Jakie są podstawowe obowiązki dla podmiotu kluczowego i podmiotu ważnego w zakresie systemu zarządzania bezpieczeństwem informacji?

Podstawowym obowiązkiem podmiotów kluczowych i podmiotów ważnych będzie wdrożenie systemu zarządzania bezpieczeństwem informacji (SZBI) w systemie informacyjnym wykorzystywanym w procesach wpływających na świadczenie usługi przez ten podmiot obejmującego:

• 1)
  prowadzenie systematycznego szacowania ryzyka wystąpienia incydentu oraz zarządzanie tym ryzykiem – należy regularnie szacować ryzyko (identyfikować, analizować, oceniać), a następnie podejmować decyzję o podejściu do tego ryzyka;
• 2)
  wdrożenie odpowiednich i proporcjonalnych do oszacowanego ryzyka środków technicznych i organizacyjnych, uwzględniających najnowszy stan wiedzy, koszty wdrożenia, wielkość podmiotu, prawdopodobieństwo wystąpienia incydentów, narażenie podmiotu na ryzyka, skutki społeczne i gospodarcze, w szczególności:

Każda z usług świadczona przez podmioty kluczowe lub podmioty ważne ma swoją specyfikę, dlatego wdrażając środki techniczne i organizacyjne podmiot powinien wybrać takie, które będą dopasowane (odpowiednie) do jego wielkości, charakteru świadczonych usług, możliwości finansowych, aktualnej wiedzy technicznej czy cyberzagrożeń, a zarazem żeby te środki były we właściwej harmonii (proporcjonalne) między sobą (przykład – rozbudowany dział cyberbezpieczeństwa, z politykami bezpieczeństwa i odpowiednim SIEM nie będzie efektywny, jeżeli jednocześnie zaniedbane będzie szkolenie personelu z cyberhigieny). Celem jest ograniczenie nadmiernych obowiązków nakładanych na podmiot i ich urealnienie przy stosowaniu. Można to sformułowanie traktować jako uelastycznienie przepisów.

Należy więc bardzo dobrze ustalić kontekst danej organizacji, jej charakterystykę, świadczone usługi, posiadane systemy, otoczenie regulacyjne, wymogi podmiotów trzecich.

• a)
  polityki szacowania ryzyka oraz bezpieczeństwa systemu informacyjnego, w tym polityki tematyczne,

Polityka szacowania ryzyka powinna opisać proces szacowania ryzyka w danej organizacji.

Należy ustanowić politykę bezpieczeństwa systemu informacyjnego wskazującą podejście podmiotu do zarządzania bezpieczeństwem informacji wraz z przypisaniem ról w tym procesie. Polityka ta powinna być adekwatna do danego podmiotu, wskazać cele bezpieczeństwa systemu informacyjnego, zobowiązanie do ciągłego rozwoju jak również przewidywać jej przegląd. Polityka powinna być zakomunikowana osobom zatrudnionym w podmiocie.

Polityki tematyczne –są to topic specific policies, o których mowa w normie ISO 27001. Założeniem tego przepisu jest to, aby tam gdzie to konieczne organizacja opracowała polityki tematyczne. Przykładowo, jeśli przyczyni się to do lepszej ochrony to organizacja może wprowadzić politykę bezpieczeństwa urządzeń mobilnych.

• b)
  bezpieczeństwo w procesie nabywania, rozwoju, utrzymania i eksploatacji systemu informacyjnego, w tym testowanie systemu informacyjnego,

Należy opracować i wdrożyć procedury zarządzania konfiguracją urządzeń, procedury zarządzania zmianą w systemie informacyjnym, politykę i procedurę testowania systemu informacyjnego, procedury zarządzanie ryzykiem związanym z nabywaniem nowych produktów ICT, usług ICT i procesów ICT, segmentacja systemów na podstawie analizy ryzyka oraz zapewnienie ochrony przeciwko złośliwemu oprogramowaniu.

• c)
  bezpieczeństwo fizyczne i środowiskowe, uwzględniające kontrolę dostępu,

Podmiot kluczowy lub podmiot ważny powinien monitorować dostęp fizyczny do elementów systemu informacyjnego, zapobiegać cyberzagrożeniom mającym charakter fizyczny, zapobiegać utracie, uszkodzeniu urządzeń wspierających funkcjonowaniu systemu informacyjnego (np. urządzenia elektryczne).

• d)
  bezpieczeństwo zasobów ludzkich,

Należy dbać o zrozumienie wymogów bezpieczeństwa wśród personelu. Personel o szczególnym dostępie do aktywów powinien w szczególny sposób wykonywać swoje zadania w. Pamiętać należy o personelu zewnętrznego dostawcy – należy wprowadzić odpowiednie postanowienia umowne dotyczące bezpieczeństwa oraz zachowaniu w poufności

informacji. W procesie rekrutacji należy prowadzić weryfikację kandydatów (np. poprzez OSINT czy poprzez wymóg dostarczenia referencji czy zaświadczeń – przy czym należy pamiętać o wymogach RODO i poinformować kandydatów w ogłoszeniu, że takie czynności będą dokonywane i że wymagana jest ich zgoda); ponadto należy wprowadzić wewnętrzne reguły dyscyplinarne, jeśli nie wynikają z przepisów prawa powszechnie obowiązującego, dotyczące przypadków naruszenia obowiązków personelu w obszarze cyberbezpieczeństwa, wraz z możliwością wypowiedzenia umowy; w postanowieniach umownych z personelem należy zawrzeć zapisy dotyczące zachowania w poufności informacji związanych z organizacją także po zakończeniu umowy.

• e)
  bezpieczeństwo i ciągłość łańcucha dostaw produktów ICT, usług ICT i procesów ICT, od których zależy świadczenie usługi z uwzględnieniem związków pomiędzy bezpośrednim dostawcą sprzętu lub oprogramowania a podmiotem kluczowym lub podmiotem ważnym,

Należy wprowadzić politykę łańcucha dostaw obejmującą relację z bezpośrednimi dostawcami. W polityce należy wskazać kryteria wyboru dostawców. W umowach z dostawcami należy zawierać postanowienia dotyczące cyberbezpieczeństwa m. in. obowiązek zachowania informacji w poufności, obowiązek zgłaszania incydentów do podmiotu, informowanie o podatnościach, wymogi dotyczące personelu podmiotu (np. co do certyfikacji osób) itd. Pamiętać przy tym należy, że duzi dostawcy sprzętu lub oprogramowania często mają wdrożoną certyfikację własnych systemów, osób lub produktów, usług z zakresu cyberbezpieczeństwa, co z jednej strony ułatwia zarządzanie bezpieczeństwem łańcuchów dostaw, z drugiej może potencjalnie utrudnić dodatkowe wymogi, zwłaszcza, jeżeli zamawiający jest zdecydowanie mniejszym podmiotem. Tutaj wchodzi więc zasada proporcjonalnych środków technicznych i organizacyjnych. Organizacja powinna mieć aktualny wykaz bezpośrednich dostawców z danymi kontaktowymi oraz wskazaniem jakie produkty ICT, usługi ICT czy procesy ICT dostarczają.

Należy identyfikować i oceniać potencjalne ryzyko wynikające z bezpośrednich dostawców sprzętu lub oprogramowania. Konieczne jest opracowanie aktualnej listy kontaktów z dostawcami oraz listy produktów ICT, usług ICT i procesów ICT, które ci dostawcy dostarczają.

• f)

  wdrażanie, dokumentowanie, testowanie i utrzymywanie:

  • •
    planów ciągłości działania (Business continuity plan – BCP) umożliwiających ciągłe i niezakłócone świadczenie usługi oraz zapewniających poufność, integralność, dostępność i autentyczność informacji,
  • •
    planów awaryjnych (Information System Contingency Plan – ISCP), oraz
  • •
    planów odtworzenia działalności umożliwiających odtworzenie systemu informacyjnego po zdarzeniu, które spowodowało straty przekraczające zdolności podmiotu do odbudowy za pomocą własnych środków – (Disaster Recovery Plan – DRP),
• g)
  objęcie systemu informacyjnego wykorzystywanego do świadczenia usługi systemem monitorowania w trybie ciągłym,

System informacyjny powinien być monitorowany ciągle – chodzi o to, aby zapewnić rozliczalność działań podejmowanych w systemie i analizować zaistniałe zdarzenia. Niekoniecznie trzeba w tym celu zatrudniać dodatkową osobę, można skorzystać z narzędzi open-source typu SIEM i ustawić adekwatne reguły. W szczególności należy monitorować zdarzenia, które mogą być przyczyną lub skutkiem incydentu. Monitorowanie dotyczy w szczególności ruchu z i do podmiotu, dostępu do systemu, kont z uprzywilejowanym dostępem, krytyczne pliki konfiguracyjne i kopii zapasowej, logi z narzędzi cyberbezpieczeństwa (np. antywirusów, anti-spyware), zdarzenia środowiskowe, które mogą mieć wpływ na funkcjonowanie infrastruktury systemu (zalanie, pożar itd.).

• h)
  polityki i procedury oceny skuteczności środków technicznych i organizacyjnych,

Należy ustalić, które aktywności w SZBI podmiotu będą monitorowane, jakie będą wskaźniki (KPI), kiedy, w jakich interwałach będą monitorowane, kto będzie to robił, czy nastąpi ich ewaluacja oraz kto za to będzie odpowiedzialny.

• i)
  edukację z zakresu cyberbezpieczeństwa dla personelu podmiotu,

Podmiot powinien dbać o zrozumienie cyberzagrożeń wśród swojego personelu, niezależnie od roli personelu w organizacji.

• j)
  podstawowe zasady cyberhigieny – jest to klauzula generalna, zmienna z uwagi na postęp technologiczny; podmiot kluczowy i podmiot ważny musi identyfikować te zasady w oparciu o aktualny poziom wiedzy technicznej,
• k)
  polityki i procedury stosowania kryptografii, w tym w stosownych przypadkach szyfrowania,

Polityki i procedury stosowania kryptografii obejmują m. in. jakie protokoły i algorytmy, rozwiązania i praktyki są zatwierdzone do używania w podmiocie, kwestie zarządzanie kluczami oraz kwestie identyfikowania poziomu ochrony i klasyfikacji aktywów oraz przypisania adekwatnych algorytmów.

• l)

  stosowanie bezpiecznych środków komunikacji elektronicznej w ramach krajowego systemu cyberbezpieczeństwa oraz wewnątrz podmiotu,

  • uwzględniających uwierzytelnianie wieloskładnikowe w stosownych przypadkach,

Przykładowo uwierzytelnianie wieloskładnikowe powinno być stosowane przy zdalnym logowaniu, dostępie do wrażliwych informacji czy do kont administratorów oraz wszędzie tam gdzie podmiot uzna to za konieczne w świetle szacowania ryzyka.

• m)
  zarządzanie aktywami,

Należy ustalić klasyfikację aktywów, polityki i procedury właściwego zarządzania aktywami, prowadzić inwentaryzację aktywów oraz dbać o zwrot aktywów po zakończeniu umowy z personelem. Przydatna będzie również polityka zarządzania nośnikami wymiennymi w organizacji.

• n)
  polityki kontroli dostępu;

Należy ustalić politykę kontroli dostępu wskazującą kto może uzyskać dostęp fizyczny i logiczny do zasobów podmiotu. Należy zarządzać prawami dostępu i anulować dostęp dla osób, które już nie potrzebują dostępu do aktywów, w tym także personelu zewnętrznego dostawcy. Należy prowadzić rejestr udzielonych dostępów. Należy zarządzać tożsamościami użytkowników i systemów, które otrzymują dostęp do zasobów organizacji. Powinny być wdrożone bezpieczne procedury uwierzytelniania adekwatne do klasyfikacji aktywów.

• 3)
  zbieranie informacji o cyberzagrożeniach i podatnościach na incydenty systemu informacyjnego wykorzystywanego do świadczenia usługi;

Zbieranie informacji o cyberzagrożeniach i podatnościach pozwala na rozwój własnego personelu, zwiększa dojrzałość organizacji, umożliwia prewencyjne usunięcie podatności w systemie lub zabezpieczenie się przed cyberzagrożeniem.

• 4)
  zarządzanie incydentami;

Warto opracować politykę zarządzania incydentami, wprowadzić narzędzie do zgłaszania incydentów wewnątrz podmiotu, wprowadzić procedurę obsługi incydentów.

• 5)

  stosowanie środków zapobiegających i ograniczających wpływ incydentów na bezpieczeństwo systemu informacyjnego wykorzystywanego do świadczenia usługi, w tym:

  • a)
    stosowanie mechanizmów zapewniających poufność, integralność, dostępność i autentyczność danych przetwarzanych w systemie informacyjnym,

Podmiot kluczowy i podmiot ważny powinien przykładowo dokonywać kopii zapasowej.

• b)
  regularne przeprowadzanie aktualizacji oprogramowania, stosownie do zaleceń producenta, z uwzględnieniem analizy wpływu aktualizacji na bezpieczeństwo świadczonej usługi oraz poziomu krytyczności poszczególnych aktualizacji,

Podmiot kluczowy i podmiot ważny ma systematycznie przeprowadzać aktualizacje oprogramowania. Przepis ma zapobiegać sytuacji, w której aktualizacje były dokonywane zbyt rzadko. Podejmując decyzję o aktualizacji, podmiot powinien dokonać analizy wpływu aktualizacji na bezpieczeństwo świadczonej usługi oraz ocenić poziom krytyczności poszczególnych aktualizacji. Celem tej analizy jest zabezpieczenie przed sytuacją, w której konkretna aktualizacja oprogramowania w istocie zagraża bezpieczeństwu świadczonej usługi. Podmiot kluczowy i podmiot ważny jest odpowiedzialny za bezpieczeństwo swoich systemów informacyjnych. Dlatego nie powinien bezrefleksyjnie kierować się zaleceniami producenta sprzętu, ale powinien samodzielnie oceniać wpływ aktualizacji na jego systemy.

• c)
  ochronę przed nieuprawnioną modyfikacją w systemie informacyjnym,
• d)
  niezwłoczne podejmowanie działań po dostrzeżeniu podatności lub cyberzagrożeń, w tym również czasowe ograniczenie ruchu sieciowego przychodzącego do infrastruktury podmiotu kluczowego lub podmiotu ważnego, które może skutkować zakłóceniem usług świadczonych przez ten podmiot, mając na uwadze konieczność minimalizacji skutków ograniczenia dostępności tych usług, z uwagi na podjęte działania.

Należy mieć przygotowane i wdrożone procedury uruchomienia planów ciągłości działania. Możliwe jest także czasowe „odcięcie” ruchu przychodzącego, aby uchronić się przed incydentem.

Objęcie systemu informacyjnego wykorzystywanego do świadczenia usługi systemem monitorowania w trybie ciągłym należy rozumieć w ten sposób, że podmiot powinien monitorować wszelkie zdarzenia, które zaistniały w systemie informacyjnym. Celem jest nie tylko zapewnienie rozliczalności, ale także umożliwienie odtworzenia co się stało w systemie informacyjnym w danym momencie.