Polskie Normy w zarządzaniu bezpieczeństwem informacji

Transkrypt

1 Polskie Normy w zarządzaniu bezpieczeństwem informacji Normy dotyczące systemów zarządzania: Typ A - Normy zawierające wymagania dotyczące systemu zarządzania, Typ B - Normy zawierające wytyczne dotyczące systemu zarządzania, Typ C - Normy związane z systemami zarządzania. Pierwsze normy bezpieczeństwa - IETF (ang. The Internet Engineering Task Force ) w postaci standardu RFC 2196 (podejście techniczne, ograniczone do zagadnień sieciowych). Przełomowa norma brytyjska BS 7799, która objęła swoim zakresem ochronę informacji w organizacjach (instytucjach). Normą pierwszego typu (typ A) zawierającą wytyczne dotyczące systemu zarządzania jest Polska Norma PN-I :2005 Systemy zarządzania bezpieczeństwem informacji Część 2: Specyfikacja i wytyczne do stosowania. Jest ona dosłownym tłumaczeniem normy brytyjskiej BS :2002, normy, która zrobiła światową karierę. Mówi ona o tym jak naleŝy zaprojektować System Zarządzania Bezpieczeństwem Informacji (SZBI, ang. ISMS) i jak go utrzymywać, aby stale odpowiadał szybkozmiennym warunkom otoczenia. W tej normie określono wymagania dotyczące ustanawiania, wdraŝania, eksploatacji, śledzenia (monitorowania) i przeglądów oraz utrzymywania i doskonalenia udokumentowanego SZBI. DuŜy nacisk połoŝono na spójność SZBI z innymi funkcjonującymi w organizacji systemami zarządzania a szczególnie z systemem zarządzania jakością i systemem zarządzania środowiskowego. Na zgodność z tą normą organizacja moŝe certyfikować swój system zarządzania bezpieczeństwem informacji. Normą zawierającą wymagania dotyczące systemu zarządzania bezpieczeństwem informacji (typ B) jest Polska Norma PN-ISO/IEC 17799:2003 Technika informatyczna. Praktyczne zasady zarządzania bezpieczeństwem informacji. Zamieszczono w niej praktyczne zasady mogące być punktem wyjścia do tworzenia przez organizację własnych wytycznych polityki bezpieczeństwa informacji spójnej z polityką bezpieczeństwa firmy i uwzględniającej specyfikę i wielkość instytucji. Intencją twórców tej normy było dostarczenie wspólnej, moŝliwie jednolitej podstawy do rozwijania przez organizację własnych standardów BI i efektywnego sposobu nim zarządzania. Celem normy jest takŝe budowanie zaufania w kontaktach pomiędzy instytucjami, które powierzają sobie swoje zasoby informacyjne lub je współdzielą. Dokumentami normatywnymi związanymi z systemami zarządzania bezpieczeństwem informacji (typ C) i zajmującymi się wyłącznie aspektami tego bezpieczeństwa w systemach informatycznych (IT) są: 1. Polska Norma PN-I :1999 Technika informatyczna. Wytyczne do zarządzania bezpieczeństwem systemów informatycznych. Pojęcia i modele bezpieczeństwa systemów informatycznych jest normą nomenklaturową definiującą i opisującą pojęcia związane z zarządzaniem bezpieczeństwem systemów IT, zaleŝności zachodzące pomiędzy zarządzaniem bezpieczeństwem a zarządzaniem systemami IT w ogólności oraz prezentującą kilka modeli, które mogą zostać uŝyte do opisu bezpieczeństwa systemów IT. Norma ta jest odpowiednikiem raportu technicznego ISO/IEC TR : Raport Techniczny ISO/IEC TR :1997 Technika informatyczna. Wytyczne do zarządzania bezpieczeństwem systemów informatycznych. Część 2: Zarządzanie i 1

2 planowanie bezpieczeństwa systemów informatycznych zawiera wytyczne odnoszące się do zagadnień niezbędnych dla prawidłowego i skutecznego zarządzania wszystkimi aspektami bezpieczeństwa systemów informatycznych, opisuje działania z tym związane jak równieŝ prezentuje role i odpowiedzialności pracowników instytucji. Skierowany jest nie tylko do kadry kierowniczej odpowiedzialnej za bezpieczeństwo systemów IT ale i do kierowników odpowiedzialnych za procesy, które w znaczącym stopniu wykorzystują systemy informatyczne. 3. Raport Techniczny ISO/IEC TR :1998 Technika informatyczna. Wytyczne do zarządzania bezpieczeństwem systemów informatycznych. Część 3: Techniki zarządzania bezpieczeństwem systemów informatycznych zawiera opis technik bezpieczeństwa przydatnych dla osób uczestniczących w działaniach kierowniczych podczas trwania realizacji przedsięwzięcia, zaangaŝowanych w planowanie, projektowanie, wdraŝanie, testowanie, nabywanie i eksploatację systemu IT. Zaprezentowane w tym dokumencie techniki słuŝą do przeprowadzenia analizy wymagań bezpieczeństwa IT, sporządzenia planu zapewniającego spełnienie tych wymagań, wdroŝenia zabezpieczeń wg sporządzonego planu oraz do utrzymania i administrowania wdroŝonymi zabezpieczeniami. W tym raporcie wiele uwagi poświęcono technikom analizy ryzyka i postępowania z ryzykiem. Ukazały się juŝ jako międzynarodowy dokument normalizacyjny dwie kolejne części Raportu Technicznego ISO/IEC TR Część 4 Selection of safeguards (Wybór zabezpieczeń) z 2000 roku opisuje wytyczne przydatne do wyboru zabezpieczeń systemów IT. Część 5 Safeguards for external connections (Zabezpieczenia połączeń zewnętrznych) z 2001 roku zawiera wytyczne dla instytucji dołączających swoje wewnętrzne systemy informatyczne do sieci zewnętrznych. Obie części nie znalazły się w planie wydawniczym PKN na bieŝący rok i najprawdopodobniej nie będą juŝ przyjęte jako kolejne arkusze Polskiej Normy. Powodem tego jest to, Ŝe aktualnie ISO powoli znika a właściwie przekształca się na normy serii ISO Nowa rodzina norm międzynarodowych serii ISO dotyczących systemów zarządzania bezpieczeństwem informacji składa się na razie z dwóch norm ISO wywodzącej się z BS :2002, której odpowiednikiem jest omawiana powyŝej PN-I :2005 i z normy ISO 17799:2005 (ISO 27002) zastępującej normę ISO/IEC 17799:2003. Nowym normom zastępującym ISO nadawane będą kolejne numery z grupy ISO Ciekawe źródła: Audyt bezpieczeństwa informacji w praktyce Informacja w świetle regulacji prawnych Przechowywanie i przetwarzanie informacji zostało zdefiniowane w licznych aktach prawnych w Polsce i na świecie są one potrzebne do wdroŝenia systemu bezpieczeństwa informacji w kaŝdej instytucji. Określają one poziomy waŝności informacji i wyróŝniają kilka typów tajemnicy: Państwowa (własność Państwa), SłuŜbowa (tajemnica przedsiębiorstwa bądź instytucji), Danych osobowych, Skarbowa, statystyczna oraz bankowa. 2

3 Podstawowe zasady audytu Aby móc wdroŝyć system zarządzania bezpieczeństwem informacji, naleŝy zastosować się do określonej normy, która jasno precyzuje zasady wdraŝania stosownych procedur. Istnieje kilka norm naleŝących do róŝnych organizacji, którymi moŝna posłuŝyć się przy wdraŝaniu SZBI. Norma PN-ISO/IEC 17799:2003 Jest zbiorem zaleceń i wytycznych, wspomagających proces tworzenia, wdraŝania i skutecznego monitorowania Systemu Zarządzania Bezpieczeństwem Informacji. W kolejnych rozdziałach normy ujęte zostały praktyczne wskazówki będące punktami wyjścia do stworzenia wytycznych wewnętrznych: Zakres normy, Terminy i definicje, Polityka bezpieczeństwa, Organizacja bezpieczeństwa, Klasyfikacja i kontrola aktywów, Bezpieczeństwo osobowe, Bezpieczeństwo fizyczne i środowiskowe, Zarządzanie systemami i sieciami, Kontrola dostępu do systemu, Rozwój i utrzymanie systemu, Zarządzanie ciągłością działania, Zgodność. Podstawowy dokument SZBI to polityka bezpieczeństwa informacji. Definiuje się w niej m.in. pojęcia: Bezpieczeństwa informacji, Przeznaczenie wdraŝania systemu w firmie, Wymagania prawne, które wynikają z zawieranych umów, Opis procedury kształcenia załogi w zakresie bezpieczeństwa, Konsekwencje niestosowania procedur, Metodologię zarządzania ciągłością działania biznesowego w sytuacjach krytycznych. Istotnym elementem normy jest spis procedur i zasad postępowania w przypadku wykrycia naruszenia bezpieczeństwa informacji. Rozdział 6 normy porusza temat bezpieczeństwa związanego z osobami 3

4 zatrudnionymi w organizacji stanowiącego największe zagroŝenie (statystycznie 70% przypadków naruszenia zasad bezpieczeństwa danych wynika z zaniedbania pracownika firmy, zwykle są to działania wynikające z braku świadomości istniejących zagroŝeń). W rozdziale 7 znalazły się zalecenia odnośnie zabezpieczeń środowiska pracy w rozumieniu lokalizacji poszczególnych źródeł (nośników) informacji. W kolejnych rozdziałach opisano wytyczne do stosowania zabezpieczeń w systemach informatycznych. Przy opracowywaniu i wprowadzaniu w Ŝycie PBI naleŝy bezwzględnie przestrzegać przepisów obowiązującego prawa, w tym: Ustawy z dnia 27 lipca 2001 r. o ochronie baz danych (Dz.U z późniejszymi zmianami), Ustawy z dnia 18 lipca 2002 r. o świadczeniu usług drogą elektroniczną (Dz.U z późniejszymi zmianami), Rozporządzenia Prezesa Rady Ministrów z dnia 25 sierpnia 2005 r. w sprawie podstawowych wymagań bezpieczeństwa teleinformatycznego (Dz.U ), Rozporządzenia Ministra Finansów z dnia 31 października 2003 r. w sprawie szczegółowych zasad tworzenia, utrwalania, przechowywania i zabezpieczania dokumentów związanych z zawieraniem i wykonywaniem umów ubezpieczenia (Dz.U ), Rozporządzenia Ministra Spraw Wewnętrznych i Administracji z dnia 29 kwietnia 2004 r. w sprawie dokumentacji przetwarzania danych osobowych oraz warunków technicznych i organizacyjnych, jakim powinny odpowiadać urządzenia i systemy informatyczne słuŝące do przetwarzania danych osobowych (Dz.U ), Rozporządzenia Ministra Sprawiedliwości z dnia 28 kwietnia 2004 r. w sprawie sposobu technicznego przygotowania systemów i sieci słuŝących do przekazywania informacji do gromadzenia wykazów połączeń telefonicznych i innych przekazów informacji oraz sposobów zabezpieczania danych informatycznych (Dz.U ), Ustawy z dnia 18 września 2001 r. o podpisie elektronicznym (Dz.U z późniejszymi zmianami), Rozporządzenia Rady Ministrów z dnia 7 sierpnia 2002 r. w sprawie określenia warunków technicznych i organizacyjnych dla kwalifikowanych podmiotów świadczących usługi certyfikacyjne, polityk certyfikacji dla kwalifikowanych certyfikatów wydawanych przez te podmioty oraz warunków technicznych dla bezpiecznych urządzeń słuŝących do składania i weryfikacji podpisu elektronicznego (Dz.U ), Dyrektywy Parlamentu Europejskiego i Rady z dnia 13 grudnia 1999 r. w sprawie ramowych warunków Wspólnoty dla podpisu elektronicznego (99/93/WE). NaleŜy pamiętać, Ŝe dyrektywy nie są aktami prawnymi zobowiązującymi osoby fizyczne i prawne w państwach członkowskich, a jedynie państwa członkowskie (nie obowiązują bezpośrednio, ale podlegają implementacji w prawodawstwie państw członkowskich), Ustawy z dnia 22 stycznia 1999 r. o ochronie informacji niejawnych (tekst jednolity Dz.U ), Ustawy z dnia 29 sierpnia 1997 r. o ochronie danych osobowych (Dz.U z późniejszymi zmianami). 4

5 ODPOWIEDZIALNOŚĆ KARNA (Rozdział XXXIII Kodeksu karnego Przestępstwa przeciwko ochronie informacji ): Art., Kto ujawnia lub wbrew przepisom ustawy wykorzystuje informacje stanowiące tajemnicę państwową, podlega karze pozbawienia wolności od 3 miesięcy do lat JeŜeli informację określoną w 1 ujawniono osobie działającej w imieniu lub na rzecz podmiotu zagranicznego, sprawca podlega karze pozbawienia wolności od 6 miesięcy do lat Kto nieumyślnie ujawnia informację określoną w 1, z którą zapoznał się w związku z pełnieniem funkcji publicznej lub otrzymanym upowaŝnieniem, podlega grzywnie, karze ograniczenia wolności albo pozbawienia wolności do roku. Art., Kto, wbrew przepisom ustawy lub przyjętemu na siebie zobowiązaniu, ujawnia lub wykorzystuje informację, z którą zapoznał się w związku z pełnioną funkcją, wykonywaną pracą, działalnością publiczną, społeczną, gospodarczą lub naukową, podlega grzywnie, karze ograniczenia wolności albo pozbawienia wolności do lat Funkcjonariusz publiczny, który ujawnia osobie nieuprawnionej informację stanowiącą tajemnicę słuŝbową lub informację, którą uzyskał w związku z wykonywaniem czynności słuŝbowych, a której ujawnienie moŝe narazić na szkodę prawnie chroniony interes, podlega karze pozbawienia wolności do lat Ściganie przestępstwa określonego w 1 następuje na wniosek pokrzywdzonego. Art., Kto bez uprawnienia uzyskuje dostęp do informacji dla niego nieprzeznaczonej, otwierając zamknięte pismo, podłączając się do sieci telekomunikacyjnej lub przełamując albo omijając elektroniczne, magnetyczne, informatyczne lub inne szczególne jej zabezpieczenie, podlega grzywnie, karze ograniczenia wolności albo pozbawienia wolności do lat Tej samej karze podlega, kto bez uprawnienia uzyskuje dostęp do całości lub części systemu informatycznego. 3. Tej samej karze podlega, kto w celu uzyskania informacji, do której nie jest uprawniony, zakłada lub posługuje się urządzeniem podsłuchowym, wizualnym albo innym urządzeniem lub oprogramowaniem. 4. Tej samej karze podlega, kto informację uzyskaną w sposób określony w 1-3 ujawnia innej osobie. 5. Ściganie przestępstwa określonego w 1-4 następuje na wniosek pokrzywdzonego. Art., Kto, nie będąc do tego uprawnionym, niszczy, uszkadza, usuwa lub zmienia zapis istotnej informacji albo w inny sposób udaremnia lub znacznie utrudnia osobie uprawnionej zapoznanie się z nią, podlega grzywnie, karze ograniczenia wolności albo pozbawienia wolności do lat JeŜeli czyn określony w 1 dotyczy zapisu na informatycznym nośniku danych, sprawca podlega karze pozbawienia wolności do lat Kto, dopuszczając się czynu określonego w 1 lub 2, wyrządza znaczną szkodę majątkową, podlega karze pozbawienia wolności od 3 miesięcy do lat Ściganie przestępstwa określonego w 1-3 następuje na wniosek pokrzywdzonego. Art. 268a. 1. Kto, nie będąc do tego uprawnionym, niszczy, uszkadza, usuwa, zmienia lub utrudnia dostęp do danych informatycznych albo w istotnym stopniu zakłóca lub uniemoŝliwia automatyczne przetwarzanie, gromadzenie lub przekazywanie takich danych, podlega karze pozbawienia wolności do lat Kto, dopuszczając się czynu określonego w 1, wyrządza znaczną szkodę majątkową, podlega karze pozbawienia wolności od 3 miesięcy do lat Ściganie przestępstwa określonego w 1 lub 2 następuje na wniosek pokrzywdzonego. Art., Kto niszczy, uszkadza, usuwa lub zmienia dane informatyczne o szczególnym znaczeniu dla obronności kraju, bezpieczeństwa w komunikacji, funkcjonowania administracji rządowej, innego organu państwowego lub instytucji państwowej albo samorządu terytorialnego albo 5

6 zakłóca lub uniemoŝliwia automatyczne przetwarzanie, gromadzenie lub przekazywanie takich danych, podlega karze pozbawienia wolności od 6 miesięcy do lat Tej samej karze podlega, kto dopuszcza się czynu określonego w 1, niszcząc albo wymieniając informatyczny nośnik danych lub niszcząc albo uszkadzając urządzenie słuŝące do automatycznego przetwarzania, gromadzenia lub przekazywania danych informatycznych. Art. 269a. Kto, nie będąc do tego uprawnionym, przez transmisję, zniszczenie, usunięcie, uszkodzenie, utrudnienie dostępu lub zmianę danych informatycznych, w istotnym stopniu zakłóca pracę systemu komputerowego lub sieci teleinformatycznej, podlega karze pozbawienia wolności od 3 miesięcy do lat 5. Art. 269b. 1. Kto wytwarza, pozyskuje, zbywa lub udostępnia innym osobom urządzenia lub programy komputerowe przystosowane do popełnienia przestępstwa określonego w art pkt 4, art , art. 268a 1 albo 2 w związku z 1, art albo art. 269a, a takŝe hasła komputerowe, kody dostępu lub inne dane umoŝliwiające dostęp do informacji przechowywanych w systemie komputerowym lub sieci teleinformatycznej, podlega karze pozbawienia wolności do lat W razie skazania za przestępstwo określone w 1, sąd orzeka przepadek określonych w nim przedmiotów, a moŝe orzec ich przepadek, jeŝeli nie stanowiły własności sprawcy. Art Kto zabiera w celu przywłaszczenia cudzą rzecz ruchomą, podlega karze pozbawienia wolności od 3 miesięcy do lat Tej samej karze podlega, kto bez zgody osoby uprawnionej uzyskuje cudzy program komputerowy w celu osiągnięcia korzyści majątkowej. 3. W wypadku mniejszej wagi, sprawca podlega grzywnie, karze ograniczenia wolności albo pozbawienia wolności do roku. 4. JeŜeli kradzieŝ popełniono na szkodę osoby najbliŝszej, ściganie następuje na wniosek pokrzywdzonego. 5. Przepisy 1, 3 i 4 stosuje się odpowiednio do kradzieŝy energii lub karty uprawniającej do podjęcia pieniędzy z automatu bankowego. Art., Kto, w celu osiągnięcia korzyści majątkowej lub wyrządzenia innej osobie szkody, bez upowaŝnienia, wpływa na automatyczne przetwarzanie, gromadzenie lub przekazywanie danych informatycznych lub zmienia, usuwa albo wprowadza nowy zapis danych informatycznych, podlega karze pozbawienia wolności od 3 miesięcy do lat W wypadku mniejszej wagi, sprawca podlega grzywnie, karze ograniczenia wolności albo pozbawienia wolności do roku. 3. JeŜeli oszustwo popełniono na szkodę osoby najbliŝszej, ściganie następuje na wniosek pokrzywdzonego. Rozdział 8 ustawy o ochronie danych osobowych Przepisy karne : Art., Kto przetwarza w zbiorze dane osobowe, choć ich przetwarzanie nie jest dopuszczalne albo do których przetwarzania nie jest uprawniony, podlega grzywnie, karze ograniczenia wolności albo pozbawienia wolności do lat JeŜeli czyn określony w ust. 1 dotyczy danych ujawniających pochodzenie rasowe lub etniczne, poglądy polityczne, przekonania religijne lub filozoficzne, przynaleŝność wyznaniową, partyjną lub związkową, danych o stanie zdrowia, kodzie genetycznym, nałogach lub Ŝyciu seksualnym, sprawca podlega grzywnie, karze ograniczenia wolności albo pozbawienia wolności do lat 3. Art. 50. Kto administrując zbiorem danych przechowuje w zbiorze dane osobowe niezgodnie z celem utworzenia zbioru, podlega grzywnie, karze ograniczenia wolności albo pozbawienia wolności do roku. 6

7 Art Kto administrując zbiorem danych lub będąc obowiązany do ochrony danych osobowych udostępnia je lub umoŝliwia dostęp do nich osobom nieupowaŝnionym, podlega grzywnie, karze ograniczenia wolności albo pozbawienia wolności do lat JeŜeli sprawca działa nieumyślnie, podlega grzywnie, karze ograniczenia wolności albo pozbawienia wolności do roku. Art. 52. Kto administrując danymi narusza choćby nieumyślnie obowiązek zabezpieczenia ich przed zabraniem przez osobę nieuprawnioną, uszkodzeniem lub zniszczeniem, podlega grzywnie, karze ograniczenia wolności albo pozbawienia wolności do roku. Art. 53. Kto będąc do tego obowiązany nie zgłasza do rejestracji zbioru danych, podlega grzywnie, karze ograniczenia wolności albo pozbawienia wolności do roku. Art. 54. Kto administrując zbiorem danych nie dopełnia obowiązku poinformowania osoby, której dane dotyczą, o jej prawach lub przekazania tej osobie informacji umoŝliwiających korzystanie z praw przyznanych jej w niniejszej ustawie, podlega grzywnie, karze ograniczenia wolności albo pozbawienia wolności do roku. ODPOWIEDZIALNOŚĆ ODSZKODOWAWCZA (Kodeks cywilny): Art. 23. Dobra osobiste człowieka, jak w szczególności zdrowie, wolność, cześć, swoboda sumienia, nazwisko lub pseudonim, wizerunek, tajemnica korespondencji, nietykalność mieszkania, twórczość naukowa, artystyczna, wynalazcza i racjonalizatorska, pozostają pod ochroną prawa cywilnego niezaleŝnie od ochrony przewidzianej w innych przepisach. Art Ten, czyje dobro osobiste zostaje zagroŝone cudzym działaniem, moŝe Ŝądać zaniechania tego działania, chyba Ŝe nie jest ono bezprawne. W razie dokonanego naruszenia moŝe on takŝe Ŝądać, aŝeby osoba, która dopuściła się naruszenia, dopełniła czynności potrzebnych do usunięcia jego skutków, w szczególności aŝeby złoŝyła oświadczenie odpowiedniej treści i w odpowiedniej formie. Na zasadach przewidzianych w kodeksie moŝe on równieŝ Ŝądać zadośćuczynienia pienięŝnego lub zapłaty odpowiedniej sumy pienięŝnej na wskazany cel społeczny. 2. JeŜeli wskutek naruszenia dobra osobistego została wyrządzona szkoda majątkowa, poszkodowany moŝe Ŝądać jej naprawienia na zasadach ogólnych. 3. Przepisy powyŝsze nie uchybiają uprawnieniom przewidzianym w innych przepisach, w szczególności w prawie autorskim oraz w prawie wynalazczym. Art, Kto z winy swej wyrządził drugiemu szkodę, obowiązany jest do jej naprawienia. 7