Šta bi trebali da znate o ISO 27001:2013

Potreba za upravljanjem bezbednošću informacija postala je ne samo delom i zakonska obaveza poslovnih subjekata, već i pitanje opšte dugotrajne i stabilne funkcionalnosti svake organizacije. Kako je u zadnjih 20-tak godina informacija postala jedna od najtraženijih „roba“ na tržištu, posebno zbog dominantnog elektronskog oblika obrade, prenosa i pohranjivanja informacija.

Kao početak problema borbe za informaciounu bezbednost treba odmah razjasniti šta se podrazumeva pod pojmom informacija. U raznoj literaturi se sreće niz definicija koje su manje ili više slične, ali za ove potrebe može se pojednostavljeno reći da je „informacija svaki podatak koji ima neku vrednost za onoga ko ga zna“. Kako je fizički sama informacija „apstraktna stvar“, teško se može uporediti sa klasičnim materijalnim sredstvima za koja je relativno jednostavno organizovati čuvanje i zaštitu.

Svaka informacija se:

• čuva u nekom obliku (zapis na papiru, na CD/DVD medijima, tvrdim diskovima, u glavama – pamćenju zaposlenih i partnera, itd);
• prenosi (telefoni, telefaksi, kompjuterske mreže, pisma, itd);
• obrađuje (u kompjuteru, kod partnera, ručnim manipulacijam zaposlenih, itd), te daje na upotrebu raznim korisnicima.

To upućuje na činjenicu, da ako se uvedu određene kontrole na oblike prenosa, čuvanja, obrade i distribucije informacija, posredno će biti i informacija zaštićena.

Sam ISO 27001 je  kompatabilan sa standardom ISO 9001.  Pojedini zahtevi standarda su isti. U tom pravcu u ovom standardu je jasno istaknut i model  standarda kroz P-D-C-A ciklus stalnog unapređenja.

PLAN
Na osnovu zahteva korisnika i kroz uspostavljanje politike ISMS organizacija ulazi u fazu uspostavljanja odnosno planiranja sistema za upravljanje bezbednošću informacija. U ovoj fazi se sprovode i aktivnosti na definisanju kriterijuma za ocenu rizika, definiše se prilaz i metodologija za ocenu rizika, definišu nivoi prihvatljivosti rizika i dr.

DO
Sledeća faza je sprovođenje planiranog odnosno akcije na primeni prethodno odabranih upravljačkih mehanizama i ciljeva, izrada, uvođenje i primena plana snižavanja rizika, obuka za ostvarivanje svesti o primeni ISMS, upravljanje resursima ISMS i dr.

CHECK
Treća faza je preispitivanja ISMS-a na osnovu definisanih procedura za preispitivanje, merenje efektivnosti upravljačkih mehanizama, sprovođenja internih provera, ažuriranje planova za snižavanje rizika i dr.

ACT
Kao završna faza u ovom kontinualnom ciklusu poboljšavanja egzistira faza održavanja i poboljšavanja ISMS-a koja se sprovodi kroz uvođenje poboljšavanja, preuzimanje korektivnih i definisanju preventivnih mera, provera da li su sprovedena poboljšanja održiva i dr.

U standardu ISO 27001  se kaže da je “Informacija imovina koja kao i ostala važna imovina u poslovanju ima vrednost za organizaciju i mora biti stalno odgovarajuće štićena.”

Upravo taj standard ISO 27001 definiše šta bi sve organizacija trebala da preduzme da bi se osiguralo štićenje, odnosno zaštita informacija. U samom standardu ISO27001:2013 definisano je  114 kontrola u 14 grupa, čime se sveobuhvatno, na današnjem nivou saznanja i tehnologije predlaže šta bi se sve trebalo preduzimati u cilju zaštite informacija.