Polityka Bezpieczeństwa Informacji

Na potrzebę stworzenia Polityki Bezpieczeństwa Informacji (PBI), w przedsiębiorstwach, składają się następujące akty prawne:

1. Rozporządzenie MSWiA z dnia 25 lutego 1999 r. (Dz. U. Nr 18 poz. 162) w sprawie podstawowych wymagań bezpieczeństwa systemów teleinformatycznych,
2. Rozporządzenie Prezesa Rady Ministrów z dn. 25 sierpnia 2005 r. w sprawie podstawowych wymagań bezpieczeństwa teleinformatycznego (Dz. U. 2005 Nr 208 poz. 1741),
3. Ustawa z dnia 27 lipca 2001 r. o ochronie baz danych (Dz. U. 2001 Nr 128 poz. 1402),

oraz normy:

1. PN-ISO/IEC 17799 kwiecień 2003 - Technika informatyczna. Praktyczne zasady zarządzania bezpieczeństwem informacji,
2. PN-I-13335-1 styczeń 1999 – Wytyczne do zarządzania bezpieczeństwem systemów informatycznych,
3. PN-07799-2 luty 2005 – Systemy zarządzania bezpieczeństwem informacji – Część 2: Specyfikacja i wytyczne do stosowania,

.
Tworzenie PBI polega na ewolucyjnym postępie w budowie i zabezpieczaniu dostępu do informacji będących w posiadaniu firmy, w sposób fizyczny, oraz na zwiększeniu świadomości pracowników o wartości posiadanych i przetwarzanych danych osobowych. Metoda ta to opracowywanie polityki bezpieczeństwa „od ogółu do szczegółu”
Opracować PBI można na dwa sposoby, „od ogółu do szczegółu” lub „od szczegółu do ogółu”. Główną metodą opracowania PBI jest przeprowadzanie rozmów z pracownikami oraz Zarządem firmy.
Po wstępnych rozmowach określony zostaje cel biznesowy i poziom zabezpieczenia systemów informatycznych. Po przeprowadzeniu analiz zostają wybrane optymalne mechanizmy zabezpieczające procesy biznesowe firmy.
Opracowanie PBI jest podyktowane wzrostem świadomości Zarządu, organizacji o potrzebie posiadania planów awaryjnych, obejmujących ciągłość działania danej organizacji (PCB), oraz odtwarzanie danych po awarii (DRP).

PBI  obejmuje  kilka   obszarów   tematycznych,   zgodnie   ze   standardem ISO-17799, a mianowicie :

• Powołanie Pionu Ochrony,
• Organizacja infrastruktury organizacji,
• Przeprowadzenie analizy ryzyka,
• Zasady i klasyfikacji zasobów informacyjnych,
• Bezpieczeństwo związane z personelem,
• Bezpieczeństwo fizyczne,
• Zarządzanie oraz obsługa systemów komputerowych i sieci,
• Zarządzanie dostępem do systemów i informacji,
• Rozwijanie i serwisowanie systemów aplikacyjnych
• Planowanie działań na wypadek poważnych zdarzeń losowych,
• Zgodność z zobowiązaniami prawnymi i  ustawowymi.

Informacje niezbędne do stworzenia PBI są zbierane poprzez:

• rozmowy z Zarządem,
• wywiady z wyznaczonymi pracownikami,
• przegląd ogólnie dostępnych dokumentów wewnątrz przedsiębiorstwa,
• przegląd niektórych zawartych kontraktów z firmami trzecimi,
• przegląd zabezpieczeń fizycznych.

Opracowanie i wdrożenie PBI zakłada zapewnienie najwyższego z możliwych zabezpieczeń, ale takiego, który organizacja jest w  stanie ponieść. Jednocześnie funkcjonalność systemu informatycznego nie może się radykalnie obniżyć.
PBI powinna tak być opracowana tak, aby była dostępna i zrozumiała dla każdego pracownika i żeby jej stosowanie w praktyce nie było uciążliwe. W związku z tym, jak również dla uniknięcia lub utrudnienia wtargnięcia do systemu przez osoby z zewnątrz, polityka bezpieczeństwa nie powinna zawierać szczegółów technicznych.
Szczegóły techniczne i procedury opracowane na wypadek sytuacji awaryjnych powinny być znane tylko osobom odpowiedzialnym za dany wycinek funkcjonowania Działu Informatyki lub Pionu IT.
Do wykonania PBI niezbędne jest powołanie Zespołu Wdrożeniowego. W skład Zespołu, jako sponsor, musi wejść jedenz członków Zarządu.