erisk pomaga zarządzać bezpieczeństwem informacji i ochroną danych

Celem projektu było wdrożenie i certyfikacja systemu zarządzania bezpieczeństwem informacji, zgodnego z wymaganiami normy ISO 27001. Dla klienta ważna była pełna automatyzacja procesów oraz zapewnienie maksymalnego bezpieczeństwa ze względu na to, że narzędzie miało wspierać obszar ochrony danych osobowych. Rozwiązanie miało być na tyle zaawansowane, aby możliwe było analizowanie wpływu biznesowego (BIA), opracowanie minimalnej akceptowalnej konfiguracji (MAK), zarządzanie ryzykiem ciągłości działania, a także raportowanie zgodnie z wymaganiami ISO 27001, ISO 27017, ISO 27018 i standardem CSA CCM. Ponadto klientowi zależało na możliwości swobodnego doskonalenia funkcjonujących procesów, przez co priorytetem była pełna elastyczność narzędzia, umożliwiająca wprowadzanie niezbędnych zmian w przyszłości. Wszystkie te wymagania spełniło erisk.

Projekt został zrealizowany w okresie grudzień 2019 – styczeń 2020 i został podzielony na kilka etapów, obejmujących wdrożenie w poszczególnych obszarach (bezpieczeństwo informacji, ciągłość działania, ochrony danych osobowych). Kluczowe było przeprowadzenie prac w taki sposób, aby nie naruszać wcześniej wdrożonych metodyk i nie stwarzać zagrożenia dla zgromadzonych danych.

Przekazaliśmy licencję

Dostarczyliśmy oprogramowanie w postaci rocznej licencji dostępowej do narzędzia erisk. Dzięki aplikacji w modelu SaaS klient ograniczył koszty niezbędne do instalacji, utrzymania, aktualizacji i zapewnienia wymaganego bezpieczeństwa.

Przygotowaliśmy środowiska testowe i produkcyjne

Zgodnie z najlepszymi praktykami dotyczącymi bezpieczeństwa informacji uruchomiliśmy dwa środowiska pracy: testowe służące do projektowania bazy, prac konfiguracyjnych, testów i szkoleń, oraz produkcyjne, w którym prowadzona była pierwsza iteracja procesu zarządzania ryzykiem bezpieczeństwa informacji.

Opracowaliśmy koncepcję wdrożeniową

Przeanalizowaliśmy stosowane metodyki analizy ryzyka bezpieczeństwa informacji, rejestru ryzyka oraz struktury ról i odpowiedzialności. Na tej podstawie wypracowaliśmy główne założenia dla struktury formularzy i uprawnień w erisk. Dzięki aktywnej współpracy zespołów roboczych dopracowaliśmy strukturę bazy danych, która w pełni odpowiadała potrzebom organizacji.

Przeprowadziliśmy warsztaty

Podzieliliśmy szkolenia na dwie grupy: dla administratorów merytorycznych i dla właścicieli ryzyka. Zaprezentowaliśmy funkcje narzędzia, które bezpośrednio odnosiły się do codziennej pracy użytkowników erisk. Dzięki formie warsztatowej uczestnicy mogli poznać narzędzie w praktyce i samodzielnie przećwiczyć realizację zadań w ramach procesu zarządzania ryzykiem.

Skonfigurowaliśmy narzędzie zgodnie z ISO 27001

Kolejnym etapem była konfiguracja i implementacja danych do oprogramowania erisk w zakresie standardu zarządzania bezpieczeństwem informacji (ISO 27001). Przygotowaliśmy formularze, skrypty, monity, raporty i biblioteki, w tym bibliotekę środków kontroli/zabezpieczeń. Innowacyjną funkcją był tu tryb oceny, który pozwala wypełniać dane w formularzu planu postępowania z ryzykiem w zależności od wybranego rodzaju postępowania (minimalizacja ryzyka, akceptacja ryzyka, unikanie ryzyka, przeniesienie ryzyka). Co istotne, zastosowane rozwiązanie daje bardzo dużą swobodę rozwoju wykorzystania narzędzia w przyszłości poprzez implementację innych obszarów zarządczych.

Po pełnym skonfigurowaniu formularzy w bazie danych przystąpiliśmy do konfiguracji ról użytkowników i nadawania uprawnień zgodnie z ustaloną strukturą oraz do implementacji danych na temat ryzyka bezpieczeństwa informacji zgromadzonych w rejestrze ryzyka. Na zakończenie przeprowadziliśmy testy akceptacyjne zgodnie z ustalonymi scenariuszami – test zakończył się wynikiem pozytywnym.

Skonfigurowaliśmy narzędzie zgodnie z ISO 22301 i RODO

W następnym etapie przyjrzeliśmy się rozwiązaniom dotyczącym zarządzania ciągłością działania. Dzięki temu wykryliśmy lukę, która wskazała na konieczność stworzenia dedykowanych formularzy do prowadzenia systematycznej analizy BIA i analizy ryzyka utraty ciągłości działania, w tym środków kontroli i planów postępowania z ryzykiem. W ramach obszaru RODO wdrożyliśmy rejestr czynności przetwarzania, proces analizy DPIA oraz proces zarządzania ryzykiem. Nacisk położyliśmy na jak największą spójność i jednolitość z obszarami bezpieczeństwa informacji i ciągłości działania w podejściu do budowy formularzy dotyczących zarządzania ryzykiem przy jednoczesnym zachowaniu niezbędnej indywidualności.

Zapewniliśmy asystę techniczną

W ramach usługi aktywowaliśmy konto dostępowe do supportu, dzięki czemu klient zyskał asystę techniczną podczas prac wdrożeniowych i po zakończeniu projektu. W ramach asysty dodatkowej trwającej rok od uruchomienia erisk zrealizowaliśmy dodatkowe usługi konfiguracyjne i przygotowaliśmy niezbędne raporty, w tym mapę ryzyka i raport dotyczący CSA CCM.

• Dedykowane i w pełni dostosowane do potrzeb organizacji narzędzie w modelu chmurowym SaaS, które można swobodnie rozwijać i dostosowywać do zmieniających się potrzeb organizacji.
• Kompleksową informatyzację procesów powiązanych z wymaganiami norm ISO 27001, ISO 27017, ISO 27018, ISO 27005, ISO 22301, standardem CSA CCM oraz RODO.
• Zwiększenie efektywności zarządzania ryzykiem bezpieczeństwa informacji i ciągłości działania dzięki automatyzacji.
• Ograniczenie pracochłonności generowania raportów i danych na potrzeby audytów, kontroli, analiz poprzez zapewnienie szybkiego dostępu do aktualnych i spójnych danych.