Jak norma ISO 27001 wzmacnia bezpieczeństwo fizyczne

ISO 27001 a bezpieczeństwo fizyczne

Hasło „bezpieczeństwo informacji” kojarzy się z bezpieczeństwem cybernetycznym. Tymczasem norma ISO/IEC 27001 dotyczy też bezpieczeństwa fizycznego.

 

Jest to jeden z 4 obszarów zabezpieczeń, opisanych w załączniku A nowej normy ISO/IEC 27001:2022. Jego celem jest nadzorowanie dostępu do określonych miejsc bez uprawnień.

 

Pandemia spowodowała, że większość organizacji zaczęła pracować zdalnie. Pojawiły się nowe wyzwania związane z zapewnieniem bezpieczeństwa fizycznego. Organizacje, które pracują hybrydowo powinny przyjrzeć się swoim zasadom i procedurom dla odwiedzających: w jaki sposób przetwarzają informacje o odwiedzających osobach, jak dbają o to, by goście udali się bezpośrednio do wyznaczonych miejsc itp.

 

Inną kwestią jest fizyczna kontrola dostępu. Organizacje powinny wdrażać nie tylko cyfrowe kontrole dostępu (jak hasła, uwierzytelnianie wieloskładnikowe, zapory ogniowe i segmentację sieci), ale też zabezpieczenia fizyczne. Tu sprawdzić się może po prostu zamek na klucz, zamek szyfrowany pin kodem, czytnik kart lub biometryczna kontrola dostępu.

 

Monitoring

Monitorowanie bezpieczeństwa fizycznego ma na celu ograniczenie dostępu do określonych miejsc bez uprawnień. Taka kontrola może odbywać się przez telewizję przemysłową lub z pomocą ochroniarza, znajdującego się w pobliżu wejścia lub obsługującego panel systemu monitoringu.

 

Zakładając, że przedsiębiorstwo posiada dużo sprzętu i znajduje się w obszarze o wysokim wskaźniku przestępczości, zorganizowanie środków kontroli jest rozsądnym posunięciem. W takiej sytuacji zarówno telewizja przemysłowa, jak i system monitorowania bezpieczeństwa pełnią funkcje zapobiegawczą. Pomogą odstraszyć potencjalnych włamywaczy i pomóc w zidentyfikowaniu sprawców.

 

Zagrożenia i wady związane z CCTV

Wadą kamer jest to, że można je łatwo zasłonić lub zepsuć. Dodatkowo sam materiał filmowy może ulec uszkodzeniu. Nagrania mogą zostać nadpisane i są przechowywane przez określony czas.

 

Należy też pamiętać o obowiązkach organizacji w zakresie prywatności. Osoby nagrywane powinny wiedzieć o tym fakcie i mieć świadomość jakie dane na ich temat są w ten sposób zbierane.

 

Fizyczna kontrola dostępu

Nie każdy pracownik organizacji powinien mieć dostęp wszędzie. Do pomieszczenia, w którym przechowywane są poufne informacje lub sprzęt, dostęp powinien być ograniczony, dozwolony tylko dla osób, które muszą z nich skorzystać. Powinna obowiązywać zasada tzw. „logicznego dostępu”, bazująca na niezbędnej wiedzy.

 

Możesz na przykład umieścić swój zespół HR w jednej części budynku, aby przechowywać wrażliwe dane osobowe personelu oddzielnie od zespołu sprzedaży. Z podobnych powodów warto również oddzielić finanse. Upewnij się, że ograniczasz go w oparciu o zasadę niezbędnej wiedzy.

 

To, czego nie chcesz robić, to mieszać zespoły. Kiedy wszyscy pracownicy finansowi siedzą razem, nie ma znaczenia, czy jedna osoba patrzy na ekran drugiej i widzi poufne dane finansowe. Nie da się jednak powstrzymać przypadkowych spojrzeń, sprzedawcy siedzącego obok personelu finansowego.

 

Powtórzmy raz jeszcze: nawet zweryfikowani pracownicy nie powinni widzieć informacji nieistotnych dla ich pracy – zwłaszcza jeśli są to informacje wrażliwe.

 

Nawet jeśli jesteś małą organizacją i zatrudniasz niewielu pracowników, powinieneś wyznaczyć bezpieczną przestrzeń do pracy z wrażliwymi informacjami. Możesz też ustawić ekrany w taki sposób, aby nie było widać, nad czym dana osoba pracuje, jeśli ktoś wejdzie do biura. Dobrym rozwiązaniem może być także zastosowanie filtrów prywatyzujących na monitor.

 

Wiele organizacji z jednym budynku

Obecnie jest dość powszechne, że wiele różnych organizacji mieści swoje biura w tym samym budynku. To normalne, że biuro znajduje się na dziesiątym piętrze, a personel otrzymuje kartę dostępu, która umożliwia mu dostęp tylko do tego piętra i do drzwi wejściowych budynku. Lub jeśli masz gościa, zadzwonią do Ciebie z głównej recepcji, która następnie skieruje ich na właściwe piętro i poinformuje Cię, żebyś ich wpuścił.

 

Zdalny audyt bezpieczeństwa fizycznego

Przeprowadzenie wewnętrznego audytu bezpieczeństwa fizycznego zdalnie jest możliwe dzięki wykorzystaniu nowoczesnych technologii. Osoba poddawana audytowi może użyć telefonu z kamerą lub laptopa, aby w czasie rzeczywistym przekazywać obraz audytorowi. Podczas audytu osoba ta będzie opisywać, gdzie się znajduje, jakimi trasami się porusza i jakie czynności wykonuje.

 

Wykorzystanie kamer wideo do przeprowadzenia zdalnego audytu może być również skutecznym rozwiązaniem w przypadku, gdy dostęp do obiektu jest ograniczony lub gdy organizacja zarządza wieloma lokalizacjami.

 

Bezpieczeństwo fizyczne a praca zdalna na home office

Aby zwiększyć poziom bezpieczeństwa w przypadku osób pracujących zdalnie z domu na dobry początek warto wprowadzić politykę pracy zdalnej. Powinna ona uwzględniać wytyczne, jak fizycznie zabezpieczyć sprzęt firmowy. Np.

  • Unikaj pracy w miejscach publicznych.
  • Zawsze korzystaj z zaufanych, bezpiecznych połączeń Wi-Fi. Unikaj otwartych sieci w miejscach publicznych lub używaj VPN do szyfrowania ruchu sieciowego.
  • Nigdy nie pozostawiaj sprzętu bez nadzoru w miejscach publicznych.
  • Upewnij się, że ekran laptopa jest zablokowany, gdy urządzenie nie jest używane, nawet na krótki czas.
  • Podróżując samolotem, umieść laptopy itp. w bagażu podręcznym.
  • Nie pozwalaj także osobom nieupoważnionym korzystać z urządzenia.
  • Ustaw silne, unikalne hasła dla wszystkich kont i urządzeń oraz regularnie je aktualizuj.
  • Szyfruj dysk twardy laptopa, aby zabezpieczyć dane w przypadku kradzieży lub zgubienia urządzenia.
  • Upewnij się, że oprogramowanie antywirusowe i zapora sieciowa są aktywne i regularnie aktualizowane.
  • Zapewnij pracownikom jasne instrukcje postępowania w przypadku zgubienia lub kradzieży sprzętu, w tym informacje o tym, jak i gdzie zgłosić incydent.

 

Korzystanie z rozwiązań chmurowych

Obecnie firmy coraz częściej korzystają z rozwiązań chmurowych. Własne serwery i serwerownie stają się rzadziej wykorzystywane. Korzystanie z usług dostawcy chmury oznacza współdzielenie ryzyka. Twoje dane mogą być zarządzane i zabezpieczane przez dostawcę, ale z prawnego punktu widzenia to Ty pozostajesz za nie odpowiedzialny.

 

Dlatego ważne jest, aby przed wyborem dostawcy dokładnie zrozumieć warunki umowy, w tym zasady dotyczące bezpieczeństwa i prywatności danych. Zaleca się również regularne przeprowadzanie audytów bezpieczeństwa, aby upewnić się, że procedury ochrony danych są przestrzegane i dostosowywane do zmieniających się regulacji.

 

Zgodnie z normą ISO 27001:2022 zarządzanie dostawcami obejmuje wiele elementów kontrolnych:

 

  • 5.19: Bezpieczeństwo informacji w relacjach z dostawcami.
  • 5.20: Kwestia bezpieczeństwa informacji w umowach z dostawcami.
  • 5.21: Zarządzanie bezpieczeństwem informacji w łańcuchu dostaw ICT.
  • 5.22: Monitorowanie, przegląd i zarządzanie zmianami w usługach dostawców.
  • 5.23: Bezpieczeństwo informacji przy korzystaniu z usług w chmurze [kolejna nowa kontrola].

 

To podkreśla jego znaczenie dla ogólnego bezpieczeństwa informacji. Jeśli Twój łańcuch dostaw nie jest bezpieczny, to Ty również nie jesteś bezpieczny.

 

Chcesz poznać więcej szczegółów dotyczących normy ISO/IEC 27001? Sprawdź, kiedy organizujemy najbliższe szkolenia.

Skontaktuj się z nami

Zgodnie z art. 13 ust. 1 i ust. 2 ogólnego rozporządzenia o ochronie danych osobowych z dnia 27 kwietnia 2016 r. (dalej RODO) informujemy, iż Administratorem Państwa danych osobowych jest ISOQAR CEE sp. z o.o  z siedzibą w Warszawie,  adres: ul.   Wąwozowa 11,  02-796 Warszawa.  Państwa dane osobowe przetwarzane będą w celach kontaktowych niezbędnych do realizacji usługi, zgodnie z obowiązującymi przepisami prawa na podstawie art. 6 ust. 1 lit. f RODO.

Wyrażam zgodę na przetwarzanie moich danych osobowych przez ISOQAR CEE sp. z o.o jako administratora danych osobowych, w celach otrzymywania informacji handlowych i marketingowych wysyłanych na podany adres e-mail na podstawie art. 6 ust. 1 lit. a RODO. Więcej informacji w Polityką prywatności

Polityka prywatności

Dochowujemy najwyższej staranności w zakresie ochrony i bezpieczeństwa przekazanych nam informacji poufnych oraz powierzonych  danych osobowych. W tym celu minimalizujemy wszelkie dostrzeżone ryzyka, które mogłyby prowadzić do naruszenia bezpieczeństwa pozyskanych lub przetwarzanych informacji lub danych.

Stosownie do treści  postanowień art. 13 Rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (ogólne rozporządzenie o ochronie danych „RODO” art. 13), informujemy, że:

  1. Administratorem Pani/Pana danych osobowych jest  ISOQAR CEE  sp. z o.o. w Warszawie, adres:  ul. Wąwozowa 11, 02-796 Warszawa.
  2. Kontakt z administratorem danych osobowych możliwy jest pod adresem e-mail: isoqar@isoqar.pl
  3. Pani/Pana dane osobowe przetwarzane na podstawie udzielonej przez Panią/Pana zgody, w oparciu o treść  art. 6 ust. 1 lit. b-f   RODO lub na podstawie Umowy powierzenia przetwarzania danych.
  4. Pani/Pana dane osobowe, stosownie do treści zgody i podstawy przetwarzania,  mogą być wykorzystane  w celu udzielenia  informacji handlowych, marketingowych oraz w celu  wykonania  zawartych przez Administratora umów o współpracy, w zakresie niezbędnym do ich prawidłowej realizacji.   
  5. Odbiorcą Pana/Pani danych osobowych mogą być podmioty działające na zlecenie Administratora w zakresie i w celach, które wynikają z przepisów powszechnie obowiązującego prawa i  zawartych przez Administratora  umów.
  6. Pana/Pani dane osobowe przechowywane będą przez okres niezbędny do realizacji celów określonych w pkt 4, a po tym czasie, tylko  w zakresie i przez okres,  wymagany przez przepisy powszechnie obowiązującego prawa.
  7. Posiada Pani/Pan prawo do:
    • żądania od Administratora dostępu do danych osobowych,
    • sprostowania, usunięcia lub ograniczenia przetwarzania danych osobowych,
    • wniesienia sprzeciwu wobec przetwarzania,
    • przeniesienia danych,
    • cofnięcia zgody na przetwarzanie danych osobowych.
  8. W przypadku powzięcia informacji o niezgodnym z prawem przetwarzaniu Pani/Pana danych osobowych, przysługuje Pani/Panu prawo wniesienia skargi do organu nadzorczego.
  9. Pani/Pana dane będą przetwarzane w sposób zautomatyzowany w tym również w formie profilowania. Zautomatyzowane podejmowanie decyzji będzie odbywało się na zasadach określonych w regulaminie (opcje: subskrypcji, itp.) a konsekwencją takiego przetwarzania będzie otrzymywanie wyselekcjonowanej informacji marketingowej.
  10. Podanie przez Pana/Panią danych osobowych jest dobrowolne, jednakże niepodanie danych może skutkować niemożliwością uczestnictwa w  wybranych kategoriach kontaktu ( subskrypcji newslettera, otrzymywaniu ofert marketingowych, udziału w ankietach).
  11. Podanie przez Panią/Pana dobrowolnie danych osobowych w formularzu kontaktu, wiadomości elektronicznej, innego rodzaju  oświadczeniu, jest równoważne ze złożeniem przez Pana/Panią  oświadczenia o następującej treści:  wyrażam zgodę na przetwarzanie moich danych osobowych w celu nawiązania kontaktu bezpośredniego, przekazania informacji handlowej, sporządzenia oferty, przesyłania newslettera, wzięcia udziału w ankiecie ( zależnie od żądanej przez Panią/Pana opcji). 

 

Regulamin plików cookies

 

  1. Pliki cookies (tzw. „ciasteczka") stanowią dane informatyczne, w szczególności pliki tekstowe, które przechowywane są w urządzeniu końcowym Użytkownika Serwisu i przeznaczone są do korzystania ze stron internetowych Serwisu. Cookies zazwyczaj zawierają nazwę strony internetowej, z której pochodzą, czas przechowywania ich na urządzeniu końcowym oraz unikalny numer.
  2. Podmiotem zamieszczającym na urządzeniu końcowym Użytkownika Serwisu pliki cookies oraz uzyskującym do nich dostęp jest operator Serwisu: http://www.isoqar.pl/
  3. Pliki cookies wykorzystywane są w celu:
    1. dostosowania zawartości stron internetowych Serwisu do preferencji Użytkownika oraz optymalizacji korzystania ze stron internetowych; w szczególności pliki te pozwalają rozpoznać urządzenie Użytkownika Serwisu i odpowiednio wyświetlić stronę internetową, dostosowaną do jego indywidualnych potrzeb;
    2. tworzenia statystyk, które pomagają zrozumieć, w jaki sposób Użytkownicy Serwisu korzystają ze stron internetowych, co umożliwia ulepszanie ich struktury i zawartości;
    3. utrzymanie sesji Użytkownika Serwisu (po zalogowaniu), dzięki której Użytkownik nie musi na każdej podstronie Serwisu ponownie wpisywać loginu i hasła;
    4. dostosowania treści reklamowych w formie graficznej (Reklamy displayowe) przy wykorzystaniu remarketingu Google Analytics
  4. W ramach Serwisu stosowane są dwa zasadnicze rodzaje plików cookies: „sesyjne" (session cookies) oraz „stałe" (persistent cookies). Cookies „sesyjne" są plikami tymczasowymi, które przechowywane są w urządzeniu końcowym Użytkownika do czasu wylogowania, opuszczenia strony internetowej lub wyłączenia oprogramowania (przeglądarki internetowej). „Stałe" pliki cookies przechowywane są w urządzeniu końcowym Użytkownika przez czas określony w parametrach plików cookies lub do czasu ich usunięcia przez Użytkownika.
  5. W ramach Serwisu stosowane są następujące rodzaje plików cookies:
    1. „niezbędne" pliki cookies, umożliwiające korzystanie z usług dostępnych w ramach Serwisu, np. uwierzytelniające pliki cookies wykorzystywane do usług wymagających uwierzytelniania w ramach Serwisu;
    2. pliki cookies służące do zapewnienia bezpieczeństwa, np. wykorzystywane do wykrywania nadużyć w zakresie uwierzytelniania w ramach Serwisu;
    3. „wydajnościowe" pliki cookies, umożliwiające zbieranie informacji o sposobie korzystania ze stron internetowych Serwisu;
    4. „funkcjonalne" pliki cookies, umożliwiające „zapamiętanie" wybranych przez Użytkownika ustawień i personalizację interfejsu Użytkownika, np. w zakresie wybranego języka lub regionu, z którego pochodzi Użytkownik, rozmiaru czcionki, wyglądu strony internetowej itp.;
    5. „reklamowe" pliki cookies, umożliwiające dostarczanie Użytkownikom treści reklamowych bardziej dostosowanych do ich zainteresowań.
    6. W wielu przypadkach oprogramowanie służące do przeglądania stron internetowych (przeglądarka internetowa) domyślnie dopuszcza przechowywanie plików cookies w urządzeniu końcowym Użytkownika. Użytkownicy Serwisu mogą dokonać w każdym czasie zmiany ustawień dotyczących plików cookies. Ustawienia te mogą zostać zmienione w szczególności w taki sposób, aby blokować automatyczną obsługę plików cookies w ustawieniach przeglądarki internetowej bądź informować o ich każdorazowym zamieszczeniu w urządzeniu Użytkownika Serwisu. Szczegółowe informacje o możliwości i sposobach obsługi plików cookies dostępne są w ustawieniach oprogramowania (przeglądarki internetowej). Użytkownicy mogą zablokować usługę Analytics dla reklam displayowych oraz dostosowywać reklamy w sieci reklamowej Google w Menedżerze preferencji reklam. Można również pobrać program blokujący Google Analytics ze strony https://tools.google.com/dlpage/gaoptout/
    7. Operator Serwisu informuje, że ograniczenia stosowania plików cookies mogą wpłynąć na niektóre funkcjonalności dostępne na stronach internetowych Serwisu.
    8. Pliki cookies zamieszczane w urządzeniu końcowym Użytkownika Serwisu i wykorzystywane mogą być również przez współpracujących z operatorem Serwisu reklamodawców oraz partnerów.
    9. Więcej informacji na temat plików cookies dostępnych jest pod adresem http://wszystkoociasteczkach.pl lub w sekcji „Pomoc" w menu przeglądarki internetowej.

Klauzula informacyjna w zakresie przetwarzania danych osobowych na potrzeby newsletter

W związku z obowiązywaniem od dnia 25 maja 2018 r. rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (Dz. Urz. UE L 119, str. 1), zwanego dalej „rozporządzeniem RODO”, informujemy, że:

  1. Administratorem Pani/Pana danych osobowych jest ISOQAR CEE sp. z o.o  z siedzibą w Warszawie,  adres: ul.   Wąwozowa 11,  02-796 Warszawa, NIP 9512091016, wpisana do Krajowego Rejestru Sądowego prowadzonego  przez Sąd Rejonowy w dla m.st. Warszawy, XIII Wydział Gospodarczy Krajowego Rejestru Sądowego pod numerem KRS: 0000178492, 

  2. Administrator wyznaczył Inspektora Ochrony Danych Krzysztofa Radtke, z którym można się skontaktować drogą elektroniczną: iod@isoqar.pl

  3. Pani/Pana dane osobowe będą przetwarzane w celach wysyłki i otrzymywania newslettera.

  4. Przetwarzanie Pani/Pana danych osobowych odbywać się będzie na podstawie wyrażonej przez Panią/Pana zgody (podstawa prawna: art. 6 ust. 1 lit. a Rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE RODO

  5. Pani/Pana dane osobowe będą przetwarzane do czasu cofnięcia przez Panią/Pana zgody. 

  6. Odbiorcą Pani/Pana danych osobowych będą podmioty, którym Administrator zleca wykonywanie czynności, z którymi wiąże konieczność przetwarzania danych (podmioty przetwarzające) oraz podmioty publiczne na podstawie odrębnych przepisów prawa. 

  7. W związku z przetwarzaniem danych osobowych przysługuje Pani/Panu prawo dostępu do treści danych, ich sprostowania, usunięcia, ograniczenia ich przetwarzania oraz prawo do wniesienia sprzeciwu wobec przetwarzania danych osobowych. 

  8. Ma Pani/Pan prawo do cofnięcia zgody na przetwarzanie Pani/Pana danych w dowolnym momencie bez wpływu na zgodność z prawem przetwarzania, którego dokonano na podstawie zgody przed jej cofnięciem.

  9. W przypadku uznania, że przetwarzanie przez Administratora Pani/Pana danych osobowych narusza przepisy Rozporządzenia ma Pani/Pan prawo wnieść skargę do Prezesa Urzędu Ochrony Danych Osobowych (PUODO). 

  10. Podanie przez Panią/Pana danych osobowych jest dobrowolne, jednak jest warunkiem wysyłki newslettera.

  11. Pani/Pana dane osobowe nie będą przetwarzane w sposób zautomatyzowany, nie będą poddawane profilowaniu.

  12. Pani/Pana dane osobowe mogą być przekazywane do państwa trzeciego (UK).