Normy w IT i cyberbezpieczeństwie: jak standardy zastępują „widzimisię administratora”
W obszarze IT i cyberbezpieczeństwa normy pełnią dokładnie tę samą rolę, co w zamówieniach publicznych czy logistyce: porządkują wymagania, ograniczają uznaniowość i pozwalają wykazać należytą staranność. Różnica polega na tym, że skutki braku norm często ujawniają się dopiero po incydencie.
Dlaczego normy są kluczowe w IT
Systemy informatyczne są złożone, dynamiczne i silnie zależne od ludzi. Bez jasno określonych standardów bezpieczeństwo IT opiera się na indywidualnych decyzjach, doświadczeniu zespołu lub nieformalnych praktykach. To wystarcza do momentu pierwszego poważnego incydentu.
Normy w IT wprowadzają spójne ramy: definiują role, odpowiedzialności, procesy reagowania, metody zarządzania ryzykiem oraz sposób dokumentowania działań. Dzięki temu bezpieczeństwo przestaje być kwestią opinii.
Normy jako dowód należytej staranności
W cyberbezpieczeństwie bardzo często kluczowe pytanie brzmi: czy organizacja zrobiła wszystko, co rozsądnie możliwe, aby zapobiec incydentowi lub ograniczyć jego skutki.
Odwołanie do norm i standardów pozwala odpowiedzieć na to pytanie w sposób obiektywny. Zamiast tłumaczyć się z pojedynczych decyzji, organizacja może wykazać, że działała zgodnie z uznanym standardem. To mechanizm identyczny jak w PZP: wymaganie, dowód, weryfikacja.
Najczęściej stosowane normy i standardy w IT
W praktyce IT i cyberbezpieczeństwa funkcjonuje kilka „kręgosłupowych” norm, do których odwołują się umowy, audyty, polityki bezpieczeństwa i wymagania klientów:
- ISO/IEC 27001 – system zarządzania bezpieczeństwem informacji
- ISO/IEC 27002 – środki i dobre praktyki bezpieczeństwa informacji
- ISO/IEC 27005 – zarządzanie ryzykiem w bezpieczeństwie informacji
- ISO 22301 – ciągłość działania (BCM)
- ISO/IEC 27701 – zarządzanie informacją o prywatności
- ISO/IEC 20000-1 – zarządzanie usługami IT
- NIST Cybersecurity Framework – ramy zarządzania cyberbezpieczeństwem
Część z tych standardów ma charakter norm certyfikowalnych, a część pełni rolę wytycznych i dobrych praktyk, ale wszystkie tworzą wspólny punkt odniesienia dla oceny bezpieczeństwa.
Instytucje normalizujące i źródła standardów
Normy i ramy bezpieczeństwa IT są opracowywane przez organizacje normalizacyjne oraz instytucje wyspecjalizowane w cyberbezpieczeństwie. W praktyce najczęściej spotykane są dokumenty pochodzące z systemu ISO/IEC oraz z międzynarodowych instytucji zajmujących się bezpieczeństwem informacji.
Na poziomie krajowym i międzynarodowym normy te są następnie przyjmowane, wdrażane i audytowane w organizacjach publicznych i prywatnych.
Jednostki certyfikujące i audyty bezpieczeństwa
Wymagania kontraktowe i regulacyjne coraz częściej przewidują potwierdzenie zgodności z normami w formie certyfikatu lub audytu zewnętrznego. Certyfikacja systemu zarządzania bezpieczeństwem informacji staje się w wielu branżach warunkiem współpracy.
Podobnie jak w PZP, certyfikat lub raport z audytu pełni rolę obiektywnego dowodu spełnienia wymagań, niezależnego od deklaracji samej organizacji.
5 przykładów zastosowania norm w IT i cyberbezpieczeństwie
1) Wymagania bezpieczeństwa w umowach IT
Klient wymaga, aby dostawca usług IT posiadał wdrożony system zarządzania bezpieczeństwem informacji zgodny z określonym standardem. Bez spełnienia tego warunku oferta nie jest rozpatrywana, niezależnie od ceny czy doświadczenia zespołu.
2) Zarządzanie incydentami według procedur
Po wykryciu incydentu organizacja nie improwizuje, lecz działa zgodnie z wcześniej zdefiniowanymi procedurami. Czas reakcji, sposób eskalacji i dokumentowanie zdarzeń wynikają wprost z przyjętego standardu.
3) Audyt bezpieczeństwa zamiast „zaufania do administratora”
Zamiast polegać wyłącznie na zapewnieniach zespołu IT, organizacja zleca audyt zgodności z normą. Wynik audytu pokazuje luki systemowe, a nie tylko indywidualne błędy ludzi.
4) Ciągłość działania po awarii lub ataku
Standard ciągłości działania określa, jak szybko systemy mają zostać odtworzone oraz jakie procesy są krytyczne. Dzięki temu organizacja nie podejmuje decyzji ad hoc, lecz realizuje wcześniej przyjęty plan.
5) Spór po incydencie rozstrzygany standardem
Po wycieku danych kluczowe staje się pytanie, czy organizacja działała zgodnie z uznanymi standardami. Norma staje się punktem odniesienia przy ocenie odpowiedzialności i należytej staranności.
Wniosek praktyczny
W IT i cyberbezpieczeństwie normy nie są dodatkiem do technologii. Są mechanizmem zarządzania ryzykiem i odpowiedzialnością. Dokładnie tak jak w PZP: wymaganie, dowód zgodności i możliwość weryfikacji. Różnica polega na tym, że w IT brak norm często ujawnia się dopiero, gdy jest już za późno na improwizację. Opracowanie redakcyjne.