1) dr Zdenko Adelsberger, Bluefield d,o,o,, Zagreb, HR, mail: zdenko@bluefield.hr*) Ovaj rad je nastao kao rezultat praktine implementacije ISMS-a prema novoj reviziji ISO/IEC27001:2013.

87-1

IMPLEMENTACIJA ISO/IEC 27001 PREMA ANKESU SL

IMPLEMENTATION ISO/IEC 27001 ACCORDIND TO ANNEX SL *)

dr Zdenko Adelsberger1)

Rezime: U ovom radu predstavljeni je postupak implementacije sistema upravljanjainformacijskom sigurnosu (ISMS) prema novoj reviziji standarda ISO/IEC 27001:2013. Potpunonova struktura standarda, temeljena na Aneksu SL iz 2012 godine uveo je niz noviteta kako upostupak implementacije sistema upravljanja, tako i u interne provjere. U radu se daje kritikiosvrt i usporedba implementacije sa starom revizijom standarda jer iskustva se mogu direktnoprimjeniti i za implementacije novih revizija ISO 9001 i ISO 14001, ije se objavljivanje oekujetokom 2015 godine. Posebno se komentira i prikazuje mogunost integracije sistema upravljanjaija se implementacija temelji na standardima koji su napravljani prema aneksu SL.Kljune rei: isms, iso/iec27001, annex sl, implemenatacija

Abstract: In this paper, described the process of implementation of the Information SecurityManagement System (ISMS) according to the new revision of ISO/IEC 27001:2013. Completelynew structure standards, based on Annex SL from 2012 introduced a number of innovations to theprocess of implementation of management systems, as well as in internal checks. The paperprovides a critical review and comparison with the old standards because experience can bedirectly applied to the implementation of the new revision of ISO 9001 and ISO 14001, expectedfor release during 2015. Especially commented possibility of integration management systemwhose implementation based on standards that have been created by the Annex SL.Key words: isms, iso/iec 27001, annex SL, implementation

1. UVOD

Implementacija bilo kojueg sistemaupravljanja prema zahtjevima ISO standardauvijek predstavlja ozbiljan projekt u organizaciji.Ozbiljnost implementacija znaajno raste sapotrebama i eljama uprave da odimplementiranog sistema upravljanja imaju iobjektivne koristi, a ne samo eventualno pravouea na nekom tenderu. Za svaki sistemupravljanja moe se navoditi niz razloga zato gaimplementirati, ali bez obzirana podrujedjelovanja bilo kojeg sistema upravljanja, uvijek jejedan od razloga implementacije prisuta: ueeimplementiranog sistema upravljanja u stvaranjuvika vrijednosti za kompaniju. Ponekad je tekodokazati kako i koliko neki sistem upravljanjauestvuje u stvaranju vika vrijednosti, ali je istotako teko, odnosno nemogue dokazati da neuestvuje.

Komplikacije unutar komanije priimplementaciji sistema upravljanja nastaju i zbogtoga to u pravilu treba implementirati vie odjednog sistema upravljanja prema formalnimspecifikacijama zahtjeva ISO standarda. S jednestrane ni jedan takav sistem upravljanja ne moeraditi unutar kompanije potpuno samostalno, bezinteraktivnog utjecaja prema drugim sistemimaupravljanja, kao to drugi sistemi upravljanja

utjeu na njega. To dovodi do injanice da treba ufazi donoenja odluke o implementaciji nekogsistema upravljanja voditi rauna i o integracijinovog sistema s ostalim, ve postojeim. Ukontekstu ISO standarda do 2012 godine formalnonije postojao princip integracije sistemaupravljanja, mada je bilo odreenih rjeenja udrugim prostorima vaenja nekih standarda (npr.BSI PAS 99 za podrje zemalja komonvelta). 2012godine ISO je publicirao Anex SL koji definirastrukturu i pristup pisanju standarda kojipredstavljaju specifikacije zahtjeva zaimplementaciju nekog sistema upravljanja. Prematom Anex SL svi standardi koji su specifikacijazahtjeva u budunosti moraju imati potpuno istustrukturu. Pored toda, usvojen je jedan princip,koji apsolutno odgovara realnoj situaciji: svisistemi upravljanja imaju niz zahtjeva potpunojednake, a neki zahtjevi se razlikuju odo jednog dodrugog sistema upravljanja, ovisno od podruja inamjene djelovanja. U tom smislu, zajednikizahtjevi, koji su isti za sve sisteme upravljanja sutekstualno potpuno jednaki u svim novimrevizijama poslije 2012 godine, a samo u okvirupoglavlja 8 novih standarda se obraujuspecifinosti pojedinog sistema upravljanja.

Jedan od prvih standarda koje je specifikacijazahtjeva u skladu s Anexom XL objavljen je 2013godine za sisteme upravljanja informacijskom

87-2

sigurnou (ISMS). To je ISO/IEC 27001:2013.Prethodna revizija tog standarda je bila iz 2005godine.

U okviru ovog radea se kritiki osvre naznaajke implementacije ISMS-a prema novojreviziji sukladnoj Anexu XL u poreenju sa staromrevizijom. Rad je rezultat iskustva implementacijeniza ISMS-a prema reviziji iz 2005 godine iiskustva implementacije prema reviziji iz 2013godine. Pored toga, u radu se provodi analizanovog pristupa samo za podruje ISMS, odnosnoISO/IEC 27001, i ne referira se na druge standarde,mada se praktiki svi zakljuci mogu gotovo ucjelosti primijeniti i za druge sisteme upravljanja.

2. USPOREDBA ISO/IEC 27001 IZ 2013 I2005 GODINE

Prvi pregled i usporedba standarda ISO/IEC27001 iz 2005 i iz 2013 godine pokazuje da jenova revizija potpuno drugaija. Sadraj revizije izISO/IEC 27001:2013 je:

Predgovor0 Uvod1 Opseg2 Normativne reference3 Pojmovi i definicije4 Kontekst organizacije

4.1 Razumijevanje organizacije i njenogkonteksta

4.2 Razumijevanje potreba i oekivanjazainteresiranih strana

4.3 Odreivanje opsega sustava za upravljanjeinformacijskom sigurnou

4.4 Sustav za upravljanje informacijskomsigurnou5 Rukovoenje

5.1 Rukovoenje i predanost5.2 Politika5.3 Organizacijske uloge, odgovornosti i ovlasti

6 Planiranje6.1 Akcije za rjeavanje rizika i prilika6.2 Ciljevi informacijske sigurnosti i planiranje

za njihovo ostvarivanje7 Podrka

7.1 Resursi7.2 Kompetencije7.3 Svjesnost7.4 Komunikacija7.5 Dokumentirane informacije

8 Operacije8.1 Operativno planiranje i kontrola8.2 Procjena rizika informacijske sigurnosti8.3 Obrada rizika informacijske sigurnosti

9 Ocjenjivanje uspjenosti9.1 Nadzor, mjerenje, analiza i ocjena

9.2 Unutarnji audit9.3 Upravina ocjena

10 Poboljanje10.1 Nesukladnost i korektivne akcije10.2 Kontinuirano poboljanje

Aneks A (normativni) Referenca ciljevakontrola i kontrolaBibliografija----------------

Za razliku od te revizije iz 2013 godine,revizija ISO/IEC 27001:2005 ima sadraj:

SadrajPredgovor0 Uvod0.1 Openito0.2 Procesni pristup0.3 Kompatibilnost sa ostalim sustavimaupravljanja1 Predmet1.1 Openito1.2 Primjena2 Normativne reference3 Nazivi i definicije4 Sustav upravljanja informacijskomsigurnou4.1 Opi zahtjevi4.2 Uspostavljanje i upravljanje ISMS-om4.2.1 Uspostaviti ISMS4.2.2 Implementirati i izvravati ISMS4.2.3 Nadzirati i provjeravati ISMS4.2.4 Odravati i poboljavati ISMS4.3 Zahtjevi za dokumentaciju4.3.1 Openito4.3.2 Kontrola dokumenata4.3.3 Kontrola zapisa5 Odgovornost uprave5.1 Opredjeljenje uprave5.2 Upravljanje sredstvima5.2.1 Dodjeljivanje sredstava5.2.2 Obuavanje, razina svijesti i sposobnosti6 Interne prosudbe (auditi) ISMS-a7 Provjera ISMS-a od strane uprave7.1 Openito7.2 Ulazni podaci za provjeru7.3 Rezultati provjere8 Poboljanje ISMS-a8.1 Stalno poboljanje8.2 Korektivna akcija8.3 Preventivna akcijaAneks A: Ciljevi kontrola i kontroleAneks B: OECD principi i ova meunarodnanormaAneks C: Podudarnosti izmeu ISO 9001:2000,ISO 14001:2004 i ove meunarode normeBibliografija----------------

87-3

Ralike su evidentno u strukturi ogromne,odnosno toliko velike da se na nivou sadrajateko mili nikako mogu usporeivati meusobno.Stvar se mijenja kada se pogleda sadraj.

Generalno govorei ova promjena donijela jeniz prednosti, ali i ima i neke nedostake. Kljuninedostatak nove revizije ISO/IEC 27001:2013 uodnosu na ISO/IEC 27001:2005 je u tome to jeprethodna revizija imala eksplicitno definiraneaktivnosti koje se provode unutar PDCA krugaprocesa upravljanja informacijskom sigurnou. Unovoj revizi to nije tako navedeno, to moeposebno kod nedovoljno iskusnih implementatoraISMS-a izazvati nedoumice, kako stvarno provestiimplementaciju. Ostale novosti koje donosi novarevizija i/ili iskljuenje nekih stvari iz starerevizije, osobno smatram znaajnim napretkom, ane nedostakom.

3. ZNAAJKE IMPLEMENTACIJEISMS-a PREMA ISO/IEC 27001:2013

Kada se govori o implementacije ISMS-a, zarazliku od ostali sistema upravljanja postoji velikibroj dodatnih smjernica kojima se pomae iupuuje kako odreene dijelove sistemaimplementirati. Posebno su interesantni slijedeistandardi smjernice:

a) ISO/IEC 27002:2013 Code of practice forinformation security management potpuno jeharmoniziran sa Anexom A iz nove revizijeISO/IEC 27001:2013. Stara revizija ovesmjernice vie se ne treba koristiti.

b) ISO/IEC 27003:2010 Information securitymanagement system implementation guidance dijelom se moe koristiti, jer je u potpunostiusklaena sa starom revizijom, ali ima nizdetaljnih i korisnih uputa za implementaciju,naroito za zahtjeve koji su ostali iz stare unovoj reviziji.

c) ISO/IEC 27004:2009 Information securitymanagement Measurement u potpunosti semoe primijeniti i preporuka je da se koristijer se odnosi na pitanja mjerenja uinkovitostiprocesa ISMS-a i primjenjenih kontrola.

d) ISO/IEC 27005:2008 Information security riskmanagement smjernica koja je opisivalaupravljanje rizicima za potrebe ISMS-a. Novarevizija ISO/IEC 27001:2013 se ne referenciravie na ISO/IEC 27005, ve na ISO 31000 popitanjima upravljanja rizicima. To znai da jeta smjernica praktiki vie nepotrebna, mada unjoju ima niz priloga u kojima se dajupraktini savjeti vezani za klasifikaciju

informacijske imovine, kao i nekih drugihtema.

Ostale smjernice iz serije ISO 27k n e treba tunabrajati jer sve i dalje jednako vrijede i ovisno odpodruja implementacije ISMS-a ili aktualnih temaimplementacije trebalo bi ih koristiti.

Kada se govori o novoj revizi ISO/IEC 27001temeljnoj an Anexu SL treba primjetiti da je jednaod znaajnih promjena odnos premadokumentaciji. Tu i dalje ostaje obveza procesnogpristupa, ali se dozvoljava vea slobodakorisnicima ISMS-a da samo odlue kojeprocedure e opisivati a koje nee. Neki dokumentisu eksplicitno u zahtjevima navedeni da se morajunapraviti, a neki vie nisu. To smatram da jedobrim pristupom, jer u manjim kompanijama sekonano i formalno dozvoljava primjerenodimenzioniranje dokumentacije i odnosu na velikekompanije koje e i dalje vjerojatno znatnodetaljnije dokumentirati svoj ISMS.

Znaajna terminoloka promjena je i u tomeda se vie ne spominje dokumentacija, vedokumentirana informacija. Osobno ne smatram tokao neki problem, jer u kontekstu informacijskogsistema to odgovara, ali i za druge sistemeupravljanja ne bi trebao biti problem, osim navikakorisnika.

Analizom zahtjeva u standardu i traenjemkoje su to dokumentirane informacije obvezne,moe se utvrditi da su to slijedee:a) Opseg ISMS-a (4.3)b) Politika informacijske sigurnosti (5.2)c) Procedura za procjenu informacijskih rizika

(6.1.2)d) Procedura za obradu rizika (6.1.3)e) Izjava o primjenljivosti (6.1.3 d)f) Ciljevi informacijske sigurnosti (6.2)g) Evidencija kompetencija (7.2 d)h) Dokumentirane informacije definirane od

kompanije za ostvarenje uinkovitosti ISMS-a(7.5.1 b)

i) Operativno planiranje i kontrole (8.1)j) Rezultati procjene informacijskih rizika (8.2)k) Rezultati obrade informacijskih rizika (8.3)l) Zapisi nadzora i rezultata mjerenja (9.1)m) Zapisi o audit programima i rezultatima audita

(9.2 g)n) Zapisi o upravinoj ocjeni (9.3)o) Zapisi o prirodi nesukladnosti i svim

poduzetim akcijama (10.1 f)p) Zapisi o krektivnim akcijama (10.1 g).

U principu se dokumentirane informacijemogu nalaziti u tampanoj formi, mada se oekujeda budu u elektronskom obliku.

Koliko god da se dozvoljava odreena slobodau smislu dokumentiranja ISMS-a, dvije stvari nisu

87-4

u domeni slobodnog izbora. To su obaveznaprocjena rizika za sve polosvne procese i utjecaj nanjihovo ostvarenje ciljeva, te dokumentiranjuemjerenja uinkovitosti procesa. To znai, ne morase dokumentirati procedura npr. za interni audit, alise za taj proces mora raditi i dokumentiratiprocjena rizika i dokumentirati mjerenjeuinkovitosti.

Radei na nizu implementacija ISMS-a premareviziji iz 2005 godine razvijena je niz predloakaza dokumentiranje sistema upravljanja.Objavljivanjem nove revizije 2013 godine ikritinim usporeivanjem zahtjeva iz nje i staredokumentacije, najjednostavnije je bilo razvitipotpuno novi set dokumenta koji mogu sluiti kaopredloci. Posebno zato to dokumenti koji seodnose na zahtjeve poglavlja 4-7, te 9-10 standardaISO/IEC 27001:2013. Naime, dokumente za tezahtjeve treba napraviti tako da odgovaraju za svesisteme upravljanja koji budu ili jesu svojespecifikacije zahtjeva definirali prema Anxu SL.Razlog za to je u injenici da svi standarditemeljeni na Anexu SL imati ta poglavlja potpunojednaka (isti tekst, isti zahtjevi).

Temeljem te injenice moe se rei da svakitako implementirani sistem upravljanja u sebisadri imanentno integraciju sa ostalim sistemimaupravljanja. Naime, svi zajedniki dokumentiranizahtjevi (poglavlja 4-7, 9-10) kada se napravi uokviru jednog sistema upravljanja automatskivrijede i za sve ostale. Time se ostvaruje ne samointegracija, ve i dramatino smanjenje aktivnostiimplementacije drugog, treeg i daljnih sistemaupravljanja.

Prema reviziji iz 2005 godine za ISMSPoslovnik (ili prirunik) nije bio definiran kaozahtjev i auditori ga nisu niti zahtjevaju. Osobnosmatram da je dobro imati Poslovnik koji je bioobvezan npr. za sisteme upravljanja kvalitetomprema ISO 9001. Kada se u ostale standarde kojisu specifikacija zahtjeva primjeni princip AnexaSL, i kod njih nee Poslovnik vie biti obvezan.Radei kao konzultan i dalje bi zagovaroPoslovnik, i ne vidim problem to vie nijezahtjev.

Ono to je znaajno za ISO/IEC 27001:2013vie se ne poziva na ISO 9001 kao temeljnistandard ve na ISO 31000. To e vaiti i za sveostale ISO standarde - specifikacije, jer prema

Anexu SL stvaranje proaktivnog okruenja jenuan zahtjev za prihvatljivo funkcionira sistemaupravljanja. Takvo proaktivno okruenje se moepostii jedino procjenom, odnosno upravljanjemrizicima. U tom smislu e naroito biti znaajnepromjene posebno za ISO 9001 ija se novarevizija oekuje 2015 godine.

Jedna od tekoa implementacije ISMS-aprema novoj reviziji ostaje kao to je bilo i uprethodnoj. Naime, nova revizija ne govori o tomeda li mora netko biti lan uprave, odnosnopredstavnik ISMS-a u upravi. Prema poglavlju 5standarda ostaje na tome da kompanija samatokom implementacije definira organizaciju i vezuizmeu uprave i ISMS-a. Objektivno to je jedna odozbiljnih tekoa implementacije ISMS-a jer netkomora preuzeti funkciju veze ISMS-a i uprave. Taosoba bi trebala biti visoko pozicionirana toobino nije lako postii, kako u malim, tako i uvelikim kompanija, mada razlozi nisu isti, ponekadni slini. Kada se u nekoj kompaniji uvede viesistema upravljanja, sigurno da bi svi sistemitrebali na neki nain biti zastupljeni u upravi.Formalno to se nee dogaati, jer postojee upravese nee zbog toga proirivati, a postojei lanovivjerojatno nee ili vrlo teko prihvaati noveobveze i odgovornosti.

Implementacija ISMS-a ima za razliku oddrugih sistema upravljanja i obaveznu provedbukontrola definiranih u Anexu A standarda ISO/IEC27001. To je bilo isto u prethodnoj verziji,meutim aktualna revizija je drugaije grupiralakontrole u 14 sigurnosnih podruja sa 35sigurnosnih ciljeva i 114 kontrola. Tu je dolo dopraktinog i opravdanog ienja kontrola natemelju viegodinje iskustva i nova strukturaAnexa A je racionalnija i bolje organizirana, toolakava implementaciju.

4. Projekt implementacije ISMS-a premaISO/IEC 27001:2013

Praktina implementacija ISMS-a ukompaniju prema zahtjevima u ISO/IEC27001:2013 provodi se kroz niz koraka. Ti sekoraci mogu prikazati kroz slijedeu tablicu:

87-5

KORAK OPIS ZAHTJEV IZLAZNI DOKUMENT

1 Definicijapodruja iobuhvata ISMS

4.3 Opseg ISMS

2 Definicijasigurnosnepolitike ISMS

5.2A.5.1.1

Sigurnosna politika

3 Definicijametode procjenerizika

6.1.2.a)6.1.2.b)

Pristup organizacije, metode i analize za postizanjazahtijevane razine sigurnosti

Lista potencijalnih ciljeva i sigurnosnih mjera (kontrola) referenca na Aneks A ISO/IEC 27001

Lista dodatnih kontrola koje nisu definirane u ISMScertifikacijskim kriterijima (ako ih ima)

4 Identifikacijarizika

6.1.2.c) Popis imovine i lista rizika

5 Analiza i ocjenarizika

6.1.2.d)6.1.2.e)

Izvjetaj o rezultatima analize i ocjene rizika

6 Obrada rizika 6.1.38.3

Izvjetaj o rezultatima obrade rizika

7 Izbor ciljevakontrola ikontrola

Standardi mjerenja rizika

8 Pripremadokumenta:Izjava oprimjenljivosti

6.1.3.d) Dokument SoA

9 Osiguranjeuprave zaodobrenje iprihvaanjepreostalog rizika

6.3.1.f) Pisano odobrenje za preostali rizik

10 Osiguranjeautorizacijeuprave zaimplementacijuplana obraderizika

Pisano odobrenje za implementaciju ISMS

11 Implementacijakontrola

Implementacija svih planiranih kontrola kroz SoAdokument

12 Svesnost iedukacija

Osiguranje potrenmog nivoa svjesnosti kod svihukljuenih u opseg ISMS-a, te potrebna edukacija zaprimjenju dokumentiranih zahtjeva implementiranogISMS-a

13 Interni audit

14 Korektivneaktivnosti

Eventualna provedba korektivnih aktivnosti utvrenihinternim auditom

15 Certifikacijskiaudit

Ovi koraci implementacije su logini ifunkcionalno se nastavljaju jedan na drugoga toznaajno olakava implementaciju.

87-6

5. ZAKLJUAK

Implementacija ISMS prema standarduISO/IEC 27001:2013 u biti je jednostavnija odimplementacije prema prethodnoj reviziji. Tonaravno zavisi od veliine kompanije,odnosno opsega ISMS-a, ali je u svakomsluaju racionalnija.

Opseg dokumentacije se objektivnosmanjuje, ali prvenstveno boljomraspodjelomkontrola, odnosno sigurnosnihpodruja, ciljeva i samih kontrola. Time semoe vie kontrola deokumentirati u jednomdokumentiranoj informaciji, a da i dalje budepraktino upotrebljivo. Uz to, nova revizijaima manje obveznih dokumentiranihinformacija u usporedbi s prethodnomrevizijom. Kod veih kompanija brojdokumentiranih informacije normalno e bitivei nego kod malih, jer prirodom njihovogdjelovanja i poslovnih politika one e i daljetrebati vie dokumentirati svoje procedura, tokod malih kompanija u pravilu nije potrebno.

Ono to i dalje ostaje kao nunostimplementacije ISMS-a je visoka strunost iiskustvo onih koji pripremau i provodeimplementaciju.LITERATURA

[1] ISO/IEC 27000:2014 Informationtechnology -- Security techniques --Information security managementsystems -- Overview and vocabulary

[2] ISO/IEC 27001:2013 Informationtechnology -- Security techniques --Information security managementsystems Requirements

[3] ISO/IEC 27002:2013 Informationtechnology -- Security techniques -- Codeof practice for information securitycontrols

[4] ISO/IEC 27003:2010 Informationtechnology -- Security techniques --Information security management systemimplementation guidance

[5] ISO/IEC 27004:2009 Informationtechnology -- Security techniques --Information security management Measurement

[6] ISO/IEC 27005:2011 Informationtechnology -- Security techniques --Information security risk management

[7] ISO 31000:2009 Risk management --Principles and guidelines

[8] ISO/IEC Directives Part 1 andConsolidated ISO Supplement - 2014 (5thedition)