CERTYFIKAT ISO POMAGA CHRONIĆ INFORMACJE
Zakres poufności danych zależy od charakteru działalności firmy
Organizacja z wdrożonym i certyfikowanym systemem zarządzania jakością musi sama określić procedury nadzoru i informacje, które zaliczają się do poufnych.
Normy ISO nie stawiają bowiem przedsiębiorcy co do tego konkretnych wymagań. Niemniej jednak sprawiają, że ma on lepszy dostęp i kontrolę nad informacjami firmy. Dużo bardziej konkretnie do kwestii systemów zarządzania bezpieczeństwem informacji (ISMS) odnosi się natomiast brytyjska norma BS 7799.
W środowiskach związanych z systemami zarządzania jakością (SZJ) panuje przekonanie, że jakość należy utożsamiać z bezpieczeństwem. Podobno jedno bez drugiego nie może po prostu w firmie funkcjonować. Czy w takim razie w organizacjach z wdrożonym SZJ dochodzi do wycieków poufnych informacji na zewnątrz? Według Szymona Kamińskiego, dyrektora ds. certyfikacji Det Norske Veritas (DNV), dobry system zarządzania w aspekcie zapewnienia jakości, zarządzania środowiskiem lub bezpieczeństwem pracy powinien regulować kwestie bezpieczeństwa przepływu informacji. Ale większość organizacji w naszym kraju nie przywiązuje do tego wystarczającej wagi.
— Dowodem na to mogą być ostatnio częste w Polsce przypadki tzw. znalezisk na wysypiskach śmieci, na przykład danych personalnych pracowników różnych firm, szpitalnych kart chorobowych czy nawet policyjnej dokumentacji dochodzeniowej — dodaje.
Priorytety i specyfikacje
Stopień zabezpieczenia przed wyciekami informacyjnymi w organizacji z wdrożonym systemem zarządzania jakością zależy przede wszystkim od priorytetu nadanego bezpieczeństwu danych przez firmę.
— Każdy system zarządzania oparty na dowolnej normie powinien odnosić się do nadzoru nad dokumentami i zapisami. Różne standardy specyfikują wymagania dotyczące tego obszaru w innym stopniu szczegółowości. Również podejście auditorów jest różne, np. ze względu na charakter procesu realizowanego przez kontrolowaną organizację. W przypadku towarzystwa ubezpieczeniowego nadzór nad dokumentami jest niewątpliwie jedną z kwestii priorytetowych — relacjonuje dyrektor ds. certyfikacji DNV.
— Od firmy, w której dokonujemy kontroli SZJ, zawsze oczekujemy określenia procedur, dotyczących informacji objętych szczególnym nadzorem. Często nawet auditorzy nie wchodzą w pewne obszary dokumentacji jakościowej, które są poufne z punktu widzenia przedsiębiorcy — informuje Witold Flis, prezes zarządu KEMA Registered Quality Polska (KRQ).
Jak dodaje, polscy biznesmeni najczęściej tego nie robią. Inaczej jest natomiast w przedsiębiorstwach związanych z przemysłem wojskowym. Tam, z natury rzeczy, zasady nadzoru nad przepływem informacji są bardzo konkretne i rygorystycznie przestrzegane.
Najwięcej niezgodności
Kwestia bezpieczeństwa informacji nieco inaczej wygląda w przypadku SZJ certyfikowanego zgodnie z normą ISO 9001. Istnieją w niej dwa punkty, które przynajmniej pośrednio odnoszą się do tego problemu. Pierwszym z nich jest pkt 4.5, dotyczący nadzorowania tworzenia dokumentacji i danych jakościowych. Drugim natomiast jest pkt 4.16, który stawia przedsiębiorcy wymóg dokładnego określenia, kto ma prawo dostępu do zapisów w dokumentacji jakościowej firmy.
— Powszechnie wiadomo, że właśnie w tych obszarach normy ISO 9001 stwierdza się z reguły najwięcej niezgodności — informuje Szymon Kamiński.
— Bardziej istotny jest tu punkt 4.16. Łamanie tego wymogu może bowiem tworzyć zagrożenie dla klientów i całego biznesu certyfikowanej organizacji — wyjaśnia prezes KRQ.
Jego zdaniem, norma ta nie zabezpiecza jednak bezpośrednio firmy przed informacyjnymi przeciekami. Tego samego zdania jest również Szymon Kamiński. Jak mówi, ISO 9001 określa minimum wymagań pod tym względem. Spełnienie tych warunków pozwala na kontrolę informacji, natomiast nie zapewnia im bezpieczeństwa. Aby je osiągnąć, należy określić szczegółowe zasady kontroli informacji, uwzględniające specyfikę działania firmy.
— Rzeczywiście, norma ta nie ma bezpośredniego przełożenia na zarządzanie bezpieczeństwem informacji w organizacji. Ale firma certyfikowana zgodnie z nią jest o tyle w dobrej sytuacji, że przynajmniej powinna mieć uporządkowany system zarządzania. Siłą rzeczy pomaga to w nadzorze szczególnie istotnych dla niej danych — komentuje Krystyna Stephens, country manager British Standard Institution Warszawa (BSI).
BS pomoże na pewno
Są jednak normy, które bezpośrednio regulują kwestie bezpieczeństwa informacji w firmie. Na międzynarodowym rynku certyfikacyjnym można znaleźć standard o nazwie BS 7799. Jest to jedno z niewielu, jeżeli nie jedyne, tego typu narzędzi na świecie, stworzone przez brytyjską jednostkę British Standard Institution. Dotyczy ono obszaru organizacji, zwanego ISMS (Information Security Management System), czyli systemu zarządzania bezpieczeństwem informacji. Nakłada na organizację dość rygorystyczne wymagania, dotyczące zasad zabezpieczenia i nadzoru przepływu oraz korzystania ze szczególnie istotnych informacji, np. obszarów kompetencji i danych klientów firmy.
— Jest to dość nowy produkt, który nie tak dawno znalazł się w naszej ofercie międzynarodowej. Prawdopodobnie już niedługo usługi w zakresie BS 7799 będziemy świadczyć również w Polsce — informuje Krystyna Stephens.
— DNV przeprowadziło już pierwsze audity na zgodność z tą normą m.in. w Szwecji, Norwegii i Wielkiej Brytanii — dorzuca Szymon Kamiński.
BS 7799 uważane jest obecnie za jedną z najskuteczniejszych na świecie form nadzoru nad bezpiecznym przepływem informacji w organizacji. Zdaniem Witolda Flisa, ta brytyjska norma może stanowić solidne podstawy do stworzenia systemu zarządzania bezpieczeństwem informacji w przedsiębiorstwie. Jak dodaje — skutecznego.
— Każda firma ma bowiem jakiś system zabezpieczeń istotnych dla niej informacji. Jest on mniej lub bardziej sformalizowany, ale jest. Natomiast nie zawsze bywa skuteczny — sumuje prezes KRQ.
ZAKLĘTE REWIRY: Podstawowa dokumentacja jakościowa firmy posiadającej ISO nie stanowi żadnej tajemnicy. Musi być przecież udostępniona klientowi. Znajdują się w niej jednak obszary, do których nie mają dostępu nawet auditorzy jednostki certyfikującej — mówi Witold Flis, prezes zarządu KEMA Registered Quality Polska. fot. Borys Skrzyński
NIECH ZADBAJĄ WSZYSCY: Wdrożenie skutecznego systemu nadzoru nad dokumentami powinno być przedmiotem zainteresowania nie tylko polskich przedsiębiorstw, ale i instytucji publicznych — twierdzi Szymon Kamiński, dyrektor ds. certyfikacji Det Norske Veritas. fot. Borys Skrzyński
Zadbaj o nadzór przepływu jakościowych informacji
Piotr Gocki, prezes zarządu T†V Consulting Polska
Budując i stosując system zarządzania jakością tworzysz dokumentację i dane, zarówno w postaci druku, jak i zapisów na nośnikach elektronicznych. Musisz zapewnić, że wszystkie wewnętrzne dokumenty i dane (np. rysunki, zarządzenia, procedury) oraz zewnętrzne (np. akty prawne, normy), związane z systemem jakości, są nadzorowane w zakresie: zatwierdzania, oznaczania, dostępności, archiwizowania i zmian. Powinieneś też zabezpieczyć nieaktualną dokumentację i dane przed niezamierzonym stosowaniem. Niektóre zasady nadzorowania dokumentacji i danych określane są przepisami prawnymi. Odpowiadając na poniższe pytania, przekonasz się, w jaki sposób nadzorujesz w swojej firmie przepływ informacji.
Nadzór nad dokumentacją i danymi
(pkt 4.5, norma PN-ISO 9001).
1. Czy opisałeś w swojej księdze jakości zasady nadzorowania dokumentacji i danych systemowych?
2. Czy ustalone przez ciebie zasady nadzorowania dokumentów i danych dotyczą również dokumentów zewnętrznych, takich jak akty prawne, normy, dokumentacja twojego klienta?
3. Czy posiadasz aktualne wykazy (na przykład rejestry) stosowanych w twojej organizacji dokumentów jakościowych (zarówno tych wewnętrznych, jak i zewnętrznych)?
4. Czy ustalone zasady określają jednoznacznie odpowiedzialność w zakresie: sporządzania, przeglądu, zatwierdzania oznaczania i rozpowszechniania zarówno dokumentacji systemowej (związanej z realizacją umowy, wyrobu), jak i nadrzędnej?
5. Czy zasady te w sposób zrozumiały i jednoznaczny pozwalają ci określić aktualność dokumentacji twojego systemu zarządzania jakością (np. data, czas rewizji)?
6. Czy i jak zapewniłeś, że dokumentacja, dane unieważnione czy nieaktualne zostaną usunięte oraz czy i jak zabezpieczasz się przed ich przypadkowym wykorzystaniem (np. wycofanie z użycia, zniszczenie), przez osoby nie upoważnione do tego typu działań?
7. Zastanów się, czy dokumentację i dane jakościowe rozprowadzasz w organizacji w sposób nadzorowany (np. rozdzielnik, podpisy, daty)?
8. Czy zmiany dokonywane w dokumentacji, danych, poddawane są w twojej firmie przeglądom i zatwierdzaniu przez kompetentne osoby?
9. W jaki sposób dokonujesz wprowadzania zmian w dokumentacji i danych jakościowych (np. rejestr, opis zmian)?
10. Czy dokładnie ustaliłeś miejsce i okres przechowywania ważnych dla twojej organizacji dokumentów i danych sytemu jakości?
11. Czy wyznaczyłeś konkretne osoby, odpowiedzialne za wykonanie tych zadań?