Dincolo de recuperare: ghid pentru directorii de securitate a informației (CISO) privind construirea unei reziliențe operaționale reale cu ISO 27001:2022

Maria, director de securitate a informației (CISO) într-o companie fintech aflată în creștere, prezintă consiliului de administrație metricile de risc pentru trimestrul al treilea. Slide-urile sunt clare și arată scăderea numărului de vulnerabilități și de simulări de phishing reușite. Brusc, telefonul începe să vibreze insistent. O alertă prioritară de la responsabilul SOC: „Ransomware detectat. Se propagă lateral. Serviciile de core banking sunt afectate.”

Atmosfera din sală trece de la încredere la tensiune. Directorul general (CEO) adresează întrebarea inevitabilă: „Cât de repede putem restaura din backup?”

Maria știe că există backup-uri. Echipa le testează trimestrial. Dar, în timp ce echipa încearcă să facă trecerea la mediul de rezervă, îi vin în minte o mulțime de alte întrebări. Mediile de recuperare sunt securizate sau doar reinfectează sistemele restaurate? Jurnalizarea incidentelor mai funcționează în locația de backup sau operăm fără vizibilitate? Cine are acces administrativ de urgență și sunt acțiunile respective urmărite? În graba de a readuce serviciile online, este cineva pe punctul de a trimite date sensibile ale clienților de pe un cont personal?

Acesta este momentul critic în care un plan tradițional de recuperare în caz de dezastru eșuează, iar reziliența operațională reală este testată. Nu este vorba doar despre revenire; este vorba despre revenire cu integritate. Aceasta este schimbarea fundamentală de mentalitate cerută de ISO/IEC 27001:2022: trecerea de la simpla recuperare la menținerea unui profil de risc de securitate holistic și neîntrerupt, chiar în mijlocul haosului.

Definiția modernă a rezilienței: securitatea nu ia niciodată pauză

Timp de ani de zile, planificarea continuității activității s-a concentrat puternic pe obiectivul privind timpul de recuperare (RTO) și obiectivul privind punctul de recuperare (RPO). Deși sunt esențiale, aceste metrici spun doar o parte din poveste. Ele măsoară viteza și pierderea de date, dar nu măsoară profilul de risc de securitate în timpul crizei propriu-zise.

ISO/IEC 27001:2022, în special prin controalele sale din Anexa A, ridică nivelul discuției. Standardul recunoaște că o perturbare nu este un buton de pauză pentru securitatea informației. Dimpotrivă, haosul unei crize este exact momentul în care controalele de securitate sunt cele mai necesare. Atacatorii prosperă în confuzie, exploatând tocmai soluțiile alternative și procedurile de urgență proiectate pentru restaurarea serviciilor.

În ISO/IEC 27001:2022, reziliența înseamnă menținerea securității informației în timpul perturbărilor (controlul din Anexa A 5.29), o pregătire TIC pentru continuitatea activității robustă (5.30) și un backup al informațiilor fiabil (8.13). Obiectivul este să vă asigurați că răspunsul nu creează vulnerabilități noi și mai periculoase. Așa cum este descris în Clarysec Zenith Blueprint: foaia de parcurs în 30 de pași pentru auditori Zenith Blueprint, „auditorii vor căuta aliniere nu doar cu politica, ci și cu realitatea.” Aici eșuează majoritatea organizațiilor: planifică disponibilitatea, dar nu și menținerea conformității în condiții de criză.

Fundamentul: de ce reziliența începe cu contextul, nu cu controalele

Înainte de a putea implementa eficient controale specifice de reziliență, trebuie să construiți un Sistem de management al securității informației (SMSI) solid. Multe organizații se blochează aici, trecând direct la Anexa A fără a stabili baza corespunzătoare.

Zenith Blueprint pune accentul pe începerea cu clauzele de bază ale SMSI, deoarece această activitate fundamentală reprezintă temelia rezilienței. Procesul începe cu înțelegerea mediului specific al organizației:

• Clauza 4: Contextul organizației: Înțelegerea contextului organizației, inclusiv a aspectelor interne și externe și a cerințelor părților interesate, precum și definirea domeniului de aplicare al SMSI.
• Clauza 5: Leadership: Obținerea angajamentului conducerii de vârf, stabilirea unei politici de securitate a informației și definirea rolurilor și responsabilităților organizaționale.
• Clauza 6: Planificare: Realizarea unei evaluări riguroase a riscurilor și a planificării tratamentului riscurilor, precum și stabilirea unor obiective clare de securitate a informației.

Pentru compania fintech a Mariei, o analiză riguroasă conform Clauzei 4 ar fi identificat presiunile de reglementare generate de DORA și NIS2 ca aspecte externe esențiale. O evaluare a riscurilor conform Clauzei 6 ar fi modelat exact scenariul ransomware cu care se confruntă acum, evidențiind riscul mediilor de recuperare compromise și al jurnalizării inadecvate în timpul unui incident. Fără acest context, orice plan de reziliență este doar o încercare la întâmplare.

Cei doi piloni ai rezilienței operaționale în ISO/IEC 27001:2022

În cadrul ISO/IEC 27001:2022, două controale din Anexa A se evidențiază ca piloni ai rezilienței operaționale: Backupul informațiilor (8.13) și Securitatea informației în timpul perturbărilor (5.29).

Controlul 8.13: Backupul informațiilor - plasa esențială de siguranță

Acesta este controlul despre care toată lumea crede că îl are acoperit. Însă o strategie de backup cu adevărat eficace înseamnă mai mult decât copierea fișierelor. Este un control corectiv axat pe integritate și disponibilitate și este profund interconectat cu numeroase alte controale.

Atribute: Corectiv; Integritate, Disponibilitate; Recuperare; Continuitate; Protecție.
Capacitate operațională: Continuitate.
Domeniu de securitate: Protecție.

Perspectivă de audit: Un auditor va cere mai mult decât un „da” la întrebarea „Aveți backup-uri?”. Va solicita jurnale care să demonstreze existența backup-urilor recente, dovezi că testele de restaurare au reușit și dovezi că mediile de backup au fost criptate, stocate securizat și au acoperit toate activele critice definite în inventar.

Scenariu: Un sistem este șters de ransomware sau de o eroare critică de configurare. Capacitatea de a recupera cu integritate depinde de o strategie matură de backup. Auditorii vor verifica dacă această strategie nu funcționează izolat, ci este legată de alte controale critice:

• 5.9 Inventarul informațiilor și al altor active asociate: Nu puteți face backup pentru ceea ce nu știți că dețineți. Un inventar cuprinzător este nenegociabil.
• 8.7 Protecție împotriva malware: Backup-urile trebuie izolate și protejate de exact acel ransomware pe care sunt menite să îl învingă. Aceasta include utilizarea stocării imuabile sau a copiilor izolate fizic.
• 5.31 Cerințe legale, statutare, de reglementare și contractuale: Calendarele de retenție pentru backup și locațiile de stocare respectă legile privind rezidența datelor și obligațiile contractuale?
• 5.33 Protecția înregistrărilor: Backup-urile îndeplinesc cerințele de retenție și confidențialitate pentru informații cu caracter personal (PII), evidențe financiare sau alte date reglementate?

Controlul 5.29: Securitatea informației în timpul perturbărilor - garantul integrității

Acesta este controlul care separă un SMSI conform de unul rezilient. El răspunde direct întrebărilor critice care o urmăresc pe Maria în timpul crizei: cum menținem securitatea atunci când instrumentele și procesele principale nu sunt disponibile? Controlul 5.29 impune ca măsurile de securitate să rămână planificate și eficace pe toată durata unui eveniment perturbator.

Atribute: Preventiv, Corectiv; Protecție, Răspuns; Confidențialitate, Integritate, Disponibilitate.
Capacitate operațională: Continuitate.
Domeniu de securitate: Protecție, Reziliență.

Perspectivă de audit: Auditorii revizuiesc planurile de continuitate a activității și de recuperare în caz de dezastru tocmai pentru a găsi dovezi ale includerii considerentelor de securitate. Ei verifică setările de securitate ale locațiilor alternative, confirmă că jurnalizarea și controalele de acces sunt menținute și analizează atent orice proces de revenire în siguranță pentru a identifica puncte slabe de securitate, nu doar capacitatea acestuia de a restaura serviciul.

Scenariu: Centrul principal de date este indisponibil și mutați operațiunile într-o locație de backup. Auditorii se așteaptă să vadă dovezi — rapoarte de vizită la fața locului, fișiere de configurare, jurnale de acces — că locația secundară îndeplinește cerințele de securitate principale. Trecerea de urgență la lucrul la distanță a extins protecția endpoint-urilor și accesul securizat la toate dispozitivele? Ați documentat deciziile de relaxare temporară și de reinstaurare ulterioară a unor controale?

Zenith Blueprint surprinde perfect esența: „Esențial este ca securitatea să nu ia pauză în timp ce sistemele sunt restaurate. Controalele își pot schimba forma, dar obiectivul rămâne același: informațiile trebuie protejate, chiar și sub presiune.” Acest control vă obligă să planificați pentru realitatea dezordonată a unei crize și este strâns legat de alte controale:

• 5.30 Pregătirea TIC pentru continuitatea activității: Asigură că planul tehnic de recuperare nu ignoră planul de securitate.
• 8.16 Activități de monitorizare: Impune existența unei modalități de menținere a vizibilității chiar și atunci când instrumentele principale de monitorizare sunt indisponibile.
• 5.24 Planificarea și pregătirea managementului incidentelor de securitate a informației: Echipele de criză și de continuitate trebuie să funcționeze concomitent, asigurând menținerea conștientizării privind răspunsul la incidente în timpul perturbării.
• 5.28 Colectarea dovezilor: Asigură că, în graba de a restaura, nu distrugeți probe criminalistice esențiale necesare pentru investigație și raportare către autoritățile de reglementare.

Ghid practic pentru implementarea unei reziliențe verificabile în audit

Transpunerea acestor controale din teorie în practică necesită politici și proceduri clare, aplicabile. Modelele de politici Clarysec sunt concepute pentru a integra aceste principii direct în SMSI. De exemplu, Politica privind backup-ul și restaurarea Politica privind backup-ul și restaurarea oferă un cadru care depășește simplele calendare de backup:

„Politica aplică controalele ISO/IEC 27001:2022 referitoare la colectarea dovezilor (5.28), reziliența în timpul perturbărilor (5.29), recuperarea operațională (8.13) și ștergerea informațiilor (8.10) și se mapează la cele mai bune practici din ISO/IEC 27002:2022, NIST SP 800-53 Rev.5, GDPR, DORA și NIS2.”

Această abordare holistică transformă reziliența dintr-un concept abstract într-un set de activități operaționale, verificabile în audit.

Listă de verificare aplicabilă: auditarea strategiei de backup și reziliență

Folosiți această listă de verificare, ghidată de o politică cuprinzătoare, pentru a pregăti dovezile pe care le va solicita un auditor.

Imperativul conformității transversale: maparea rezilienței la DORA, NIS2 și mai departe

Pentru organizațiile din sectoare critice, reziliența nu este doar o bună practică ISO/IEC 27001:2022; este o cerință legală. Reglementări precum Regulamentul privind reziliența operațională digitală (DORA) și Directiva NIS2 pun un accent major pe capacitatea de a rezista perturbărilor TIC și de a recupera după acestea.

Din fericire, activitatea realizată pentru ISO/IEC 27001:2022 oferă un avans semnificativ. Zenith Controls: ghidul de conformitate transversală de la Clarysec Zenith Controls este conceput pentru a crea tabele explicite de mapare care demonstrează această aliniere în fața auditorilor și autorităților de reglementare. Documentarea proactivă arată că gestionați securitatea în întregul său context legal.

Politicile noastre sunt construite având în vedere acest aspect. Politica privind protecția datelor și confidențialitatea Politica privind protecția datelor și confidențialitatea, de exemplu, precizează explicit rolul său în consolidarea conformității cu DORA și NIS2 alături de ISO/IEC 27001:2022.

Acest tabel de mapare ilustrează modul în care controalele de bază ale rezilienței satisfac cerințe din mai multe cadre majore.

Prin construirea SMSI în jurul cadrului robust ISO/IEC 27001:2022, construiți simultan o poziție defensabilă pentru aceste alte reglementări stricte.

Prin ochii auditorului: cum va fi testată reziliența

Auditorii sunt instruiți să privească dincolo de politici și să caute dovezi ale implementării. În privința rezilienței, vor să vadă dovezi de disciplină sub presiune. Un audit al capabilităților de reziliență va fi multidimensional, diferiți auditori concentrându-se pe tipuri diferite de dovezi.

Capcane frecvente: unde eșuează adesea planurile de reziliență în realitate

Constatările de audit Clarysec indică puncte slabe recurente care subminează chiar și cele mai bine redactate planuri. Evitați aceste capcane frecvente:

• Procesele manuale de revenire nu includ securitate suficientă. Când sistemele se opresc, angajații revin la foi de calcul și e-mail. Aceste procese manuale nu beneficiază adesea de securitatea fizică sau logică a sistemelor principale.
  • Remediere: Integrați protecția fizică (dulapuri încuiate, jurnale de acces) și controalele logice (fișiere criptate, instrumente de comunicații securizate) în protocoalele de criză pentru soluțiile alternative manuale.
• Locațiile alternative nu sunt configurate complet. Centrul de date de backup are servere și date, dar poate să nu aibă reguli de firewall, agenți de jurnalizare sau integrări de control al accesului echivalente.
  • Remediere: Documentați echivalența controalelor de securitate între locațiile primare și secundare. Efectuați audituri tehnice periodice ale locației de backup și includeți reprezentanți ai securității în toate exercițiile de failover.
• Testele de restaurare sunt incomplete sau ad-hoc. Organizațiile testează dacă un server poate fi restaurat, dar nu testează dacă aplicația restaurată este securizată, jurnalizată și funcționează corect sub sarcină.
  • Remediere: Includeți testele complete de restaurare din backup, inclusiv validarea securității, ca parte obligatorie a exercițiilor de incident și a revizuirilor anuale de audit.
• Protecția datelor cu caracter personal în backup-uri este neglijată. Backup-urile pot deveni o obligație de conformitate, păstrând date care ar fi trebuit șterse în temeiul dreptului la ștergere prevăzut de GDPR.
  • Remediere: Aliniați procedurile de retenție și ștergere a backup-urilor cu politicile de protecție a datelor cu caracter personal. Asigurați-vă că aveți un proces documentat pentru ștergerea anumitor date din seturile de backup atunci când acest lucru este cerut legal.

De la conform la rezilient: consolidarea unei culturi de îmbunătățire continuă

Obținerea rezilienței nu este un proiect unic care se încheie odată cu certificarea. Este un angajament continuu pentru îmbunătățire, consacrat în Clauza 10 din ISO/IEC 27001:2022. O organizație cu adevărat rezilientă învață din fiecare incident, din fiecare incident evitat la limită și din fiecare constatare de audit.

Acest lucru presupune depășirea remedierilor reactive. Zenith Blueprint recomandă integrarea îmbunătățirii continue în cultura organizațională prin stabilirea unor canale prin care angajații pot propune îmbunătățiri de securitate, realizarea de evaluări proactive ale riscurilor atunci când apar schimbări semnificative și efectuarea unor analize post-incident riguroase pentru captarea lecțiilor învățate.

În plus, Controlul 5.35 (Revizuirea independentă a securității informației) joacă un rol esențial. Invitarea unei părți independente să revizuiască SMSI oferă o perspectivă obiectivă, care poate identifica zone oarbe pe care echipa internă le poate rata. După cum afirmă ferm Zenith Blueprint: „…ce separă un SMSI conform de unul cu adevărat rezilient este aceasta: disponibilitatea de a pune întrebări dificile și de a asculta atunci când răspunsurile sunt incomode.”

Următorul pas: construirea unui SMSI de neclintit

Criza Mariei evidențiază un adevăr universal: perturbarea este inevitabilă. Fie că este vorba despre ransomware, un dezastru natural sau eșecul unui furnizor critic, organizația va fi testată. Întrebarea nu este dacă, ci cum veți răspunde. Veți face doar recuperare sau veți răspunde cu reziliență?

Construirea unui SMSI care menține integritatea sub presiune necesită o abordare strategică și holistică. Aceasta începe cu un fundament solid, include controale profund interconectate și este susținută de o cultură a îmbunătățirii continue. Nu așteptați o perturbare reală pentru a descoperi lacunele din strategie.

Sunteți pregătit să construiți un SMSI care nu este doar conform, ci cu adevărat de neclintit?

• Descărcați Clarysec Zenith Blueprint: foaia de parcurs în 30 de pași pentru auditori pentru a vă ghida implementarea de la început până la final.
• Valorificați modelele noastre cuprinzătoare de politici, precum Politica privind backup-ul și restaurarea, pentru a transforma standardele în acțiuni concrete, verificabile în audit.
• Utilizați Zenith Controls: ghidul de conformitate transversală pentru a vă asigura că eforturile îndeplinesc cerințele stricte ale ISO/IEC 27001:2022, DORA și NIS2.

Contactați-ne astăzi pentru o evaluare gratuită a rezilienței și permiteți experților Clarysec să vă ajute să construiți un SMSI care performează sub presiune.