Erfaringer med innføring av styringssystemer Kåre Presttun kaare@mnemonic.no
Kåre Presttun Sivilingeniør fra NTH 1979 Jobbet med sikkerhet siden våren 1980 Har jobbet mye med standardisering Medlem av Standard Norges referansegruppe mot ISO/IEC JTC1/SC27 Jobbet som konsulent i mnemonic siden mai 2004
mnemonic as Etablert sommeren 2000 av 4 grundere Omsetning 2013: 264 MNOK Ca. 120 medarbeidere Firmasertifiseringer ISO/IEC 27001-sertifisert (siden 2005, NS/BS 7799) ISO 9001-sertifisert Miljøfyrtårn-sertifisering se http://www.miljofyrtarn.no PCI DSS Qualified Security Assessor (QSA) PCI DSS Approved Scanning Vendor (ASV) PCI DSS Payment Application QSA PCI Forensic Investigator (PFI)
Historien 1992 A Code of Practice for Information Security Management, DTI
Bakgrunn Vi er et sikkerhetsfirma Det var en del interne diskusjoner om vi skulle gå i gang Vi så i forespørsler (særlig fra offentlig) der de ba oss redegjøre for internt sikkerhetsarbeid i tilbud Vi bestemte til slutt at å bli ISO/IEC 27001-sertifisert vill gjøre det enkelt å vise til sertifisering i tilbud (NS/BS 7799) I tillegg mente vi det ville være en fordel i markedet å være sertifisert
Implementering Laget høsten 2004 en prosjektgruppe bestående av: Meg som prosjektleder Styreleder Administrerende direktør Sikkerhetsleder Interndrift + andre ved behov
Risikoanalyse Vi vurderte flere: OCTAVE OCTAVE-S AS/NZS 4360:2004 NIST Special Publication 800-30-2002 Endte opp med OCTAVE Nå bruker vi: ISO/IEC 27005:2008 OCTAVE Allegro (to typer Assets: Information, Container) NIST Special Publication 800-30-2012 er også meget bra
OCTAVE Er ganske omfattende Har gode arbeidsskjema for hele prosessen Er laget for å utføres i arbeidsgrupper Hos oss var det prosjektgruppa som ble arbeidsgruppe med ekstra medlemmer avhengig av tema Var grundig og brukte flere måneder på prosessen
Policy Det ble utarbeidet en overordnet sikkerhetspolicy En halv A4-side Overordnede føringer på sikkerhetsarbeidet Overordnede føringer på risikoappetitt
Risikoappetitt Grunnlaget for risikostyring ligger i etablerte retningslinjer for hva som aksepteres av risiko. I mnemonic aksepterer vi en risiko dersom den medfører: 1. høy nytteverdi for mnemonic 2. og at eventuelle skader kan rettes opp/repareres med rimelig kost og innen rimelig tid 3. og at det finnes mekanismer for deteksjon av skaden eller sikkerhetsbruddet
Statement of Applicability Basert på policy og risikoanalyse ble SoA laget SoA tar utgangspunkt i ISO 27001 Annex A som er basert ISO/IEC 27002 Alle punkter i Annex A som skal med skal begrunnes Alle punkter i Annex A som ikke skal med skal begrunnes En kan ta med andre ting enn det som er i Annex A (begrunnes i risikoanalyse) SoA er basisen for det videre arbeidet
Eksempel som ikke er i Annex A Personellsikkerhet Hvis mer enn 2/3 av en avdeling skal reise så skal reisen foretas med to forskjellige transporter Hvis mer enn 1/3 av mnemonic skal reise så skal reisen foretas med to forskjellige transporter
Arbeidet videre Basert på SoA pluss det vi hadde fra før ble: Detaljerte policyer utarbeidet Prosedyrer utarbeidet Tiltak implementert Katastrofeplan utarbeidet og implementert Så var det på tide å ringe Veritas Mai 2005 var vi sertifisert etter NS/BS 7799 (tok ca. 7 mnd.) Resertifisering i 2006 var etter ISO/IEC 27001:2005
Erfaringer Nyttig i forbindelse med tilbudsarbeid og kontrakter Det var et løft å få det på plass Det er ikke så mye arbeid å vedlikeholde Det er ikke noe tungrodd for medarbeiderne Forbedres hele tiden med tilbakemeldinger fra DNV Erfaringen er så positiv at vi bestemte oss for ISO 9001 også Nytt løft våren 2014 med ISO/IEC 27001:2013 og integrering med ISO 9001
2005 -> 2013 Endret struktur med felles struktur for alle ISOs ledelsessystemstandarder Risikostyring kommer i alle ledelsessystemstandarder Det er mange ledelsessystemstandarder i ISO (ca. 15) De mest kjente: 9000-familien kvalitet (9001 ny versjon i 2015) 14000-familien miljø 20121 bærekraftig arrangement/begivenhet 22000 matsikkerhet 27001 informasjonssikkerhet 50001 energi
2005 -> 2013 PDCA (Plan-Do-Check-Act)-modell er tatt bort kontinuerlig forbedring er fortsatt et krav Referanser er tatt bort og flyttet til ISO/IEC 27000 (oversettes) ISMS skal ikke være løsrevet men integrert i øvrige virksomhetsprosesser «asset owner» er erstattet med «risk owner» den eller de som er ansvarlige for å godkjenne tiltaksplanen samt akseptere gjenværende risiko Valgte tiltak skal sammenlignes med vedlegg A for å kontrollere at ingen relevante tiltak er utelatt. «Statement of Applicability» (SoA), der nødvendige sikringstiltak skal begrunnes og sikringstiltak i vedlegg A som er utelatt skal begrunnes.
2005 -> 2013 For risikovurderinger benyttes nå samme terminologi og vokabular som ISO 31000. Man skal identifisere risiko på bakgrunn av sannsynlighets- og konsekvensvurderinger. SP 800-30 gjør forskjell på «adversarial risk» og «nonadversarial risk». Den første bygger på intensjon og evne, den andre på sannsynlighet. I OCTAVE Allegro kommer sannsynlighet inn i bildet i siste trinn når en lager risikohåndteringsplanen. Begge har detaljerte arbeids-ark som leder deg gjennom hele prosessen.
2005 -> 2013 For å kunne gjennomføre måling og overvåking av informasjonssikkerheten, samt effektiviteten til styringssystemet, skal man først identifisere hvilke parametere man trenger. Deretter må man vurdere hva, når og hvordan en skal måle, samt hvem som skal gjennomføre målingene. Det har kommet inn et nytt krav om at man skal kunne dokumentere at de korrigerende tiltakene man har iverksatt faktisk fungerer som forutsatt. Kravet til kontinuerlig forbedring dekker nå også styringssystemets egnethet og tilstrekkelighet
Hjelpestandarder ISO/IEC 27000:2014 Information security management systems - Overview and vocabulary ISO/IEC 27002:2013 Code of practice for information security controls ISO/IEC 27003:2010 Information security management system implementation guidance ISO/IEC 27004:2009 Information security management Measurement ISO/IEC 27005:2011 Information security risk management ISO/IEC 27007:2011 Guidelines for information security management systems auditing ISO/IEC TR 27008:2011 Guidelines for auditors on information security management systems controls
Spørsmål?