Bezpieczeństwo danych i systemów IT w 6 krokach

Przeczytaj także: Bezpieczeństwo IT w 2015 roku: czego należy oczekiwać?

5. Zabezpieczenia połączeń B2B:

• Zabezpieczenia formalne (o tym więcej w kolejnym punkcie).
• Zabezpieczenia wspólnych interesów - każda firma, z którą nawiązujemy kontakt to potencjalne źródło wycieku danych. Dlatego firmy powinny stosować kolejne zabezpieczenia:
  
  – Nie należy mieć obaw przed sprawdzeniem firm, z którymi chcemy nawiązać współpracę. Podstawą jest sprawdzenie ksiąg firmy (płynność finansowa, ubezpieczenie, zabezpieczenia finansowe). Jeżeli ktoś powierza dane do przetwarzania (dane pracowników lub kontrahentów), nic dziwnego, że chce wiedzieć, czy są one bezpieczne i czy nie wyciekną informacje wrażliwe z punktu widzenia powierzającego. Sprawdzania danych na nasz wniosek i w określonym zakresie dokonują audytorzy.
  
  – Innym specyficznym łączem wymiany danych B2B są wszelakie usługi w chmurze. Dostrzegam coraz więcej korzyści z takiego rozwiązania, choć ciągle bardziej popularna jest usługa SaaS (Software as a Service), typ chmury prywatnej. Niestety wraz z rozwojem technologii i przyrostem informacji musimy sobie zadać pytanie, czy jej przechowywanie powierzamy wewnętrznym działom IT i archiwum, czy skorzystamy z usług przechowywania na zewnątrz. Należy zwrócić szczególną uwagę na rodzaj chmury i to, co właściwie kupujemy od dostawcy. Możliwe, że chmura, którą chcemy kupić, nie jest publiczna (większy plus dla nas) tylko prywatna i mamy większą kontrolę nad tym, gdzie przechowywane są nasze dane.
  
  – Ważnym elementem w usługach typu cloud jest lokalizacja danych. Jako właściciele danych musimy dopełnić starań, aby dowiedzieć się, gdzie nasze dane są składowane i czy przypadkiem nie w krajach spoza regionu EOG (Europejski Obszar Gospodarczy). Lokalizacja danych dotyczy również centrów zapasowych do serwerów pierwotnych.

6. Zabezpieczenia formalne:

• Na każdym etapie zabezpieczeń powinniśmy przygotowywać odpowiednią dokumentację tego, co zrobiliśmy.
• Mając spisaną instrukcję nadawania dostępów do biura i zaleceń postępowania z danymi i ich przetwarzania, powinniśmy stworzyć politykę bezpieczeństwa. To podstawowy dokument przygotowywany wraz z zarządem firmy. Stworzenie takiego dokumentu to pierwszy krok do rozpoczęcia wdrażania Zintegrowanego Systemu Zarządzania Bezpieczeństwem, który możemy certyfikować w normie ISO 27001.
• Dokumentacja to także wydanie stosownych pozwoleń przez Administratora Bezpieczeństwa Informacji (ABI) na przetwarzanie danych poufnych, czy też samą rejestrację zbiorów.
• O bezpieczeństwie i jego jakości świadczy wiedza o tym, co dzieje się w organizacji. Inwentaryzacja sprzętu jest jednym z takich działań. Ewidencjonujemy wszystkie maszyny dla użytkowników, gdyż to one są oknem na świat z sieci firmowej.
• Całościową dokumentację do każdego obszaru należy tworzyć w grupach roboczych, które są odpowiedzialne za poszczególne obszary. Pełną pieczę nad dokumentacją powinien sprawować CSO / CISO wraz z kancelarią prawną.

Zaprezentowana tarcza bezpieczeństwa to jeden ze sposobów podejścia do systemu bezpieczeństwa. Istnieje szereg działań i sposobów, jakie można podjąć w celu zabezpieczenia firmy pod kątem danych i bezpieczeństwa fizycznego. Wszystko zależy od organizacji i jej wielkości oraz świadomości zagrożenia.

Brak zabezpieczeń i co dalej?

Nietrudno sobie wyobrazić, czym może skutkować lekceważenie bezpieczeństwa i zasad, jakie są wymagane przez standardy i normy międzynarodowe. Utrata danych to najmniejszy z naszych problemów. Brak bezpieczeństwa naszych pracowników (czyli głównego pionu naszych firm) grozi zachwianiem stabilności firmy. Trzeba sobie zadać pytanie, na jakie ryzyko związane z bezpieczeństwem jesteśmy gotowi, jaki poziom utraty danych akceptujemy oraz co możemy stracić w przypadku naruszenia bezpieczeństwa. Wszystko należy rozpatrywać przez pryzmat wielkości i specyfiki firmy. Nie bójmy się korzystać z wiedzy specjalistów.

Posumowanie

O ile nie opieramy na IT całości działania swojej firmy pamiętajmy, by nie bać się zainwestować w zabezpieczenia organizacji. Zaplanujmy bezpieczeństwo swoje, swoich pracowników i firmy przy udziale specjalistów. Zaufajmy im i czujmy się bezpieczni w obliczu zagrożeń.

Przemek Szulecki, Konsultant w obszarze bezpieczeństwa informatycznego i informacyjnego w grupie spółek w Polsce