Ujawnienie lub utrata istotnych informacji może prowadzić do utraty konkurencyjności przez przedsiębiorstwo.
Na międzynarodowym rynku coraz ważniejszą rolę odgrywają systemy zarządzania bezpieczeństwem informacji (ISMS — Information Security Management Systems). Szczególnie wiele uwagi poświęca się ochronie systemów teleinformatycznych.
— Aktywa wymagające ochrony obejmują informację w wersji cyfrowej i papierowej, a także wiedzę poszczególnych pracowników — mówi Andrzej Bentkowski, pełnomocnik ds. systemu zarządzania jakością w spółce PTK Centertel, wykładowca British Standards Institution (BSI).
W teorii
Dobry system zarządzania bezpieczeństwem informacji nie kończy się na zapewnieniu bezpieczeństwa informatycznego.
— Z definicji musi zapewniać poufność, integralność i dostępność wszystkich istotnych dla przedsiębiorstwa informacji, bez względu na stosowane metody ich gromadzenia, przetwarzania i przechowywania — mówi Marcin Majdecki, dyrektor operacyjny, audytor wiodący systemów zarządzania bezpieczeństwem informacji w Det Norske Veritas.
Obecnie podstawową regulacją dotyczącą bezpieczeństwa informacji jest międzynarodowa norma ISO/IEC 17799 oraz specyfikacja wymagań ujęta w normie brytyjskiej BS7799. Zastosowanie tej specyfikacji przy wdrażaniu systemu ochrony pozwala określić wymagania przedsiębiorstwa w zakresie bezpieczeństwa informacji, sformułować politykę jej ochrony oraz wybrać środki, dzięki którym bezpieczeństwo zostanie zapewnione.
— Norma ISO/IEC 17799 rozumiana jako przewodnik po zagadnieniach związanych z bezpieczeństwem informacji nie jest jednak zestawem konkretnych wymagań i nie stanowi podstawy do certyfikacji. Certyfikację przeprowadza się w odniesieniu do specyfikacji ujętej w normie brytyjskiej — zaznacza Andrzej Bentkowski.
W praktyce
Na pytanie, jak wykazać zainteresowanym stronom, że przedsiębiorstwo skutecznie zarządza bezpieczeństwem informacji, jest tylko jedna dobra odpowiedź.
— Jedynym rozwiązaniem staje się audyt certyfikacyjny niezależnej jednostki, który oceni zgodność systemu z wymaganiami normy i tym samym potwierdzi możliwości firmy w tym zakresie — mówi Marcin Majdecki.
Świadectwo
Certyfikat stanowi świadectwo, że w przedsiębiorstwie stosuje się właściwe środki techniczne i organizacyjne gwarantujące ochronę poufności, dostępności, autentyczności i spójności informacji na wszystkich etapach jej przetwarzania. Dla klientów i kontrahentów jest wyraźnym sygnałem, że przedsiębiorstwo docenia wartość informacji od nich uzyskiwanej i zapewnia jej właściwą ochronę.
— Certyfikat potwierdzający wdrożenie i utrzymywanie skutecznego systemu zarządzania bezpieczeństwem informacji w niedługim czasie będzie podstawowym i niezbędnym wyznacznikiem wiarygodności przedsiębiorstwa jako partnera biznesowego — dodaje Marcin Majdecki.
Wzrost z roku na rok znaczenia zarządzania bezpieczeństwem informacji podkreśla także Andrzej Bendkowski. Przyznaje, że w kraju certyfikatem zgodności z normą BS 7799 może poszczycić się zaledwie kilkanaście firm.
— Normę tę doceniają instytucje finansowe i ubezpieczeniowe, teleinformatycy, sieci handlowe a także administracja, biura projektów czy przedsiębiorstwa prowadzące prace badawcze i rozwojowe. Ostatnio zainteresowanie ISMS rośnie w szpitalnictwie — wylicza Andrzej Bentkowski.