Dyskusja:ISO/IEC 27001

message: Po przeczytaniu najnowszej wersji normy ISO 27001:2020 stwierdzam, że nadal nie zawiera ona wszystkich podstawowych zabezpieczeń IT adekwatnych do obecnych zagrożeń związanych z rozwojem Internetu. W szczególności całkowicie zapomniano o istnieniu e-Usług, które są obecnie powszechnie stosowane, wielu aspektach związanych z bezpieczeństwem portali internetowych i aplikacji mobilnych, bezpieczeństwem integracji systemowych, czystości baz danych oraz relacji pomiędzy tabelami baz danych, które mają istotny wpływ na proces uwierzytelniania użytkowników. Dlatego na podstawie moich obserwacji obecnie istniejących problemów IT w przedsiębiorstwach oraz analizy incydentów pozwoliłem sobie dopisać kilka dodatkowych zabezpieczeń, na które warto by było zwrócić uwagę.
Środek  kontroli
Kontrola  treści na portalach WEB-owych i mediach społecznościowych
Organizacja  powinna formalnie zdefiniować role dotyczące zarządzania Portalami  internetowymi, intranetowymi, extranetowymi oraz kontami w mediach  społecznościowych i odzielić role techniczene (Administratorów technicznych)  od roli odpowiedzilanych za zarządzanie treścią (Redaktorów treści).
Wszystkie  treści publikowane w Internecie, Intranecie i Extranecie powinny być  oznaczane odpowiednimi klazulami (etykietowanie treści - ang. Labeling of  information) zgodnie z Polityką bezpieczeństwa inforamcji oraz separowane na  treści przeznaczone na odpowiednie portale Internetowe, Intranetowe oraz  Extranetowe.
Organizacja  powinna prowadzić kontrolę treści zamieszcznych w mediach społecznościowych,  wizytówkach Google, Google maps itp. zamieszanacyh na kontach organizacji  oraz treści i pliki wyświetlane na temat organizacji w wyszukiwarkach  internetowych. Do tego celu organizacja powinna powołać rolę Recenzenta lub  wynająć takiego recenzenta z zewnętrznej organizacji specjalizujacej się w  kontroli treści w Internecie. Organizacja powinna kontorlować czy ktoś  nieuprawniony nie tworzy w jej imieniu kont w mediach społecznościowych,  wizytówkach Google, Google maps oraz innych portalach o niskim poziomie  weryfikacji właścicielstwa konta użytkownika.
Organizacja  powinna analizować adresy stron WEB oraz plików organizacji zaindeksowanych w  Internecie oraz zarządzać przekierowaniami na tych stronach internetowych i  weryfikować klazule informacji dotyczące treści zamieszczoncyh na tych  stronach informacji oraz klazule informacji plików udostępnianych w  Internecie z systemu CMS lub innych wykorzystywanych w organizacji do  zarządzania treścią.
Organizacja  powinna stosować systemy kontroli odwiedzin ich stron internetowych,  intranetowych oraz extranetowych.
Organizacja  powinna stostosować na formatkach biznesowych systemów informatyczncyh oraz  formularzach internetowych, intranetowych oraz extranetowych walidatory  wprowadzanych danych a na formularzach iternetowych zabezpieczenia przeciwko  robotom np. w postaci Capchy.
Klasyfikacja biznesowych  systemów informatycznych i e-Usług
Organizacja  powinna dokonać klasyfikacji biznesowych systemów informatycnych na co  najmniej 3 kategorie systemów wg. ich ważności: Systemy  krytyczne, Systemy wspierające, Systemy pomocnicze.  W zależności od kategorii systemu powinien on być objety odpowiednimi  warunkami SLA oraz wsparciem technicznym w ramach danejorganizacji oraz  wsparciem technicznym ze strony producenta lub dostawcy systemu. Dla  krytycznych systemów biznesowych należy rozważyć wprowadzenie płatnych  dyżurów pracowników IT po godzinach pracy.
Organizacja  powinna dążyć do zapewnienienia wielopoziomowej redundancji unfrastruktury  technicznej w zależności od krytyczności systemu informatycznego dla  organizacji (danych zgromadzonych w tym systemie).
Dla  zidentyfikowanych procesów biznesowych zgodnie z wymaganiami normy ISO  9001:2015 organizacja powinna opracować Katalog e-usług  biznesowych oraz Katalog  e-Usług wewnętrznych będących efektem procesów  biznesowych realizowanych w biznesowych systemach informatycznych. Dla każdej  z e-Usług powinny być okreslone warunki jej świadczenia - Warunki SLA. Do  tego celu można wykorzystać normę ISO 20000 oraz Bibliotekę dobrych praktyk  ITIL.
Zarządzanie  e-Usługami
Procesy  biznesowe będące podstawą realizowanych e-Usług dla użytkowników wewnetrzych  i zewnętrznych powinny być zamodelowane z narzędziu klasy BPMS w notacji  BPMN2 lub równoważnej. Do zarządzania procesowego organizacji zastosowanie ma  norma ISO 9001:2015.
Przebieg  wszystkich realizowanych e-Usług będących efektem realizowanych procesów  biznesowych organizacji w systemach informatycznych powinien być zamodelowany  w narzędziu klasy Workflow tak, aby był możliwy pomiar tych procesów oraz  jakości świadczonych e-Usług. Do zarządzania jakością świadczoncyh e-Usług  można zastosować normę ISO 20000 oraz Bibliotekę dobrych praktyk ITIL.
Organizacja  powinna monitorować przebiegi całych procesów Workflow używanych do  zarządzania e-Usługami począwszy od systemów frontentowych a skończywczy na  systemach backendowych.
Wielopoziomowa  redundancja i separacja systemów biznesowych
Biznesowe  sytemy informatyczne powinny być posiadać redundancję na poziomie datacenter.  Ze względów bezpieczeństwa Datacenter zapasowe powinno znajdować się w  znacznej odległości w innej miejscowości lub na przeciwległej stronie kraju  aby zabezpieczeczyś organizację przed możliwymi katastrofami naturalnymi.  Odwołanie do odpowiedniej normy dot. projektowania Datacenter np. normy  amerykańskiej.
Biznesowe  systemy informatyczne, które muszą mieć dostęp do publicznej sieci Internet  powinny być kolokowane w oddzielnej strefie zdemilitaryzowanej serwerowni  (tzw. Strefie DMZ) odseparowanej od pozosałych systemów strefą Firewall-i.
Zaleca  się aby każda ze stref serwerowni była odzielona od pozostałych strefą  Firewall-i oraz systemami IPS/IDS (ang. Intrusion Prevention System/Intrusion  Detection System).
Organizacja  powinna okresowo przeprowadzać testy redundantnej infrastruktury technicznej,  zasilania zapasowego oraz prowadzić kontrolę jakości paliwa w agregatorach  prądotwórczych.
Zarządzanie  tożsamością użytkowników
Biznesowy  system informatyczny powinien być wyposażony w mechanizm zarządzania  tożsamością użytkownika kontrolujący ilość tożsamości tego samego użytkowika  w systemie. Wszystkie przypadki w kótrych użytkownik posiada wiecej niż jedną  tożsamość w systemie powinny zostać poddane szczegółowemu badaniu.
Organizacja  powinna oddzielić od siebie zarządzanie dostępem (Access managment) oraz  zarządzania uprawnieniami w systemie (System privileges). Uprawnienia powinny  być nadawane dla poszczególnych ról użytkowników i posortowane w Grupy  użytkowników o tych samych uprawnieniach.
W  przypadku gdy użytkownicy mają po kilka tożsamości w systemie informatycznym  to organizacja powinna dokonać takich zmian w oprogramowaniu aby było można  wykonać konsolidację numerów/kluczy/kont użytkowników i zarządzać zgodami  marketingowymi na tożsamości użytkownika zgodnie z wymaganiami określonymi w  Rozporządzeniu RODO.
Czyszczenie danych oraz  bezpieczeństwo baz danych
Organizacja  powinna dbać o bezpieczeństwo baz danych biznesowych systemów informatycznych  oraz ich prawidłową strukturę np. poprawną sytukturę relacji w relacyjnej  bazie danych tak aby ona odwierciedlała relacje w świecie rzeczywistym.
Relacyjne  bazy danych systemów biznesowych powinny mieć jednoznaczne i unikalne klucze  wykorzystywane do relacji pomiędzy tabelami w interfejsach biznesowych  systemów informatycznych. Do robienia relacji pomiędzy bazami danych zaleca  się wykorzystywanie unikalnych kluczy sztucznych tworzonych automatycznei  poprzez inkrementację w systemie.  
Organizacja  powinna dbać o to aby nie było duplikatów tych samych Klientów lub kont  użytkowników systemu w relacyjnej bazie danych aby Klietnt lub użytkownik  posiadał tylko jedną tożsamość w systemie. System powinien ostrzegać  operatora o każdej próbie utworzenia istniejącego już użytkownika w systemie  (utworzenia nowej tożsamości).
Klucze  identyfikujące tożsamość użytkownika w relacyjnej bazie danych powinny być  unikalne i nadawane automatycznie poprzez inkrementację w systemie.
Organizacja  powinna dążyć do deduplikacji danych w biznesowych systemach informatycznych  tak aby każdy użytkownik miał tylko jedno konto (jedną tożsamość) w systemie.
Organizacja  powinna zbać o czystość wprowadzanych danych w biznesowcyh systemach  informatycznych oraz okresowo weryfikować jakość istotnych danych  odkładających się w bazach danych i jakość danych wprowadzanych przez  użytkowników.
Organizacja  powinna badać klucze stosowane do integracji systemowych (wykorzystywane do  łączenia tabel baz danych różnych systemów informatycznych) pod kątem ich  unikalności, spójności i integralności.  
Podział  na systemy frontendowe, backendowe oraz portale WEB-owe i aplikacje mobilne
Organizacja  powinna prowadzić aktualną listę biznesowych systemów informatycznych w  podziale na systemy backendowe  (nie mające dostępu do publicznej sieci Internet) oraz systemy frontendowe (mające dostęp do  publicznej sieci Internet).
Zarządzanie  portalami WEB-owymi i aplikacjami mobilnymi
Organizacja  powinna prowadzić ewidencję wszyskich Portali: internetowych, intranetowych  oraz extrnetowych prowadzonych przez organizację czy to na własnej czy na  obcej infrastrukturze technicznej np. w chmurze obliczeniowej.
Organizacja  powinna odróżniać zarządzanie systemami klasy CMS od zarządzania portalami  internetowymi, intranetowyni oraz extranetowymi stworzonymi przy użyciu tych  systemów CMS.
Organizacja  powinna stosować oprogramowanie umożliwiające identyfikację błędów oraz  przekierowań ustawionych na stronach internetowych organizacji,  niedziałających linków (ang. Broken link) oraz statusów błędów poszczególncyh  stron WEB.
Organizacja  powinna sprawdzać czy nazwy pojawiające się w adresach stron WEB (wszystkie  człony adresu URL) wyświetlanych w Internecie zawierają nazwy naturalne  umożwiające ich poprawne indeksowanie i pozycjonowanie w publicznej sieci  Internet.
Zarządzanie  domenami, certyfikatami i podpisami elektronicznymi
Organizacja  powinna prowadzić ewidencję wszystkich wykorzystywanych domen wewnętrznych  oraz domen zewnętrznych. Systemy biznesowe dedykowane dla użytkowników  zewnętrznych powinny znajdować się na domenach zewnętrznych, a systemy  informatyczne dedykowane dla użytkowników wewnętrznych powinny znajdować się  na domenach wewnętrznych.
Adresy  domen wewnętrznych powinny rozwiazywać się tylko wewnątrz organizacji (w  wewnętrznej sieci LAN), a adresy domen zewnętrznych na zewnątrz organizacji  (w publicznej sieci Internet). Na jednym adresie domenowym nie powinny być  umieszane różne aplikacje lub moduły aplikacji np. wewnątrz aplikacja  dedykowana dla pracowników organizacji, a na zewnątrz aplikacja dedykowana  dla uzytkowników zewnętrznych (zaraz robienia przekeirowań na tym samym  adresie domeny).
Organizacja  powinna prowadzić ewidencję wszystkich własnych ceryfikatów SSL oraz  ceryfikatów zakupionych u rejestratorów.
Organizacja  powinna prowadzić ewidencję wszystkich wewnętrznych oraz zewnętrznych  podpisów elektronicznych wykorzystywanych przez organizację.
Bezpieczeństwo integracji  systemowych
Organizacja  powinna opracować schemat Zintegrowanego Systemu  Informacyjnego (ZSI) obrazującego główne przepływy  informacji pomiędzy biznesowymi systemami informatycznymi. Jako ZSI rozumie  się schemat obrazujący wszystkie biznesowe systemy informatyczne wraz z  interfejsami programistycznymi służącymi do przesyłania danych pomiędzy tymi  systemami.
Interfejsy  programistyczne służące do przesyłania danych pomiędzy systemami  informatycznymi powinny być odpowiednio zabezpieczone a transmisja danych  pomiędzy systemami (poszczególnymi serwerami) szyfrowana.
Organizacja  powinna unikać robienia nadmiarowych interfejsów wymiany danych oraz  nadmiarowego przetwarzania danych pomiędzy biznesowymi systemami  informatycznymi tzw. Architektury Spaghetti. W zamian tego powinna zostać opracować architektura Zintegrowanego Systemu Informacyjnego (ZSI) składajacą się z systemu klasy ERP jako jądra ZSI oraz innych  biznesowych systemów informatycznych jako systemów satelitarnych. Rekomenduje  się aby ZSI składał się z 4 następującyh warstw: Systemu klasy ERP jako jądra  ZSI, Hurtowni danych + Business intelligence (HD+BI) jako centralnej  platformy analitycznej do tworzenia raportów multisystemowych, Systemu  elektronicznego obiegu dokumentów (EOD) jako narzędzia Workflow do pracy  grupowej i zarządzania e-Usługami na backendzie oraz warstwy dedykowanych, branżowych  systemów informatycznych.
Do  integracji systemowych i łączenia poszczególnych tabel baz danych powinny być  wykorzystywane przede wszystkich klucze sztuczne a nie klucze naturalne tak  aby zapewnić maksymalne bezpieczenstwo w zakresie integralności danych.
Organizacja  powinna unikać robienia integracji systemowych w warstwie aplikacji,  zagnieżdzania jednej aplikacji w drugiej oraz wyświetlania lub osadzania  okienka  jednej aplikacji w drugiej  (tzw.embeded windows). Rekomendowane jest robienie integracji systemowych w  warstwie bazy danych lub poprzez dedykowane do tego celu API.  
Organizacja  powinna prowadzić szczegółową dokumentację techniczną dla wszystkich  interfejsów programistycznych służących do przesyłania danych wraz z  kierunkami ich przepływu, migawką czasową odświeżania danych oraz  wykorzystywanymi do tego celu metodami i usługami (webserwisami).
Organizacja  powinna sprawdzać czy hasła administracyjne oraz hasła użytkowników używane w  metodach i webserwisach interfejsów programistycznych przechowywane są bazach  danych w formie zaszyfrowanej oraz czy przesyłane są pomiędzy poszczególnymi  serwerami w formie zaszyfrowanej.
Bezpieczeństwo  na etapie projektowania, wdrażania i rozwoju
Dział  odpowiedzialny za Bezpieczeństwo  IT,  Cyberbezpieczeństwo oraz zarządzanie e-Usługami i stronami, portalami  internetowymi, extranetowymi oraz aplikacjami mobilnymi powinny weryfikować  od strony technicznej i bezpieczeństwa wszytkie strony WEB, aplikacje WEB-owe  oraz mobilne już na etapie koncepcji i projektowania rozwiązania, a następnie  monitorować ich implementację na etapie wdrażania i eksploatacji.
Zarządzanie  projektami IT oraz procesem rozwoju oprogramowania
Organizacja  powinna oddzielić Metodykę zarządzania projektami IT (Project managment) np.  Prince2 od Metodyki zarządzania rozwojem oprogramowania (Software  development) np. Agile, ponieważ zwiększa to ryzyko niepowiedzenia projektów  IT. Metodyka rozwoju oprogramowania (zarządzania procesem produkcji oprogramowania) może być submetodyką do Metodyki  zarządzania projektami,  ponieważ Agile nie jest Metodyką zarządzania projektami, a jedynie Metodyką  zarządzania procesem produkcji oprogramowania (Procesem tworzenia nowych  produktów w ramach projektu). Definicja projektu zawarta jest Podręczniku Prince2, natomiast Definicja procesu zawarta jest w  normie ISO 9001:2015).
Zarządzanie  konfiguracją
Do  zarządzania wszystkimi elementami konfiguracji (wszystkimi zasobami)  niebędnymi do realizacji e-Usług dla użytkowników zewnętrznych i  wewnętrznychoraganizacja powinna stosować bazę CMDB - Configuration Managment  Database System.
Zarządzanie  ryzykiem IT
W  zakrese zarządzania ryzykiem IT rekomenduje się zastosować wymagania  określone w normie ISO 31000 oraz Metodyce Managment of Risk (M_o_R).
Zarządzanie  ciągłością działania biznesowych systemów informatycznych
Zarządzanie  ciągłością działania biznesowych systemów informatycznych powinno być  pochodną zarządzania ciąglością działania procesów biznesowych w organizacji.  System zarządzania ciągłością działania organizacji powinien być zbudowany  zgodnie z wymaganiami normy ISO 22301.
Bezpieczeństwo  instalacji oprogramowania
Organizacja  powinna całkowicie zabronić instalowania i wgrywania jakiegokolwiek  oprogramowania udostępnianego na stronach internetowych popularnych  wydawnictw informatycznych, które nie są stronami producentów tego  oprogramowania (w tym popularnych portali do ściągania oprogramowania),  oprogramowania znajdujacego się na płytach CD i innych nośnikach  zamieszczonych do czasopism informatycznych ponieważ bardzo często zawierają  one wirusy, oprogramowanie szpiegujące i inne szkodliwe oprogramowanie.
Marek Prasoł (dyskusja) 10:13, 16 cze 2023 (CEST)
thread_title:  Załącznik do normy ISO 27001:2022