Normy bezpieczeństwa: ISO 27001, SOC 2

ISO/IEC 27001 to międzynarodowa norma prowadzenia systemu zarządzania bezpieczeństwem informacji: powtarzalnego sposobu, w jaki organizacja decyduje, które ryzyka bezpieczeństwa są istotne, postępuje z nimi i stale się doskonali. Nie narzuca jednego zestawu narzędzi. Wymaga natomiast zrozumienia kontekstu i obowiązków, zaangażowania kierownictwa i przypisania odpowiedzialności, oceny ryzyka, wyboru zabezpieczeń, ich stosowania, mierzenia ich działania, audytów wewnętrznych i przeglądów zarządzania oraz korygowania niedociągnięć. Jej załącznik wymienia zabezpieczenia referencyjne, od polityk i zarządzania dostawcami po logowanie, monitorowanie i bezpieczeństwo sieci, a Ty wyjaśniasz, które stosujesz. Organizacja może zlecić audyt akredytowanej jednostce certyfikującej, która wyda certyfikat, i o niego zwykle pytają klienci. Certyfikacja obejmuje określony zakres, więc zawsze sprawdzaj, które lokalizacje, usługi i zespoły certyfikat faktycznie obejmuje. Dla średniej firmy to poważny projekt, dotyczący głównie ludzi i procesów, a nie technologii.

To zestaw polityk, ról, procesów i zapisów, dzięki którym organizacja zarządza bezpieczeństwem informacji celowo, a nie przypadkiem. System zarządzania bezpieczeństwem informacji (SZBI, ang. ISMS) stale odpowiada na kilka pytań: jakie informacje i systemy są ważne, jakie ryzyka im zagrażają, jakie środki stosujemy, kto za co odpowiada, skąd wiemy, że środki działają, i jak się poprawiamy, gdy nie działają. W praktyce składa się z dokumentów, takich jak polityka bezpieczeństwa, ocena ryzyka i plan postępowania z ryzykiem, deklaracja stosowanych zabezpieczeń, procedury dotyczące incydentów i dostawców, oraz z dowodów, że są przestrzegane: rejestrów szkoleń, przeglądów uprawnień, wyników audytów i protokołów przeglądów zarządzania. Nazywa się systemem, bo działa w cyklu planuj, wykonaj, sprawdź, działaj. Wymagania wobec niego określa ISO/IEC 27001, ale z tej struktury korzystają nawet firmy, które nigdy nie starają się o certyfikat, a obowiązki zarządzania ryzykiem z NIS2 naturalnie się w niej mieszczą. Narzędzie monitorujące to jedno z zabezpieczeń w tym systemie i źródło dowodów, a nie sam system.

To dokument, który wymienia każde zabezpieczenie referencyjne z załącznika normy i dla każdego mówi, czy je stosujesz, dlaczego i jak jest wdrożone. Deklaracja stosowania (SoA) łączy ocenę ryzyka z zabezpieczeniami: zabezpieczenie jest włączone, bo odpowiada na zidentyfikowane ryzyko albo spełnia obowiązek prawny lub umowny, a wyłączone tylko z podanym powodem, na przykład gdy nie masz własnych pomieszczeń. Audytorzy traktują ją jak mapę Twojego SZBI i sprawdzają deklarowane w niej zabezpieczenia; klienci czasem o nią proszą, by zrozumieć, co faktycznie obejmuje certyfikat. Pisz ją zwięźle i rzeczowo, wskazuj dowody dla każdego wdrożonego zabezpieczenia i aktualizuj, gdy zmieniają się ryzyka lub środowisko. Dobry wpis dotyczący monitoringu podaje narzędzie, objęte systemy, osobę przeglądającą wyniki i miejsce przechowywania zapisów. Jeśli NetSenX jest częścią Twojego monitoringu, jego mapa sieci, historia alertów i dziennik audytu mogą być wskazane jako dowody; samą deklarację prowadzisz Ty.

SOC 2 to raport poświadczający, zdefiniowany przez Amerykański Instytut Biegłych Rewidentów (AICPA), w którym niezależny audytor bada zabezpieczenia organizacji usługowej względem kryteriów usług zaufania (Trust Services Criteria). Bezpieczeństwo jest zawsze w zakresie; można dodać dostępność, integralność przetwarzania, poufność i prywatność. Raport opisuje system, zabezpieczenia deklarowane przez firmę, testy audytora i wykryte odstępstwa, i zwykle udostępnia się go klientom na podstawie umowy o poufności. Klienci, zwłaszcza z Ameryki Północnej, proszą o niego, bo pozwala polegać na niezależnej ocenie zamiast audytować każdego dostawcę samodzielnie. To nie jest certyfikat i nie ma progu zaliczenia: czyta się opinię audytora, zakres i odstępstwa. Gdy dostawca przyśle Ci raport, sprawdź okres, którego dotyczy, jakie usługi i lokalizacje obejmuje, jakie kryteria uwzględniono i jakie zabezpieczenia uzupełniające masz stosować po swojej stronie. NetSenX nie ma dziś raportu SOC 2; trwa przygotowanie do SOC 2 Type I.

Raport Type 1 sprawdza, czy zabezpieczenia są właściwie zaprojektowane i wdrożone w jednym momencie; raport Type 2 dodatkowo bada, czy działały skutecznie przez pewien okres, zwykle kilka miesięcy. Type 1 odpowiada na pytanie „czy w tym dniu masz właściwe zabezpieczenia?”, a Type 2 na pytanie „czy naprawdę działały przez cały czas?”, dlatego klienci polegający na dostawcy zwykle wolą ten drugi. Type 2 wymaga dowodów zbieranych przez cały okres: przeglądów uprawnień wykonanych zgodnie z harmonogramem, zmian zatwierdzonych przed wdrożeniem, incydentów obsłużonych zgodnie z procedurą, przejrzanych alertów monitoringu. Firmy często zaczynają od Type 1, by uporządkować projekt zabezpieczeń, a potem je stosują i zbierają dowody do Type 2. Czytając którykolwiek z nich, sprawdź daty, zakres, objęte kryteria i każde odstępstwo wymienione przez audytora oraz zapytaj, jak je usunięto. Status NetSenX podajemy wprost: SOC 2 Type I jest w przygotowaniu, nie wydano żadnego raportu SOC 2 żadnego typu, a Type II mógłby nastąpić, gdy zabezpieczenia będą działać przez pewien okres.

Zależy to głównie od tego, kim są Twoi klienci i czego wymagają. ISO/IEC 27001 to międzynarodowa certyfikacja systemu zarządzania, szeroko uznawana w Europie i w zamówieniach publicznych; SOC 2 to raport poświadczający oparty na amerykańskich standardach audytu, powszechny w sprzedaży oprogramowania w Ameryce Północnej. Od wielu europejskich średnich firm najpierw oczekuje się ISO 27001, a firmy sprzedające oprogramowanie w USA trafiają na ankiety SOC 2. Oba podejścia dotyczą w dużej mierze tych samych zabezpieczeń, więc praca u podstaw w znacznym stopniu się pokrywa: ocena ryzyka, kontrola dostępu, zarządzanie zmianą, zarządzanie dostawcami, reagowanie na incydenty, logowanie i monitorowanie. Jeśli z czasem będziesz potrzebować obu, zbuduj jeden zestaw zabezpieczeń i przypisz go do każdego standardu, zamiast prowadzić dwa programy. Zanim zaczniesz, zapytaj największych klientów i potencjalnych klientów, co akceptują, sprawdź, czy na razie nie wystarczy wypełniona ankieta bezpieczeństwa, i określ zakres na tyle wąsko, by dało się projekt skończyć. Żadne z nich nie zastępuje obowiązków z NIS2. NetSenX nie ma dziś żadnego z nich: trwa przygotowanie do SOC 2 Type I i ISO/IEC 42001.

ISO/IEC 42001 to międzynarodowa norma systemu zarządzania sztuczną inteligencją: polityk, ról, ocen ryzyka i zabezpieczeń, dzięki którym organizacja odpowiedzialnie rozwija, dostarcza lub wykorzystuje AI. Ma tę samą strukturę systemu zarządzania co ISO/IEC 27001, więc firmy prowadzące już SZBI rozpoznają cykl: kontekst, przywództwo, planowanie, działanie, ocena i doskonalenie. Specyficzna dla AI jest treść: ocena wpływu systemów AI na ludzi i społeczeństwo, zarządzanie danymi do trenowania i testowania, dokumentowanie systemów przez cały cykl życia, określenie nadzoru człowieka i postępowanie z komponentami AI od stron trzecich. Akredytowana jednostka może ją certyfikować. To nie jest unijny akt o AI i samo posiadanie certyfikatu nie dowodzi spełnienia wymagań aktu, ale wiele wymaganej przez normę pracy w zakresie ładu je wspiera. Dla firmy, która tylko korzysta z narzędzi AI, pełny system zarządzania może być na wyrost; rozsądnym początkiem są spis narzędzi, zasady korzystania i szkolenie pracowników. NetSenX przygotowuje się do ISO/IEC 42001; certyfikat nie został przyznany.

IEC 62443 to seria międzynarodowych norm dotyczących bezpieczeństwa przemysłowych systemów automatyki i sterowania, czyli technologii operacyjnej (OT), która steruje maszynami, zakładami i instalacjami budynkowymi. Dzieli odpowiedzialność między właścicieli instalacji, którzy eksploatują systemy, integratorów, którzy wbudowują je w zakład, i dostawców produktów, którzy wytwarzają komponenty, i stawia każdemu z nich własne wymagania. Główne idee to podział sieci zakładu na strefy z kontrolowanymi połączeniami między nimi, zwanymi kanałami (conduits); ustalenie docelowych poziomów bezpieczeństwa dla każdej strefy według zagrożeń; oraz utrzymywanie bezpieczeństwa przez cały cykl życia, od projektu do wycofania. Potrzebujesz jej, jeśli w Twojej branży wymagają jej klienci, ubezpieczyciele lub regulatorzy albo jeśli budujesz lub dostarczasz komponenty przemysłowe; wielu operatorów korzysta z niej też jako struktury dla własnego bezpieczeństwa OT bez certyfikacji. Monitoring sieci pasuje do jej nacisku na wiedzę, co z czym komunikuje się między strefami. Od planu Pro NetSenX pasywnie odczytuje Modbus/TCP, DNP3, BACnet/IP, EtherNet/IP i S7comm i nigdy nie odpytuje urządzeń OT; nie jest systemem bezpieczeństwa funkcjonalnego i nie ingeruje w proces.

Nie automatycznie, choć obejmuje dużą część zagadnień. ISO/IEC 27001 daje system zarządzania oparty na ryzyku i zabezpieczenia, które w dużej mierze pokrywają się ze środkami zarządzania ryzykiem cyberbezpieczeństwa wymaganymi przez NIS2, takimi jak obsługa incydentów, ciągłość działania, bezpieczeństwo łańcucha dostaw, kontrola dostępu i kryptografia. Ale NIS2 to prawo, a certyfikat dotyczy dobrowolnej normy, i w niektórych miejscach się różnią. NIS2 ma własne, etapowe zgłaszanie incydentów do organu krajowego zgodnie z art. 23, szczególne obowiązki organów zarządzających, w tym szkolenia i odpowiedzialność, rejestrację u organu oraz przepisy krajowe, które mogą iść dalej. Certyfikat obejmuje też tylko wskazany zakres, który może pomijać właśnie te usługi, do których stosuje się NIS2. Traktuj SZBI jako szkielet: przypisz każdy środek z NIS2 do swoich zabezpieczeń, uzupełnij luki, takie jak procedura zgłaszania i szkolenie kierownictwa, i upewnij się, że zakres obejmuje każdą usługę objętą dyrektywą. Sprawdź krajową ustawę wdrażającą NIS2 i to, czy odwołuje się do norm. NetSenX śledzi terminy zgłoszeń z NIS2 dla każdego incydentu; nie ocenia Twojego certyfikatu ani statusu względem NIS2.

Głównie w zabezpieczeniach dotyczących logowania i monitorowania oraz w powiązanych z nimi zabezpieczeniach sieci i zarządzania incydentami. W wydaniu załącznika z 2022 roku logowanie (8.15) wymaga tworzenia, ochrony i analizy zapisów aktywności, a działania monitorujące (8.16) wymagają monitorowania sieci, systemów i aplikacji pod kątem nietypowych zachowań i reagowania na nie. Wykrywanie sieciowe bezpośrednio dostarcza dowodów dla obu. Wspiera też bezpieczeństwo sieci (8.20), pokazując, które urządzenia komunikują się między segmentami, oraz zabezpieczenia zarządzania incydentami, dając datowany punkt wyjścia do oceny zdarzeń, reagowania na nie i zbierania dowodów. Korzysta również inwentaryzacja zasobów, bo mapa sieci pokazuje urządzenia, których nie ma na Twojej liście. Monitoring nie obejmuje uprawnień dostępu, kopii zapasowych, bezpiecznego wytwarzania oprogramowania ani umów z dostawcami, więc nie naciągaj tego przypisania. W deklaracji stosowania podaj narzędzie, objęte segmenty, osobę przeglądającą alerty i miejsce przechowywania zapisów. Mapa sieci, historia alertów i dziennik audytu NetSenX, w każdym planie, oraz raporty zgodności w PDF, od planu Starter, mogą służyć jako takie dowody.

Dziś nie i mówimy to wprost. NetSenX nie ma certyfikatu ISO/IEC 27001 ani raportu SOC 2. Trwa przygotowanie do SOC 2 Type I i ISO/IEC 42001, co oznacza, że prace są w toku i nic nie zostało przyznane; zaktualizujemy tę stronę, gdy niezależna jednostka wyda coś, co można zweryfikować. Co możesz sprawdzić już teraz: umowę powierzenia przetwarzania danych opublikowaną na stronie, z listą podprocesorów i ich lokalizacji; miejsce przechowywania danych klientów, z bazą danych w Irlandii i API we Frankfurcie i Paryżu; stronę o bezpieczeństwie; oraz naszą politykę odpowiedzialnego ujawniania podatności. Odpowiadamy na ankiety bezpieczeństwa, a jeśli Twoje procedury zakupowe wymagają certyfikatu, którego jeszcze nie możemy przedstawić, powiedz nam wcześnie, żebyś mógł zdecydować przy pełnej wiedzy, a nie odkryć to późno. Niektórzy nasi podprocesorzy mają własne certyfikaty, wymienione w umowie powierzenia; dotyczą one ich usług, nie NetSenX. Jeśli dostawca powołuje się na certyfikat, poproś o sam certyfikat, jego zakres i nazwę jednostki, która go wydała, i sprawdź go u tej jednostki.

To bezpłatne ramy opracowane przez amerykański Narodowy Instytut Norm i Technologii (NIST), które opisują rezultaty w zakresie cyberbezpieczeństwa, do jakich organizacja powinna dążyć, uporządkowane w funkcje Govern, Identify, Protect, Detect, Respond i Recover. Wersja 2.0 dodała Govern, obejmującą strategię, role, polityki, zarządzanie ryzykiem i ryzyko łańcucha dostaw, i rozszerzyła ramy z infrastruktury krytycznej na organizacje każdej wielkości i branży. To nie jest certyfikacja i nie narzuca narzędzi; opisujesz obecny profil, ustalasz profil docelowy i planujesz zamknięcie luki, a poziomy wdrożenia opisują dojrzałość podejścia. Europejskie firmy korzystają z nich jako z czytelnej struktury, choć nie są prawem UE, często razem z ISO/IEC 27001 i NIS2, z którymi dobrze się mapują. Wykrywanie sieciowe należy głównie do funkcji Detect, przez ciągłe monitorowanie i analizę niepożądanych zdarzeń, i wspiera Respond informacjami o tym, co się stało. NetSenX pokrywa część Detect w obserwowanych segmentach: beaconing, skanowanie, ruch lateralny i nietypowo duże wysyłanie danych, w każdym planie. Govern, Protect i Recover wymagają innych środków.

IT-Grundschutz to metodyka bezpieczeństwa niemieckiego Federalnego Urzędu Bezpieczeństwa Informacji (BSI), szeroko stosowana przez niemieckie instytucje publiczne i firmy. Składa się ze standardów BSI opisujących, jak zbudować system zarządzania bezpieczeństwem informacji, przeprowadzić ocenę potrzeb ochrony i postępować z ryzykiem, oraz z kompendium modułów z konkretnymi wymaganiami dla typowych elementów, takich jak serwery, sieci, aplikacje, budynki i procesy. Zamiast zaczynać każdą ocenę ryzyka od zera, modelujesz środowisko za pomocą odpowiednich modułów i stosujesz ich wymagania, a ryzyko analizujesz osobno tylko tam, gdzie potrzeby ochrony są wysokie albo żaden moduł nie pasuje. Za pośrednictwem BSI można uzyskać certyfikat ISO 27001 na podstawie IT-Grundschutz, łączący oba podejścia. Metodyka jest szczegółowa i dla małej firmy może być ciężka, ale jej moduły są bezpłatną, praktyczną listą kontrolną nawet bez starania się o certyfikat i pomagają w niemieckich obowiązkach NIS2 wynikających z BSIG. Moduły sieciowe zawierają wymagania dotyczące logowania i wykrywania, dla których monitoring sieci dostarcza dowodów. NetSenX nie ocenia zgodności z Grundschutz.

Certyfikacja to rozstrzygnięcie akredytowanej jednostki typu „spełnia albo nie spełnia”, że organizacja odpowiada normie, potwierdzone certyfikatem; raport poświadczający to opinia audytora o zabezpieczeniach wraz ze szczegółami tego, co przetestowano. ISO/IEC 27001 działa przez certyfikację: akredytowana jednostka certyfikująca audytuje system zarządzania, wydaje certyfikat dla określonego zakresu i dalej sprawdza go w audytach nadzoru aż do recertyfikacji. SOC 2 działa przez poświadczenie: niezależny audytor testuje zabezpieczenia względem kryteriów i pisze raport z opinią i ewentualnymi odstępstwami, który udostępniasz na podstawie umowy o poufności. W praktyce certyfikat łatwo zweryfikować i porównać, ale mówi niewiele o szczegółach; raport mówi znacznie więcej, ale trzeba go przeczytać, łącznie z zakresem, okresem, odstępstwami i zabezpieczeniami, które musisz stosować sam. Oba są tyle warte, na ile ich zakres dotyczy kupowanej usługi. Uważaj na dostawców, którzy samoocenę, politykę albo przegląd gotowości wykonany przez konsultanta przedstawiają jako jedno lub drugie. NetSenX nie ma dziś żadnego z nich; trwa przygotowanie do SOC 2 Type I i ISO/IEC 42001.

Zacznij od zakresu i dowodów, a nie od dokumentów dla samych dokumentów. Najpierw ustal zakres: jaką organizację, lokalizacje, usługi i systemy obejmie certyfikat, dobrane tak, by miały znaczenie dla klientów i dało się projekt ukończyć. Potem wykonaj podstawową pracę wymaganą przez normę: ocenę ryzyka i plan postępowania z nim, deklarację stosowania, obowiązkowe polityki i procedury, przypisane role, świadomość pracowników i zabezpieczenia, które naprawdę działają. Pozwól im działać wystarczająco długo, żeby powstały zapisy, takie jak przeglądy uprawnień, zatwierdzenia zmian, zgłoszenia incydentów, weryfikacje dostawców i przeglądy monitoringu, bo audytorzy sprawdzają dowody działania, a nie zamiary. Przed audytem zewnętrznym przeprowadź audyt wewnętrzny i przegląd zarządzania, a ustalenia napraw. Audyty certyfikacyjne zwykle odbywają się w dwóch etapach: najpierw przegląd dokumentacji i gotowości, potem ocena, czy system działa w praktyce. Wybierz akredytowaną jednostkę certyfikującą i oddziel konsultanta, który Ci pomaga, od audytora. W zakresie zabezpieczeń monitoringu częścią dowodów mogą być mapa sieci, historia alertów, dziennik audytu i raporty zgodności w PDF z NetSenX; NetSenX niczego nie audytuje ani nie certyfikuje.