Внедрена система за информационна сигурност ISO 27001 – работеща сигурност!

/by

Загубен договор след въпросник за сигурността, невъзможност да се възстановят критични данни или неясна отговорност при инцидент – това обикновено са моментите, в които внедряването на ISO 27001 стават приоритет за ръководството. Стандартът не е папка с политики, подготвена за одит. Той е управленска рамка, чрез която организацията определя кои информационни активи са критични, какви рискове носи работата с тях и как доказва, че контролите действат в практиката.

За малките и средните предприятия темата често изглежда прекалено сложна или подходяща само за големи корпорации. Реалността е друга. Ако дружеството обработва лични данни, поддържа документален архив, работи с финансови системи, разработва софтуер, обслужва клиенти онлайн или е част от верига на по-голям доставчик, изискванията за информационна сигурност вече са пряко бизнес условие.

Какво решават ISO 27001 консултациите

ISO 27001 определя изискванията към система за управление на информационната сигурност, позната като ISMS. Тя обхваща не само антивирусна защита, пароли и сървъри. В нейния обхват влизат хората, процесите, доставчиците, документите, физическата среда и решенията, които управляват достъпа до информация.

Добре проведените консултации започват с конкретния бизнес, а не с готов шаблон. За счетоводна компания критични могат да бъдат клиентските досиета, електронният обмен на документи и непрекъсваемостта в данъчни кампании. За производствено предприятие фокусът може да е върху системите за планиране, инженерната документация и дистанционния достъп на външни поддръжки. При доставчик на IT услуги особено значение имат разделянето на клиентските среди, регистрите на привилегированите достъпи и доказуемото възстановяване след инцидент.

Целта не е да се наложи еднакъв набор от мерки навсякъде. Целта е организацията да избере адекватни контроли според риска, договорните ангажименти и допустимия бюджет. Това е съществената разлика между работеща система и документация, която се отваря само преди сертификационен одит.

От първоначален преглед до приложима система

Практическият проект по ISO 27001 обичайно започва с анализ на текущото състояние. Преглеждат се информационните активи, системите, ролите, договорите с външни доставчици, наличните политики, архивирането, управлението на достъпа и историята на инцидентите. Още на този етап често се откриват проблеми, които не изискват мащабна инвестиция, а ясно разпределение на отговорности и дисциплина при изпълнението.

Следва определяне на обхвата. Не всяка организация трябва непременно да включи всички свои дейности и локации още в първата сертификация. По-тесният, но логично обоснован обхват може да бъде разумен старт, когато конкретна услуга или отдел работи с най-чувствителната информация. Ограничаването на обхвата обаче не бива да прикрива критични зависимости. Ако основната услуга разчита на външен облачен доставчик, архивна инфраструктура или централизирана идентификация, тези зависимости трябва да бъдат оценени.

Ядрото на системата е оценката на риска. Тук се определят активите, заплахите, уязвимостите, вероятността от неблагоприятно събитие и неговият ефект върху бизнеса. Въпросът не е единствено дали може да има кибератака. Въпросът е какво ще се случи, ако служител изпрати файл на грешен получател, ако архивът не може да бъде възстановен, ако ключов администратор напусне без предаване на достъпите или ако доставчик временно прекъсне услугата си.

На база на оценката се изготвя план за третиране на риска и приложимост на контролите. Част от рисковете се намаляват чрез технически мерки като многофакторна автентикация, криптиране, сегментация на мрежата и защита на крайни устройства. Други изискват организационни решения – процедури за назначаване и освобождаване на служители, правила за работа от разстояние, управление на доставчици, обучение и регистър на инцидентите.

Документацията трябва да води до действие

ISO 27001 изисква документирана информация, но количеството документи не е показател за качество. Прекалено подробни политики, написани на неразбираем език, рядко се следват. По-полезна е ясна система от правила, регистри и доказателства, която отразява реалния начин на работа.

Това включва политика по информационна сигурност, методика за оценка на риска, регистър на активите, правила за контрол на достъпа, процедура за управление на инциденти, планове за непрекъсваемост и възстановяване, както и механизъм за вътрешни одити и преглед от ръководството. Всеки документ трябва да има собственик, версия и логика за прилагане.

Най-честият пропуск е разминаването между описаното и реалното. Например политиката може да предвижда периодичен преглед на достъпите, но никой да не пази доказателство, че прегледът е извършен. Може да има правило за резервни копия, но без тестове за възстановяване. Сертификационният одитор търси именно тази последователност: определено изискване, изпълнена дейност и проследим запис.

Технологичните мерки не могат да останат извън обхвата

Информационната сигурност не се постига само с политика, подписана от управителя. Архивирането трябва да има определени периоди на съхранение, защита срещу неоторизирано изтриване и проверено време за възстановяване. Управлението на крайните устройства трябва да включва актуализации, защита от зловреден софтуер, криптиране при необходимост и контрол при загубен или откраднат лаптоп.

Също толкова важни са регистрите на административните права, централизираното управление на потребителите и наблюдението на събитията, които могат да сигнализират за инцидент. Подходящата комбинация зависи от средата. Организация с малък екип може да използва управлявани услуги и външен експертен капацитет, вместо да поддържа скъп вътрешен център за наблюдение. Това не намалява отговорността й, но прави изпълнението икономически реалистично.

При Буллсофт консултантската работа може да бъде свързана с техническо внедряване – защитено архивиране, възстановяване на информационни системи, защита на устройства и управление на документи. Така регистрите и процедурите не остават отделени от средата, която трябва да защитават.

Сертификацията е проверка, а не крайна цел

Когато системата е внедрена и работи достатъчно време, следват вътрешен одит и преглед от ръководството. Те не са формални стъпки. Вътрешният одит проверява дали определените контроли се изпълняват, а ръководството взема решения за ресурси, остатъчни рискове, промени и подобрения.

След това външен сертифициращ орган извършва одит на два етапа. Първият разглежда готовността на документацията и рамката на системата. Вторият проверява внедряването чрез интервюта, извадки от записи и проследяване на процеси. Несъответствията не са непременно провал. Те показват какво трябва да бъде коригирано, за да има системата необходимата надеждност.

Сертификатът обикновено улеснява участието в търгове, преминаването през проверки от клиенти и демонстрирането на зряло управление на риска. Той обаче не е гаранция, че инцидент няма да настъпи. Истинската му стойност е в способността на организацията да открива слабости, да реагира контролирано и да възстановява критичните си операции.

Връзката с GDPR, NIS2 и договорните изисквания

ISO 27001 не заменя GDPR, NIS2 или секторни правила като DORA за финансовите организации. Той предоставя управленска структура, която прави изпълнението им по-проследимо. Регистърът на активите подпомага анализа на обработваните данни. Управлението на инциденти подпомага оценката дали е налице нарушение на сигурността на личните данни. Контролът върху доставчиците е важен и при договорни изисквания, и при оценка на веригата на доставки по NIS2.

Тук има и важен баланс. Не всяко нормативно задължение трябва да се превръща в нова отделна процедура. По-ефективният подход е единна система, в която отговорностите, оценката на риска, техническите мерки и доказателствата се използват за повече от една цел. Това намалява административната тежест и дава на ръководството по-ясна картина за реалното състояние на сигурността.

Най-добрият момент за започване не е седмицата преди клиентски одит или след инцидент. Той е моментът, в който ръководството реши, че критичната информация заслужава същата управленска дисциплина като финансите, договорите и основните бизнес процеси.

Архивиране на фирмени данни в облак с контролирана защита

/by

Една криптирана папка, изтрита по грешка в края на отчетния период, или успешна ransomware атака могат да блокират работа, плащания и обслужване на клиенти за часове. Архивиране на фирмени данни в облак има стойност не когато файловете просто са качени извън офиса, а когато организацията може да ги възстанови бързо, в пълен обем и при доказуем контрол на достъпа.

За малките и средните предприятия темата не е само техническа. Тя засяга договорни отношения, срокове за съхранение на документи, лични данни, отчетност пред одитори и способността бизнесът да продължи работа след инцидент. Добре проектираният облачен архив превръща тази зависимост в управляван процес.

Архивът не е просто резервно копие

Резервното копие е копие на данни, предназначено за възстановяване след загуба, повреда или инцидент. Архивът често има и втора функция – дългосрочно съхранение на документи, кореспонденция, отчети или записи според вътрешни правила и законови изисквания. На практика двете понятия се припокриват, но не бива да се управляват като едно и също нещо.

Например счетоводна база данни може да изисква ежедневни резервни копия с кратък срок за възстановяване. Договори, кадрови досиета и архиви от документооборотна система може да подлежат на различни периоди на пазене, ограничен достъп и проследимост на действията. Ако всичко се съхранява в една папка с един и същ срок, организацията поема ненужен риск – както от липса на данни, така и от прекомерно пазене на лична информация.

Ефективният модел започва с класификация: кои данни са критични за дейността, кои съдържат лични данни или търговска тайна, кой носи отговорност за тях и колко дълго трябва да се пазят. Едва след това се избира технологията.

Какво трябва да защитава облачното архивиране

Облакът не е гаранция сам по себе си. Ако достъпът до администраторския профил е компрометиран, ако архивът се презаписва автоматично или ако никой не проверява възстановяването, копията може да не помогнат в критичен момент. Сигурността зависи от архитектурата и правилата за управление.

Криптиране и управление на достъпа

Данните трябва да са криптирани при пренос и при съхранение. Също толкова съществен е въпросът кой управлява ключовете, кой има право да възстановява информация и как се удостоверяват тези действия. Многофакторната автентикация, ролевият достъп и отделните администраторски акаунти ограничават риска един компрометиран профил да даде пълен контрол над продукционните системи и архивите.

При данни с висока чувствителност е разумно да се прилага принципът на минималните права. Финансовият екип не се нуждае непременно от достъп до техническите архиви, а външен доставчик не следва да получава повече права от необходимото за конкретната поддръжка. Всяко предоставено право трябва да бъде обосновано, документирано и периодично преглеждано.

Защита от изтриване и ransomware

При ransomware атаките нападателите често търсят и унищожават резервните копия преди или след криптиране на основните данни. Затова е нужен отделен защитен слой – неизменяеми копия за определен срок, версии на файловете и изолиране на архивната среда от ежедневната работна мрежа.

Практически приложим ориентир е правилото 3-2-1: поне три копия на данните, на два различни типа носители, като едно копие е извън основната локация. В облачна среда това не означава задължително множество доставчици. Означава да има независимост между продукционната среда и архивите, контролирано съхранение на версиите и защита срещу неоторизирано изтриване.

Наблюдение и доказуемост

Архивирането трябва да генерира отчети: успешно ли е изпълнена задачата, какъв обем е защитен, има ли пропуснати устройства и кога е извършен последният тест за възстановяване. Тези данни са важни за IT екипа, но и за ръководството, което трябва да оцени реалния риск и изпълнението на договорени нива на услуга.

Логовете и отчетите подпомагат доказването на контрол пред одитори, клиенти и регулаторни органи. Те не заменят организационните мерки, но показват, че те работят последователно, а не само са описани в политика.

Архивиране на фирмени данни в облак според критичността

Не всички системи се възстановяват по един и същ начин. Важно е предварително да бъдат определени две бизнес цели. RPO показва колко данни организацията може да си позволи да загуби като период – например до един час работа. RTO определя за колко време системата трябва да бъде възстановена – например до четири часа.

За ERP система, електронна поща, документооборот и база данни с поръчки обикновено са нужни по-чести копия и по-кратки срокове за връщане в работа. За исторически архив или файлове с рядко използвани справки може да е оправдан по-икономичен клас съхранение и по-дълго време за достъп. Единният подход изглежда лесен, но често води или до прекомерни разходи, или до неприемливо дълго прекъсване.

Затова добрият проект не започва с въпроса „Колко терабайта имаме?“, а с въпроса „Какво се случва с бизнеса, ако тази система не работи утре сутрин?“. Отговорът определя честотата на копиране, периода на съхранение, нивото на защита и бюджета.

GDPR, NIS2 и вътрешните правила

Когато архивите съдържат лични данни, GDPR изисква подходящи технически и организационни мерки за гарантиране на конфиденциалност, цялостност и наличност. Това не означава, че всяка компания трябва да прилага еднаква инфраструктура. Мерките трябва да са съобразени с риска, вида на данните и възможните последици за засегнатите лица.

На практика са необходими ясно определени срокове за съхранение, процедура за възстановяване, регистър на обработванията, правила за достъп и договорни отношения с доставчиците, които обработват данни от името на организацията. Трябва да е ясно и къде се съхраняват данните, как се управляват инцидентите и какво се случва с копията при прекратяване на услугата.

За организации, попадащи в обхвата на NIS2 или DORA, резервните копия и възстановяването са част от по-широката рамка за управление на киберриска и непрекъсваемостта. ISO 27001 също насочва към оценка на риска, контрол на достъпа, управление на активи и проверими процедури. Технологията е необходима, но без политики, роли и периодични тестове трудно може да се докаже устойчив контрол.

Тестът за възстановяване е решаващият момент

Архив, който никога не е възстановяван, е предположение, а не доказана защита. Файлът може да е непълен, базата данни да е неконсистентна, скоростта на връщане да е недостатъчна или необходимите права да липсват точно по време на инцидент.

Тестовете трябва да обхващат не само единичен файл, но и реални бизнес сценарии: възстановяване на сървър, база данни, документооборотна система или работна станция след компрометиране. Добра практика е резултатът да се документира – какво е възстановено, за колко време, имало ли е отклонения и какви корекции са направени.

Честотата на тестовете зависи от критичността. При промяна на система, миграция, нова версия на приложение или сериозно преструктуриране на данните тестът не бива да чака годишния преглед. Най-опасните пропуски се появяват именно когато инфраструктурата се променя, а старите процедури остават непроменени.

Как се внедрява работеща услуга

Внедряването започва с инвентаризация на системите, данните и текущите копия. Следва оценка на риска и определяне на RPO, RTO, срокове за пазене и отговорни лица. На тази основа се конфигурират архивни политики, криптиране, права за достъп, известия и защитени версии.

След техническата настройка идва управленската част: процедури при инцидент, график за тестове, правила за промяна на конфигурацията и отчетност към ръководството. Това е мястото, където външен IT и compliance партньор може да намали натоварването върху вътрешния екип, като свърже инфраструктурата с изискванията по GDPR, ISO 27001, NIS2 или DORA.

Буллсофт подхожда към облачното архивиране като към услуга за непрекъсваемост, а не като към изолирано място за съхранение. Това означава съчетаване на защитена инфраструктура, възстановяване, документация и измерими проверки на резултата.

Полезната следваща стъпка не е да купите повече място в облака, а да проверите дали можете да възстановите най-критичната си система в договорения срок. Този отговор показва реалното ниво на защита на бизнеса.