Sektor: Hosting i IT infrastruktura
Usluga: ISO/IEC 27001 GAP analiza
Cilj: Procijeniti postojeće sigurnosne prakse i spremnost organizacije za daljnju implementaciju ISMS-a
Okvir procjene: ISO/IEC 27001:2022 i primjenjive Annex A kontrole
Klijent i poslovni kontekst
Klijent pruža hosting i serverske usluge poslovnim korisnicima te upravlja infrastrukturom čija dostupnost i sigurnost izravno utječu na usluge korisnika. Organizacija je već imala razvijene tehničke sigurnosne prakse i iskusne zaposlenike. Posebno su dobro bili uređeni backup i restore procesi te svakodnevno operativno upravljanje infrastrukturom. Interes za ISO/IEC 27001 prvenstveno je proizašao iz sve češćih sigurnosnih i ugovornih zahtjeva postojećih i potencijalnih kupaca.
Izazov
Početno stanje nije bilo loše. Velik dio sigurnosnih aktivnosti već se provodio i organizacija je imala dobru tehničku osnovu. Problem je bio u tome što dio tih praksi nije bio dovoljno formaliziran, standardiziran ili redovito provjeravan. U nekim područjima proces je postojao u praksi, ali ga nije bilo jednostavno dokazati kroz dokumentaciju i evidencije.
Cilj GAP analize bio je utvrditi što se već može koristiti kao temelj za ISMS, gdje postoje stvarni nedostaci te koje aktivnosti treba urediti prije daljnje implementacije ISO/IEC 27001.
Kako je provedena procjena
Procjena je započela definiranjem opsega te prikupljanjem informacija o poslovnom i tehničkom okruženju organizacije. Klijent je kroz strukturirani upitnik i dogovoreni proces dostave dokaza dostavio relevantnu dokumentaciju i informacije o postojećim sigurnosnim praksama.
AresISEC je pregledao zahtjeve ISO/IEC 27001:2022, dostupne politike, procedure i evidencije te način na koji se pojedini procesi stvarno provode u svakodnevnom radu. Procijenjena je i primjenjivost Annex A kontrola, a za područja koja nije bilo moguće pouzdano ocijeniti samo na temelju dokumentacije provedeni su dodatni razgovori s odgovornim osobama.
Procjena nije bila ograničena na pitanje postoji li određeni dokument. Važno je bilo utvrditi postoji li i dokaz da se definirani proces stvarno provodi.
Ključna zapažanja
Upravljanje nadogradnjama i promjenama
Nadogradnje sustava redovito su se provodile, ali proces nije bio dovoljno jasno definiran kroz politiku i standardizirane kriterije za planiranje, prioritizaciju i evidentiranje promjena.
Upravljanje pristupima
Dodjela i ukidanje pristupa uglavnom su dobro funkcionirali. Slabija točka bile su periodične provjere postojećih prava, koje se nisu provodile dovoljno redovito. To je otežavalo dokazivanje da korisnici i administratori tijekom vremena zadržavaju samo pristupe koji su im i dalje potrebni.
Retention i sigurnosne kopije
Backup i restore bili su među jačim područjima organizacije. S druge strane, retention periodi za pojedine vrste podataka i sigurnosnih kopija nisu bili dovoljno jasno definirani ni formalno dokumentirani.
Standardizacija novih servera
Za postavljanje novih servera nije postojao jedinstveni sigurnosni baseline. Konfiguracija se velikim dijelom oslanjala na iskustvo administratora. Takav pristup može dobro funkcionirati u manjem i iskusnom timu, ali otežava dosljednost konfiguracija, provjeru odstupanja i kasnije održavanje većeg broja sustava.
Redundancija i prijenos znanja
U pojedinim dijelovima infrastrukture prepoznata je potreba za boljom redundancijom. Dodatni rizik predstavljala je koncentracija specijaliziranog znanja kod manjeg broja zaposlenika. Znanje je postojalo, ali dio operativnih postupaka nije bio dovoljno dokumentiran da bi se smanjila ovisnost o pojedincima.
Klasifikacija informacija
Klasifikacija informacija bila je definirana, ali se u svakodnevnom radu nije provodila dovoljno dosljedno. Time je postojao raskorak između definiranih pravila i njihove stvarne primjene.
Interne provjere i mjerenje učinkovitosti
Interne provjere sigurnosnih procesa nisu se provodile na dovoljno strukturiran način. Nisu bili definirani ni korisni sigurnosni KPI-jevi kojima bi se moglo pratiti, primjerice, provođenje periodičnih provjera pristupa, stanje nadogradnji, rezultati restore testova ili druga područja važna za učinkovitost ISMS-a.
Ishod
GAP analiza pokazala je da organizacija već ima dobar dio potrebne sigurnosne osnove i da implementaciju ISMS-a ne treba započinjati od nule. Istodobno su jasno izdvojena područja u kojima postojeće prakse treba formalizirati, bolje dokumentirati ili tehnički unaprijediti.
Klijent je time dobio realniju sliku svojeg početnog stanja i mogao planirati daljnju implementaciju prema stvarnim prioritetima, umjesto da sve zahtjeve ISO/IEC 27001 tretira jednako. Procjena je također pokazala važnu razliku između tehnički dobre prakse i procesa koji je dovoljno dosljedan, dokumentiran i mjerljiv da može biti dio upravljanog ISMS-a.
Što je klijent dobio
Po završetku procjene klijent je dobio pregled trenutačnog stanja prema zahtjevima ISO/IEC 27001, identificirane GAP-ove s prioritetima, pregled relevantnih Annex A kontrola te početni okvir opsega i pretpostavki za daljnju implementaciju. Dokumentirane su i granice procjene te preporučene sljedeće aktivnosti.
Razmišljate o ISO/IEC 27001?
Ako vaša organizacija već ima sigurnosne procese, GAP analiza može pokazati što se može zadržati, gdje postoje stvarni nedostaci i što treba urediti prije nastavka implementacije ISMS-a.
