ISO/IEC 27001 - SISTEM UPRAVLJANJA BEZBEDNOŠĆU INFORMACIJA

ISO 27001 je međunarodni standard koji se odnosi na zaštitu i bezbednost informacija. ISO 27001 namenjen je organizacijama kojima je u cilju da štite poverljivost, integritet i dostupnost informacija i pruže poverenje zainteresovanim stranama da će se rizicima po bezbednost informacija adekvatno upravljati.

ISO 27001 je značajan standard za organizacije koje se bave uslugama u oblastima koje su na bilo koji način povezane sa Informacionim tehnologijama i potrebom za očuvanje poverljivosti informacija. Međutim, upravljanje bezbednošću informacija se ne odnosi samo na IT sigurnost (tj. firewall, zaštitu od virusa itd.) već i na upravljanje procesima, pravnu zaštitu, upravljanje ljudskim resursima, fizičku zaštitu i sl.

ISO 27001

ISO 27001 je kompatibilan sa drugim standardima sistema menadžmenta kao što su: ISO 9001 Sistemi upravljanja kvalitetom, OHSAS 18001 Sistem upravljanja zaštitom zdravlja i bezbednošću na radu, 45001 Sistem menadžmenta bezbednošću i zdravljem na radu, ISO 14001 Sistemi menadžmenta životnom sredinom. Oni dele mnoge principe i imaju identične nazive tačaka, identičan sadržaj, odnosno zahteve, zajedničke termine i ključne definicije, tako da se mogu lako integrisati.

PRIMENA STANDARDA ISO 27001 OMOGUĆAVA ORGANIZACIJI:

- usaglašenost sa važećim zakonskim propisima,
- veće poverenje klijenata, zaposlenih, saradnika, institucija i svih zainteresovanih strana zbog znanja da su njihovi podaci bezbedni,
- postojanje odgovornosti za bezbednost informacija od strane svih i na svim nivoima u organizaciji,
- da osigura kontinuitet poslovanja organizacije i da sprečavanjem bezbednosnih incidenata i smanjenjem njihovih potencijalnih uticaja spreči ili umanji poslovnu štetu.
Kako je ISO 27001 usresređen na zaštitu poverljivosti, celovitosti i raspoloživosti informacija u organizaciji, obavezno se vrši prepoznavanje potencijalnih pretnji koje se mogu dogoditi informacijama (tj. procjena rizika), te se na osnovu procene rizika definiše što treba preduzeti da se takvi problemi spreče (tj. tretman ili obrada rizika). Dakle, ISO 27001 se zasniva na upravljanju rizicima: njihovom prepoznavanju i sistemskoj obradi rizika.

Informacije na koje se odnosi ISO 27001 su pisane informacije, štampane informacije, informacije u elektronskim formatima, informacije koje se šalju poštom ili elektronskom poštom, foto, audio, video informacije, odnosno audiovizuelne informacije.
Izvori pretnji po bezbednost informacija mogu biti interni ili eksterni i namerni ili nenamerni. Najčešći incidenti informacione bezbednosti su prirodne nepogode (zemljotres, poplava, požar, udar groma), zlonamerni napadi (malware), interni napadi (zloupotrebe), nenamerne, nesvesne ljudske greške, kvarovi opreme i/ili instalacija informacionog sistema.

Implementacija sistema upravljanja bezbednošću informacija ima za razliku od drugih sistema upravljanja i obavezno sprovođenje kontrola definisanih u Aneksu A standarda ISO 27001.

Kontrole koje će se implementirati su obično u formi pravila, procedura i tehničkih rešenaja (npr. softvera i opreme), koje su neophodne da bi se sprečilo narušavanje bezbednosti informacija.