ISMS, od engleskog Information Security Management System, sustav je upravljanja informacijskom sigurnošću. To je okvir politika, procesa, odgovornosti i kontrola kojim tvrtka sustavno štiti povjerljivost, cjelovitost i dostupnost svojih informacija. Ključna riječ je sustav. ISMS nije zbirka alata ni mapa dokumenata, nego način rada u kojem se zna što se štiti, zašto, tko je odgovoran i kako se provjerava da zaštita stvarno djeluje. Standard koji propisuje zahtjeve za ISMS je ISO/IEC 27001:2022,1 pa se certifikat zapravo dodjeljuje za ispravno postavljen i održavan ISMS, a ne za pojedinačne tehničke kontrole.
Za reguliranu hrvatsku tvrtku, dakle za financijsku instituciju, pružatelja zdravstvenih usluga, operatera kritične infrastrukture ili SaaS tvrtku, ISMS rješava konkretan problem. Sigurnosna ulaganja često rastu nasumično: kupi se vatrozid, doda antivirus, uvede sigurnosna kopija, ali nitko ne može pokazati da to pokriva stvarne rizike niti tko za što odgovara. ISMS tomu daje strukturu i mjerljivost. Istodobno je sve traženiji kao dokaz. Subjekti pod NIS2 i Zakonom o kibernetičkoj sigurnosti moraju dokazati da rizicima upravljaju sustavno, a uspostavljen ISMS je upravo takav dokaz.
Ovo je dio našeg pregleda sigurnosnog programa. Uspostavu i održavanje ISMS-a vodimo kroz upravljanje, rizik i usklađenost.
Zašto je ISMS sustav, a ne skup dokumenata
Najčešća zabluda je da ISMS znači napisati politike i spremiti ih u mapu. Dokumenti su samo zapis odluka, a ne sam sustav. ISMS je sustav jer povezuje elemente u zatvorenu petlju: rizici određuju kontrole, kontrole se provode i mjere, a rezultati mjerenja vraćaju se u nove odluke o rizicima. Politika koju nitko ne provodi i procjena rizika koja se ne ažurira nisu ISMS, nego papir.
Razlika je vidljiva u praksi. Tvrtka sa skupom dokumenata na pitanje tko je odgovoran za upravljanje pristupom često nema odgovor, ili odgovor postoji samo na papiru. Tvrtka s ISMS-om ima imenovanu odgovornu osobu, definiran proces dodjele i oduzimanja pristupa, zapis o tome kada je pristup zadnji put pregledan i mjeru koja pokazuje koliko je neaktivnih računa ostalo otvoreno. Sustav živi jer ima vlasnike, ulazne podatke i provjere.
Ova razlika određuje i kako sustav podnosi promjene. Tvrtka se mijenja: zapošljava ljude, uvodi nove usluge, mijenja dobavljače i seli sustave u oblak. U skupu dokumenata svaka takva promjena ostaje nezabilježena, pa dokumentacija polako zastarijeva i prestaje odgovarati stvarnosti. U ISMS-u promjena pokreće reviziju procjene rizika i kontrola, jer su procesi za to unaprijed definirani. Sustav se time prilagođava, a ne stari.
ISMS koji se ne mjeri i ne pregledava nije sustav upravljanja, nego arhiva dobrih namjera.
ISO/IEC 27001:2022 kao okvir
ISO/IEC 27001:2022 je međunarodna norma koja propisuje zahtjeve za uspostavu, provedbu, održavanje i stalno poboljšanje ISMS-a.1 Norma ne govori koje točno alate kupiti, nego što sustav upravljanja mora sadržavati: definiran opseg, vodstvo i predanost uprave, planiranje temeljeno na rizicima, potrebne resurse, provedbu kontrola, mjerenje učinkovitosti i poboljšanje. Glavni dio norme, klauzule 4 do 10, opisuje sam sustav i te su klauzule obvezne.
Uz glavni dio dolazi Dodatak A (Annex A), katalog od 93 referentne kontrole organizirane u četiri teme: organizacijske, ljudske, fizičke i tehnološke. Detaljne upute za te kontrole daje prateća norma ISO/IEC 27002:2022. Važno je razumjeti odnos: glavni dio norme propisuje sustav, a kontrole Dodatka A su katalog mjera iz kojega tvrtka bira one koje smanjuju njezine rizike. Kontrole nisu sve obvezne. Izbor i obrazloženje izostavljanja dokumentiraju se u Izjavi o primjenjivosti.
Ciklus Planiraj-Provedi-Provjeri-Djeluj (PDCA)
ISMS se temelji na ciklusu Planiraj-Provedi-Provjeri-Djeluj, poznatom kao PDCA. To je razlog zašto sigurnost nije projekt s krajem, nego proces koji se ponavlja. U fazi planiranja određuju se opseg i rizici te biraju kontrole. U fazi provedbe kontrole se uvode i dodjeljuju odgovornosti. U fazi provjere mjeri se djeluju li kontrole i provodi interni audit. U fazi djelovanja uklanjaju se nedostaci i sustav se prilagođava promjenama.
Posljedica ciklusa je da se certifikat ne dodjeljuje trajno. Certifikacijsko tijelo provodi nadzorne audite, obično jednom godišnje, te recertifikaciju otprilike svake tri godine. ISMS koji se postavi i zaboravi pada na prvom nadzornom auditu jer revizor traži dokaze da ciklus stvarno teče: zapise o internim auditima, mjerenjima, incidentima i poboljšanjima nastalim u proteklom razdoblju.
Ključni gradivni elementi ISMS-a
ISMS se sastoji od nekoliko temeljnih elemenata koji se grade redom. Svaki proizlazi iz prethodnog, pa preskakanje koraka ostavlja rupe koje revizor i napadač jednako lako pronađu. Niže su elementi opisani kao proces, od definiranja granica do pregleda uprave.
- 01OpsegOdredite jasnu granicu što ISMS pokriva: koje lokacije, sustavi, usluge i organizacijske jedinice ulaze, a što je izvan opsega. Preuzak opseg ostavlja rizike nepokrivenima, preširok otežava održavanje.
- 02Politika informacijske sigurnostiUprava odobrava krovnu politiku koja postavlja ciljeve sigurnosti i predanost vodstva. Ona daje mandat svemu ostalome i mora biti stvarno usvojena, ne formalna.
- 03Procjena rizikaProvedite procjenu rizika po dosljednoj metodologiji: utvrdite imovinu, prijetnje, ranjivosti i posljedice te ocijenite vjerojatnost i učinak. Ovo je temelj svih odluka o kontrolama.
- 04Plan tretmana rizikaZa svaki rizik odlučite kako postupate: smanjiti, prihvatiti, prenijeti ili izbjeći. Za smanjenje odaberite kontrole iz Dodatka A i odredite vlasnike i rokove.
- 05Izjava o primjenjivosti (SoA)Dokumentirajte koje kontrole iz Dodatka A primjenjujete, koje ne i zašto. SoA povezuje rizike s kontrolama i revizori je gledaju među prvima.
- 06Provedba kontrola Dodatka AUvedite odabrane organizacijske, ljudske, fizičke i tehnološke kontrole i osigurajte da se stvarno primjenjuju u svakodnevnom radu.
- 07Mjerenje učinkovitostiDefinirajte mjere koje pokazuju djeluju li kontrole, primjerice udio zakrpanih sustava ili vrijeme rješavanja incidenta. Bez mjerenja nema dokaza o učinkovitosti.
- 08Interni auditNeovisno provjerite je li ISMS usklađen s normom i vlastitim pravilima te djeluje li u praksi. Nalazi pokreću ispravke prije vanjskog audita.
- 09Pregled upraveUprava periodično pregledava rad ISMS-a: rizike, nalaze audita, incidente i mjere, te odlučuje o resursima i poboljšanjima. Time se zatvara ciklus.
Uloge i odgovornosti
ISMS ne funkcionira bez jasnih uloga. Uprava nosi krajnju odgovornost, daje mandat i osigurava resurse, što norma izričito traži kao vodstvo i predanost. Vlasnik ISMS-a, često voditelj informacijske sigurnosti ili virtualni CISO, koordinira sustav i izvještava upravu. Vlasnici rizika i kontrola su osobe iz poslovnih i tehničkih odjela koje stvarno upravljaju pojedinim područjem.
Česta zamka je delegiranje cijelog ISMS-a jednoj osobi u IT-u bez stvarnih ovlasti. Takav ISMS ostaje na papiru jer odgovorna osoba ne može nametnuti promjene drugim odjelima. Funkcionalan ISMS razdvaja odgovornost za rezultat, koju nosi uprava, od operativnog vlasništva nad pojedinim kontrolama, koje nose ljudi koji ta područja stvarno vode.
| Uloga | Glavna odgovornost |
|---|---|
| Uprava | Krajnja odgovornost, mandat, resursi i pregled uprave. |
| Voditelj informacijske sigurnosti (CISO) | Koordinacija ISMS-a, izvještavanje uprave, vođenje ciklusa. |
| Vlasnici rizika | Odluke o tretmanu pojedinih rizika u svom području. |
| Vlasnici kontrola | Provedba i održavanje dodijeljenih kontrola u praksi. |
| Interni auditor | Neovisna provjera usklađenosti i učinkovitosti sustava. |
Kontinuirano poboljšanje
Kontinuirano poboljšanje je zahtjev norme, ne dobra praksa po izboru. Izvori poboljšanja su nalazi internog i vanjskog audita, rezultati mjerenja, incidenti, promjene u poslovanju i nove prijetnje. Svaki od njih može pokrenuti ispravnu radnju: promjenu politike, dodavanje kontrole ili reviziju procjene rizika.
Mehanizam je sustav nesukladnosti i ispravnih radnji. Kada se utvrdi odstupanje, bilježi se, analizira se uzrok, određuje radnja i provjerava je li uklonila problem. Taj zapis je istodobno dokaz da ISMS živi. Tvrtka koja kroz godinu nema nijednu zabilježenu nesukladnost ni poboljšanje obično nema sustav koji radi, nego sustav koji se ne gleda.
Poboljšanje ne znači stalno dodavati nove kontrole. Ponekad je pravi potez ukloniti kontrolu koja ne donosi vrijednost ili pojednostaviti proces koji ljudi zaobilaze jer je prespor. Cilj je da sustav ostane razmjeran stvarnim rizicima. Prenapuhan ISMS s desecima neprovedivih pravila jednako je loš kao i prazan, jer ga zaposlenici prestanu poštovati. Zreli ISMS raste tamo gdje rizik raste i smanjuje se tamo gdje je rizik nestao.
Što ISMS donosi osim certifikata
Ako se gradi ispravno, ISMS donosi stvarno smanjenje rizika, a ne samo certifikat na zidu. Procjena rizika usmjerava ulaganja tamo gdje su prijetnje najveće, umjesto da se novac troši na alate koje je netko preporučio. Jasne odgovornosti skraćuju vrijeme reakcije na incidente jer se zna tko djeluje. Mjerenje daje upravi stvarnu sliku stanja sigurnosti, a ne osjećaj.
ISMS donosi i poslovne koristi. Olakšava odgovore na sigurnosne upitnike klijenata i partnera jer dokumentacija već postoji. Ubrzava procjene rizika dobavljača u oba smjera. Povezuje se s planom kontinuiteta poslovanja i planom odgovora na incidente jer ti planovi postaju kontrole unutar sustava, a ne odvojeni dokumenti.
Veza ISMS-a s NIS2
NIS2 direktiva, u Hrvatskoj prenesena Zakonom o kibernetičkoj sigurnosti, traži od ključnih i važnih subjekata da uvedu mjere upravljanja kibernetičkim rizicima i da to mogu dokazati. NIS2 ne propisuje ISO 27001 kao obavezu, ali uspostavljen ISMS je izravan i prepoznatljiv dokaz da subjekt rizicima upravlja sustavno, a ne ad hoc.
Preklapanje je veliko. Mjere koje NIS2 traži, primjerice upravljanje rizikom, postupanje s incidentima, sigurnost lanca opskrbe i kontrola pristupa, već su pokrivene kontrolama Dodatka A i procesima ISMS-a. Tvrtka koja ima zreo ISMS pokriva najveći dio NIS2 zahtjeva i lakše dokazuje usklađenost nadzornom tijelu. ISMS time postaje zajednički temelj za certifikat i za regulatornu obvezu istodobno.
Kako Raptoric pomaže
Pomažemo uspostaviti ISMS koji stvarno smanjuje rizik i izdrži reviziju, utemeljen na procjeni rizika i prilagođen vašoj veličini i regulatornom okviru, kroz upravljanje, rizik i usklađenost. Vodimo vas od definiranja opsega i procjene rizika do Izjave o primjenjivosti, internog audita i pripreme za certifikaciju. Po našem iskustvu uspostava traje od nekoliko mjeseci do godine, a stvarna procjena ovisi o opsegu i zrelosti postojećih kontrola. Dogovorite uvodni razgovor.