Norma BS 7799 traktuje informację jako wartość materialną. Dla pewnej grupy firm to największy aktyw.
ISO 9001 jest bardzo ogólnym dokumentem. Nie obejmuje m.in. elementów zarządzania informacją, niezwykle ważnych zwłaszcza dla banków, firm windykacyjnych, faktoringowych, ubezpieczycieli czy podmiotów działających w branży IT. Przedsiębiorstwa te szukają więc mechanizmów, które pozwolą w jasny i przejrzysty sposób zarządzać bezpieczeństwem informacji. Większość z nich decyduje się na wdrożenie i certyfikację systemu zarządzania bezpieczeństwem informacji według wymagań normy BS 7799-2.
— System ten kompleksowo obejmuje zagadnienia związane z identyfikacją i zarządzaniem informacją. Poza tym można go łatwo integrować z SZJ według normy ISO 9001:2000 — wyjaśnia Marcin Zastawa, dyrektor departamentu zarządzania DGA.
Pomocny system
Jak wyjaśnia Keith Smith, audytor wiodący BS 7799 w brytyjskiej jednostce ISOQAR, ze względu na rosnące zagrożenie utraty lub fałszowania informacji, klienci, użytkownicy czy dostawcy będą żądać od firm zabezpieczenia tego ryzyka. Dlatego coraz więcej organizacji sięga po system zarządzania bezpieczeństwem informacji.
— Na razie do niekwestionowanych liderów wydanych certyfikatów według normy BS 7799 należą Japonia, USA i Wielka Brytania — twierdzi Keith Smith.
W Polsce zainteresowanie tym systemem także rośnie. O jego popularności decyduje fakt, że stosowanie normy BS 7799 pozwala zidentyfikować, ocenić i opracować plan przeciwdziałania wszystkim zagrożeniom, jakie mogą pojawić się w zarządzaniu informacją.
— Do najczęstszych zagrożeń należy utrata (zagubienie lub kradzież) ważnych danych firmowych, przecieki poufnych informacji do konkurencji itp., włamania do systemów informatycznych, szpiegostwo, wirusy komputerowe bądź też zniszczenie fizyczne informacji oraz jej nośników itp. — wylicza Jacek Zontek, szef firmy Aims Konsultant Management.
Minimalizacja ryzyka
Punktem wyjścia dla wdrożenia systemu zgodnego z normą BS 7799 jest diagnoza obecnego stanu firmy w zakresie zarządzania bezpieczeństwem informacji. Jej wyniki stanowią podstawę identyfikacji procesów oraz analizy ryzyka. Kolejny krok to opracowanie dokumentacji oraz klasyfikacja informacji z analizą ryzyka ich utraty. W wyniku tej analizy powstaje tzw. macierz ryzyka, która określa bieżące poziomy ryzyka dla głównych grup informacji w całej organizacji. Następnie zostaje opracowany plan jego minimalizacji. Zawiera propozycje działań doskonalących — zarówno technicznych, jak i organizacyjnych.
— Ponadto firma musi być przygotowana na sytuacje kryzysowe. W tym celu należy opracować tzw. strategię ciągłości działania, omawiającą najważniejsze zagrożenia ze względu na ciągłość pracy. Następnie przygotowuje się i wdraża plany awaryjne — opowiada Marcin Zastawa.
Podkreśla, że ważnym etapem wdrożenia systemu są także cykle szkoleń dla pracowników, poświęcone procedurom opracowanym w ramach systemu bezpieczeństwa.
Okiem eksperta
W praktyce BS 7799-2002
Już na podstawie szkoleń i dyskusji wstępnych, można określić, co będzie największą trudnością dla organizacji planujących wdrożenie i certyfikację systemu. Najczęściej są to m.in.: dokonanie szacowania ryzyka aktywów informacyjnych przez organizację oraz zaangażowanie najwyższego kierownictwa w te procesy.
Norma BS-7799 wyrasta z praktyki, musi więc być traktowana indywidualnie w każdej organizacji, m.in. przez indywidualne odczytywanie wymagań oraz zastanowienie się, co one oznaczają dla naszej organizacji oraz dlaczego powinniśmy wprowadzić określone zabezpieczenia.
Barbara Zorn, audytor wiodący w Lloyd’s Register