Plan zarządzania bezpieczeństwem – ISO 19650-5 w praktyce (cz. 2)  

Proces priorytetyzacji bezpieczeństwa (triaż), którym zamknęliśmy pierwszą część tego poradnika, daje odpowiedź na pytanie czy chronić nasze aktywa oraz informacje i w jakim zakresie. W tej części zajmiemy się tym, kto ma to zrobić, w jakim dokumencie zapisać ustalenia i jak wyegzekwować je od dostawców produktów i usług. Czyli treściami opisanymi w rozdziałach 5-9 oraz załącznikach B, C i D normy ISO 19650-5. 

Napastnik zawsze przygotowuje się do ataku. Zaczyna od zbierania informacji i naturalnie będzie miał ułatwione zadanie, jeśli organizacja sama nie wie, komu i na jak długo dała dostęp do danych o obiekcie. Przy obecnej sytuacji na wschodniej granicy UE, gdzie celem stają się zakłady przemysłowe, węzły transportowe i infrastruktura techniczna, taka luka potrafi kosztować wiele. Może się zdarzyć, że najwyższą cenę. 

Rozliczalność zostaje, odpowiedzialność można delegować 

Rozdział 5 wprowadza rozróżnienie odpowiedzialności. Najwyższe kierownictwo wyznacza osobę rozliczaną za wdrożenie podejścia i tej rozliczalności nie da się przenieść. Można jednak wyznaczyć osobę(y) odpowiedzialną za bieżące zadania. Konkretne obowiązki wolno delegować dalej: bezpieczeństwo osobowe do kadr, cyberbezpieczeństwo do kierownika IT, bezpieczeństwo fizyczne do menedżera obiektu itd. Kierownik do spraw bezpieczeństwa jest funkcją, a nie stanowiskiem – w mniejszych organizacjach pełni ją osoba z innymi obowiązkami.  

Trzy dokumenty bezpieczeństwa 

Rozdziały 6-8 opisują dokumentację, przy czym każdy z dokumentów odpowiada na inne pytanie. 

Strategia bezpieczeństwa odpowiada na pytania „dlaczego i co”: rejestr wyników procesu priorytetyzacji bezpieczeństwa, ustalenia dotyczące ról, ocena ryzyk, możliwe i wybrane środki ograniczające, podsumowanie ryzyk tolerowanych i szczątkowych oraz mechanizmy przeglądu. Zatwierdza ją najwyższe kierownictwo. Jest w tym pewien paradoks: strategia sama stanowi informację wrażliwą, bo opisuje słabe punkty organizacji, więc dostęp do fragmentów jej treści podlega zasadzie wiedzy niezbędnej. 

Plan zarządzania bezpieczeństwem odpowiada na pytanie „jak”: polityki, procesy, wymagania informacyjne bezpieczeństwa, zasady przekazywania informacji stronom trzecim, wymagania bezpieczeństwa logistycznego, przypisanie ról, wymagania monitorowania i audytu oraz mechanizmy przeglądu.  

Plan zarządzania naruszeniami i incydentami stanowi element planu głównego. Opisuje, jakie zdarzenia mogą wystąpić i co grozi organizacji, z kim kontaktować się natychmiast po wykryciu, jak powiadomić strony, których zdarzenie dotyczy, jak ograniczyć szkody i przywrócić normalne działanie oraz co sprawdzić w przeglądzie po zdarzeniu. Obejmuje również sytuacje, do których omal nie doszło.  

Przy „odtwarzaniu”, czyli powrocie do stanu sprzed naruszenia bezpieczeństwa obowiązuje zasada, o której łatwo zapomnieć w pośpiechu: jeżeli potrzebne są dowody dla organów ścigania, zabezpiecza się je przed rozpoczęciem odtwarzania. Odtwarzanie może bowiem zniszczyć lub skazić cyfrowy materiał dowodowy. Jedyny wyjątek to działania konieczne dla ochrony życia. 

Łańcuch dostaw 

Rozdział 9 przenosi wymagania na dostawców już na etapie przetargu. Informacje trafiają wtedy do wielu podmiotów, z których większość nie zostanie wybrana, dlatego przed ich udostępnieniem zawiera się porozumienie o wymianie informacji określające także zasady przechowywania, usuwania i niszczenia danych po zakończeniu postępowania. 

Podam tu przykład z naszego własnego podwórka. Startując kiedyś jako potencjalny podwykonawca, otrzymaliśmy dostęp do pełnej dokumentacji technicznej szpitala – bez żadnych zabezpieczeń, bez umowy o poufności, bez pytania, komu ten dostęp przekażemy. Nikt też później nie upomniał się o usunięcie tych plików. Trudno o lepszą ilustrację tego, przed czym rozdział 9 ma chronić: informacje o obiekcie trafiły do organizacji, która ostatecznie nie wygrała postępowania i nie miała żadnego zobowiązania, żeby się z nimi obchodzić w określony sposób. Całe szczęcie, że nie mieliśmy złych zamiarów. 

W dokumentacji zlecenia powinno się umieścić postanowienia wspierające polityki z planu zarządzania bezpieczeństwem, wraz z działaniami obowiązującymi po zakończeniu prac. Wymagania kaskadują się na kolejne poziomy podzleceń, a zleceniodawca zachowuje prawo przeglądu środków bezpieczeństwa na każdym z tych poziomów. Fazę zamyka demobilizacja – zwrot, bezpieczne przechowanie, usunięcie lub zniszczenie informacji, wraz z weryfikacją, że procedury faktycznie wykonano. 

Załącznik D podaje zalecenia dotyczące umowy o współdzieleniu informacji: cel udostępnienia, odbiorców i okoliczności dostępu, rodzaj i jakość informacji, dozwolone i zabronione działania, zarządzanie użytkownikami, zasady przechowywania i trwałego wymazywania, obowiązek powiadomienia o naruszeniu oraz sankcje. Taka umowa pozwala przenieść postanowienia planu zarządzania bezpieczeństwem na strony, z którymi nie wiąże nas formalne zlecenie. 

Podsumowanie 

ISO 19650-5 daje wskazówki dotyczące kolejnych kroków jakie należy wykonać aby zwiększyć bezpieczeństwo naszych aktywów i ich informacji. Najpierw ustalamy, co jest wrażliwe i w jakim zakresie. Potem wyznaczamy osobę rozliczaną i opisujemy podejście w strategii. Następnie zamieniamy strategię w polityki i procesy. Dopisujemy scenariusz na wypadek naruszeń i przenosimy całość do umów z dostawcami – od przetargu aż po odebranie dostępów po zakończeniu prac. 

Trzymamy kciuki, żebyście nigdy nie byli zmuszeni reagować na żadne zagrożenia. Aby jednak mieć spokój ducha, współdzielcie informacje rozważnie i trzymajcie się bezpiecznie! 

Ten artykuł jest częścią cyklu Poradnik ISO 19650. Jest realizowany pod patronatem BSI (British Standards Institution), rzuca światło na znaczenie standaryzacji zgodnie z normą wieloczęściową ISO 19650. Chcesz dowiedzieć się więcej o BIM i ISO 19650? Śledź nasz blog lub zapisz się na szkolenie. 

Źródło: PN-EN ISO 19650-5:2026 (EN ISO 19650-5:2020).