SZBI – co to jest i jak wdrożyć system zarządzania bezpieczeństwem informacji.
Zespół INTRAQ · · 6 min czytania
W SKRÓCIE
- SZBI to system zasad, procesów i zabezpieczeń chroniących poufność, integralność i dostępność informacji.
- Wzorcem jest norma ISO/IEC 27001:2022, a dla podmiotów publicznych także Krajowe Ramy Interoperacyjności.
- Rdzeniem SZBI jest analiza ryzyka, a nie dokumentacja.
- Wdrożenie przebiega etapami: audyt zerowy, ryzyko, dokumentacja, szkolenia, audyt wewnętrzny.
Co to jest SZBI
SZBI, czyli system zarządzania bezpieczeństwem informacji, to uporządkowany sposób, w jaki organizacja decyduje, jakie informacje chroni, przed czym i w jaki sposób. Obejmuje ludzi, procesy i technologię. Celem jest ochrona trzech cech informacji: poufności (dostęp mają tylko uprawnieni), integralności (informacja jest prawdziwa i kompletna) i dostępności (jest dostępna wtedy, gdy jest potrzebna).
Międzynarodowym wzorcem SZBI jest norma ISO/IEC 27001:2022. Jej załącznik A zawiera 93 zabezpieczenia podzielone na cztery grupy: organizacyjne, osobowe, fizyczne i technologiczne.
Kto musi mieć SZBI
Podmioty publiczne mają obowiązek opracowania, ustanowienia i utrzymywania systemu zarządzania bezpieczeństwem informacji na podstawie Krajowych Ram Interoperacyjności. Dotyczy to m.in. urzędów, ośrodków pomocy społecznej, bibliotek publicznych i innych jednostek realizujących zadania publiczne.
Podmioty kluczowe i ważne w rozumieniu znowelizowanej ustawy o KSC muszą wdrożyć system zarządzania ryzykiem i zabezpieczenia, które w praktyce odpowiadają SZBI. Dla firm SZBI i certyfikat ISO 27001 są często wymaganiem kontrahentów.
Z czego składa się SZBI
- Polityka bezpieczeństwa informacji zatwierdzona przez kierownictwo.
- Ewidencja aktywów informacyjnych: procesy, dane, systemy, nośniki, ludzie.
- Analiza i szacowanie ryzyka oraz plan postępowania z ryzykiem.
- Analiza wpływu na działalność (BIA) i plany ciągłości działania.
- Deklaracja stosowania zabezpieczeń.
- Procedury: zarządzanie uprawnieniami, incydenty, kopie zapasowe, praca zdalna, dostawcy.
- Szkolenia i budowanie świadomości.
- Audyty wewnętrzne i przeglądy zarządzania.
Wdrożenie SZBI krok po kroku
- Audyt zerowy – ocena stanu obecnego i luk względem wymagań.
- Określenie zakresu systemu i ról: kto jest właścicielem ryzyka, kto pełnomocnikiem.
- Ewidencja aktywów w podziale na komórki organizacyjne.
- Analiza ryzyka i BIA – co jest najważniejsze i co mu zagraża.
- Dobór zabezpieczeń i plan postępowania z ryzykiem.
- Opracowanie polityk i procedur dopasowanych do jednostki.
- Szkolenia kierownictwa i pracowników.
- Audyt wewnętrzny i przegląd zarządzania, a potem cykliczne doskonalenie.
Najczęstsze błędy
- Kopiowanie gotowych wzorów dokumentów bez dopasowania do jednostki.
- Analiza ryzyka zrobiona raz i nigdy niezaktualizowana.
- Brak zaangażowania kierownictwa.
- Procedury, których pracownicy nie znają lub nie stosują.
- Kopie zapasowe, z których nikt nie próbował odtworzyć danych.
Pytania i odpowiedzi
Czym różni się SZBI od polityki bezpieczeństwa informacji?
Polityka bezpieczeństwa informacji to jeden dokument zawierający główne zasady i cele. SZBI to cały system: polityka, analiza ryzyka, procedury, zabezpieczenia, szkolenia i audyty.
Czy SZBI wymaga certyfikatu ISO 27001?
Nie. Można wdrożyć i utrzymywać SZBI zgodny z normą bez certyfikacji. Certyfikat jest potwierdzeniem przez niezależną jednostkę, że system działa.
Jak często aktualizować analizę ryzyka?
Co najmniej raz w roku oraz po istotnych zmianach: nowym systemie, reorganizacji, poważnym incydencie lub zmianie przepisów.