Које документе фирма треба да има поред Акта о безбедности ИКТ система

Већина фирми које се усклађују са Законом о информационој безбедности стигне до два документа — Акта о процени ризика и Акта о безбедности ИКТ система — и ту стане, уз утисак да је посао завршен. Проблем је што ни закон, ни стандарди на које се закон и инспекција ослањају (ISO 27001, NIST), не гледају на то тако. Акт о безбедности је оквир који набраја мере; инспектор, ревизор или сертификациони аудитор траже и именоване, самосталне документе који ту меру конкретно спроводе — писану политику лозинки, план за случај да се нешто поквари, процедуру ко зове кога кад се деси инцидент.

Зато смо уз постојећу услугу (анализа ризика и Акт о безбедности) проширили понуду са 11 таквих докумената, подељених у две групе.

Оперативне политике

Ово су правила за свакодневан рад, она на која се Акт о безбедности само позива, а не разрађује их:

• Политика рада од куће — опрема, VPN, шта се дешава кад се изгуби лаптоп.
• Политика коришћења вештачке интелигенције — који AI алати су дозвољени и шта се не уноси у њих.
• Политика управљања лозинкама — сложеност, MFA, период важења.
• Политика прихватљиве употребе ИТ опреме — шта је дозвољено на фирминим уређајима.
• Политика управљања приступом — ко одобрава, ко ревидира, рок за одузимање приступа.
• Политика класификације података — који подаци су поверљиви и како се с њима поступа.
• Политика управљања трећим странама — безбедносна провера добављача и сарадника.
• План обуке и подизања свести — програм редовне безбедносне обуке, не само једнократне.

Планови за кризне ситуације

Ова три документа закон и стандарди издвајају посебно, јер се од њих не тражи само постојање него и спремност да се стварно примене:

• План реаговања на инциденте — ко пријављује инцидент, коме, и како се у пракси испуњава законски рок од 24 сата за пријаву Националном ЦЕРТ-у (чл. 13 Закона). Најчешћа рупа коју виђамо: фирма има техничке мере, али нико унапред не зна ко конкретно подиже телефон у 2 ујутру.
• План континуитета пословања (BCP) — који процеси морају да наставе да раде и за колико време, ко преузима координацију, где се посао наставља ако главна локација постане недоступна.
• План опоравка од катастрофе (DRP) — технички парњак BCP-а: редослед опоравка ИТ система, колико података је прихватљиво изгубити, и ко конкретно спроводи опоравак.

Зашто је битно да су међусобно усаглашени, не само са законом

Најчешћи проблем са оваквим документима кад се наручују одвојено или преузимају као генерички шаблони — помињу другачије системе, другачије одговорне особе, другачију опрему од оних који су већ уписани у Акт о процени ризика. Инспектору или ревизору то одмах упадне у очи и отвара питање да ли је фирма документа уопште пажљиво прегледала. Свих 11 докумената израђујемо на основу истог, већ пописаног профила фирме — истих ресурса, истих одговорних лица, истог контекста који је клијент дао за Акт о процени ризика — тако да се план континуитета пословања и политика лозинки не контрадиктују, него допуњују исти, јединствен приказ фирме.

Садржај сваког документа је усклађен и са мерама које Закон о информационој безбедности набраја у члану 10, и са оним што међународни стандарди (ISO 27001, укључујући контроле додате у верзији из 2022. године, и NIST Cybersecurity Framework) сматрају добром праксом — што значи да ови документи раде двоструко: задовољавају домаћу законску обавезу и приближавају фирму евентуалној будућој ISO 27001 сертификацији, без додатног посла.