Bezpieczeństwo informacji to ochrona wiedzy firmy przed ujawnieniem, zmianą i utratą dostępu – niezależnie od tego, czy ta wiedza leży na serwerze, w szafie z dokumentami, czy w głowie pracownika. To szersze pojęcie niż cyberbezpieczeństwo, które zajmuje się wyłącznie warstwą cyfrową.
Różnica nie jest akademicka. Firma, która wydała kilkadziesiąt tysięcy złotych na firewall i system antywirusowy, a jednocześnie trzyma umowy w niezamykanej szafie i pozwala handlowcom wysyłać cenniki z prywatnych skrzynek, ma dobre cyberbezpieczeństwo i złe bezpieczeństwo informacji.
Trzy atrybuty: poufność, integralność, dostępność
Bezpieczeństwo informacji opisuje się przez trzy niezależne cechy, nazywane triadą CIA od angielskich słów confidentiality, integrity, availability. Informacja jest bezpieczna wtedy, gdy spełnia wszystkie trzy naraz – utrata którejkolwiek jest incydentem.
| Atrybut | Co znaczy | Jak wygląda jego utrata |
|---|---|---|
| Poufność | Dostęp mają wyłącznie osoby, które powinny go mieć | Cennik hurtowy trafia do konkurencji. Były pracownik nadal czyta firmową pocztę |
| Integralność | Informacja jest kompletna i nikt jej nie zmienił bez uprawnienia | Ktoś podmienia numer konta na fakturze. Kopia zapasowa odtwarza się z błędami |
| Dostępność | Jest pod ręką wtedy, gdy jest potrzebna | Ransomware szyfruje dyski. Serwer plików nie wstaje w poniedziałek rano |
Te trzy atrybuty bywają ze sobą w konflikcie i na tym polega cała trudność. Najbardziej poufny dokument to taki, do którego nikt nie ma dostępu – i jednocześnie zupełnie bezużyteczny. Praca nad bezpieczeństwem informacji polega na znajdowaniu równowagi, nie na maksymalizowaniu jednej cechy kosztem pozostałych.
Bezpieczeństwo informacji a cyberbezpieczeństwo
Pojęcia bywają używane zamiennie, ale opisują różne zakresy. Cyberbezpieczeństwo chroni systemy i dane w postaci elektronicznej. Bezpieczeństwo informacji obejmuje także wszystko, co nigdy nie było plikiem.
- Dokumenty papierowe – umowy, teczki osobowe, wydruki z systemu kadrowego leżące na biurku po godzinach
- Rozmowy – negocjacje prowadzone w otwartej przestrzeni biurowej, telefon na korytarzu u klienta
- Wiedza pracowników – to, co odchodzący handlowiec zabiera ze sobą, nawet jeśli nie skopiował ani jednego pliku
- Procesy – kto komu nadaje dostęp, co się dzieje z laptopem po zwolnieniu, kto odbiera firmowy telefon
Dlatego audyt, który sprawdza wyłącznie konfigurację sprzętu, nie jest audytem bezpieczeństwa informacji. Odpowiada na pytanie, czy systemy są poprawnie ustawione – nie na pytanie, czy firma panuje nad swoją wiedzą.
Jak to wygląda w firmie dwudziestoosobowej
W firmie, która nie ma działu bezpieczeństwa, bezpieczeństwo informacji sprowadza się do kilku decyzji podejmowanych raz i przestrzeganych codziennie. Nie trzeba do tego normy ani certyfikatu – te przychodzą później, jeśli wymaga ich klient albo przepis.
- Kto ma do czego dostęp – spisany, a nie wynikający z tego, kto o co kiedyś poprosił
- Co się dzieje przy odejściu pracownika – konta, laptop, telefon, klucze, dostęp do skrzynki, w jeden dzień
- Gdzie są kopie zapasowe i kiedy ostatnio ktoś je odtworzył – kopia nieprzetestowana to założenie, nie zabezpieczenie
- Co robimy, gdy coś wycieknie – kto dzwoni, do kogo, w jakiej kolejności i w jakim czasie
- Czym wolno wysyłać dokumenty – i co zrobić, gdy klient prosi o przesłanie umowy przez komunikator
Każdy z tych punktów da się opisać na jednej stronie. Problem polega nie na tym, że są trudne, tylko na tym, że nikt nie ma ich w zakresie obowiązków – i dlatego nie powstają.
Kto się tym zajmuje w małej firmie
W dużej organizacji bezpieczeństwem informacji zajmuje się wydzielona rola. W firmie zatrudniającej kilkanaście czy kilkadziesiąt osób taka rola nie istnieje – obowiązki rozkładają się między zarząd, dział kadr i osobę odpowiedzialną za systemy informatyczne, a w praktyce coraz częściej przejmują je specjaliści z firm outsourcingowych, dla których jest to codzienna praca, a nie dodatek do innych zadań.
Ma to konkretne uzasadnienie. Osoba obsługująca kilkanaście firm widzi te same incydenty wielokrotnie i rozpoznaje je wcześniej niż ktoś, kto zetknie się z nimi raz. Zna też rozwiązania, które gdzie indziej zadziałały – i te, które się nie sprawdziły.
Od czego zacząć
Od spisania, co właściwie jest do ochrony. Brzmi banalnie, a jest najczęściej pomijanym krokiem: firmy kupują zabezpieczenia, zanim ustalą, czego bronią. Lista zwykle mieści się na kartce – dane klientów, cenniki i warunki handlowe, dokumentacja techniczna, dane kadrowe, korespondencja z kancelarią.
Dopiero przy takiej liście widać, że połowa pozycji nie leży w żadnym systemie informatycznym – i że zabezpieczanie wyłącznie serwera chroni połowę firmy.
Powiązane
- System zarządzania bezpieczeństwem informacji – z czego składa się SZBI i kiedy ma sens
- Ile kosztuje audyt ISO 27001 – kiedy norma jest potrzebna i co obejmuje
- Incydent bezpieczeństwa – co robić w pierwszych godzinach
- Cyberbezpieczeństwo dla firm – warstwa techniczna
