declarația de aplicabilitate, cunoscută frecvent ca Statement of Applicability sau SoA, este documentul central pentru configurarea controalelor. Ea nu este doar un tabel cu „da” și „nu”. Pentru fiecare control relevant, organizația trebuie să indice dacă este aplicabil, motivul includerii sau excluderii, modul de implementare și, după caz, documentele sau dovezile asociate.

O SoA utilă permite conducerii și auditorilor să urmărească firul deciziei. Dacă un risc privind accesul neautorizat este tratat prin autentificare multifactor, revizuirea drepturilor de acces și reguli de parole, documentația trebuie să arate cine administrează măsurile, ce sisteme sunt acoperite, cât de des se verifică și ce se întâmplă când apar abateri.

Evitați două extreme frecvente. Prima este declararea tuturor controalelor ca aplicabile, fără o explicație reală privind implementarea. A doua este excluderea unor controale doar pentru a reduce volumul de activități. Ambele pot indica o analiză insuficientă a riscurilor. Un control poate fi exclus numai atunci când excluderea este justificată și nu afectează capacitatea organizației de a proteja informațiile și de a îndeplini cerințele aplicabile.

Cum se traduc controalele în practică

Controalele devin credibile atunci când sunt integrate în activitatea curentă. O politică de control al accesului, de exemplu, nu este suficientă dacă nu există fluxuri pentru aprobarea conturilor, modificarea drepturilor la schimbarea rolului, dezactivarea conturilor la plecare și revizuirea periodică a accesului privilegiat.

Pentru configurare controale ISO 27001, este util să se stabilească pentru fiecare măsură patru elemente: scopul, proprietarul controlului, frecvența aplicării și dovada obiectivă. Dovezile pot include înregistrări de instruire, jurnale de sistem, rapoarte de testare a restaurării copiilor de siguranță, procese-verbale de revizuire, registre de incidente sau rezultate ale evaluării furnizorilor.

În mod normal, controalele necesită colaborare între mai multe funcții. Responsabilul de securitate a informației poate coordona sistemul, dar resursele umane gestionează aspecte legate de personal, achizițiile evaluează relațiile cu furnizorii, IT-ul administrează măsurile tehnice, iar managerii de proces acceptă și tratează riscurile din zonele lor. Conducerea trebuie să asigure resursele, să stabilească responsabilități și să analizeze performanța sistemului.

Patru zone care necesită atenție constantă

• Accesul la informații și sisteme trebuie acordat pe baza necesității de serviciu, revizuit și retras la timp. Conturile partajate sau drepturile administrative excesive creează riscuri greu de urmărit.
• Furnizorii și serviciile cloud trebuie evaluați în funcție de informațiile procesate, dependența operațională, cerințele contractuale și capacitatea lor de a gestiona incidentele.
• Copiile de siguranță și continuitatea trebuie testate, nu doar planificate. O copie de siguranță nerecuperabilă nu oferă protecția presupusă.
• Gestionarea incidentelor trebuie să includă canale de raportare, criterii de escaladare, responsabilități, lecții învățate și păstrarea informațiilor relevante pentru analiză.

Măsuri proporționale, nu controale decorative

Nivelul de complexitate trebuie să urmeze riscul. O organizație cu zece angajați nu are întotdeauna nevoie de aceeași arhitectură tehnică sau de aceeași cantitate de documentație ca un operator cu sute de utilizatori și servicii disponibile permanent. Totuși, dimensiunea redusă nu justifică lipsa controalelor esențiale: inventarierea activelor, accesul autorizat, instruirea personalului, copiile de siguranță, actualizarea sistemelor și reacția la incidente rămân necesare acolo unde riscul o cere.

În organizațiile multisite, provocarea este menținerea aplicării uniforme. O regulă centrală privind clasificarea informațiilor poate fi adecvată, însă modul de etichetare, arhivare și eliminare a documentelor trebuie să funcționeze în fiecare locație. Diferențele locale sunt acceptabile dacă sunt controlate, documentate și nu contrazic obiectivele sistemului.

Automatizarea poate ajuta la administrarea accesului, monitorizare sau inventarierea activelor, dar nu înlocuiește responsabilitatea. Un instrument configurat greșit poate produce o aparență de control, fără rezultate reale. De aceea, testarea, revizuirea și analiza abaterilor sunt la fel de relevante ca alegerea soluției tehnice.

Pregătirea pentru auditul de certificare

Auditul de certificare analizează dacă sistemul de management este conform cerințelor standardului și dacă este implementat și menținut eficace. Auditorii vor urmări traseul dintre context, evaluarea riscurilor, planul de tratare, Declarația de aplicabilitate, proceduri, înregistrări și rezultatele monitorizării. Ei discută cu persoanele implicate și verifică modul în care controalele funcționează în activitatea reală.

Înainte de audit, organizația are nevoie de audit intern și de analiză efectuată de management. Aceste activități nu sunt formalități. Auditul intern poate identifica neconformități, dovezi insuficiente sau controale aplicate neuniform, iar analiza de management permite luarea deciziilor privind resursele, schimbările, riscurile reziduale și oportunitățile de îmbunătățire.

Este utilă și verificarea coerenței documentare: domeniul sistemului, metodologia de risc, registrul riscurilor, planul de tratare și SoA trebuie să utilizeze aceleași premise. Neconcordanțele apar des atunci când documentele sunt actualizate separat sau când organizația a introdus servicii, locații ori furnizori noi fără reevaluarea riscurilor.

UNICERT dezvoltă activitatea de certificare ISO/IEC 27001, în contextul extinderii acreditării pentru acest standard. În orice proces de certificare, separarea dintre implementare și evaluarea independentă este esențială: organismul de certificare auditează conformitatea și nu preia rolul organizației de a proiecta sau opera propriile controale.

O configurare matură a controalelor se vede atunci când oamenii știu ce au de făcut, managerii înțeleg riscurile acceptate, iar dovezile reflectă activitatea curentă. Acesta este punctul de plecare pentru un sistem de securitate a informației care poate susține încrederea clienților, cerințele contractuale și deciziile organizației pe termen lung.