Bezpieczeństwo informacji

ISO 27000 ISO 17799 BS 7799 PN-I-07799

Co to jest ISO 17799?

Norma ISO 17799 wywodzi się z brytyjskiego standardu bezpieczeństwa BS 7799 (opisanego poniżej). Stanowi ona najszerzej stosowany zestaw wskazówek dla wdrożenia i utrzymania bezpieczeństwa informacji w przedsiębiorstwie. Poszczególne rozdziały normy są poświęcone następującym zagadnieniom:

• polityka bezpieczeństwa,
• organizacja bezpieczeństwa,
• klasyfikacja aktywów organizacji i bezpieczeństwa osobowego,
• sposoby kontroli dostępu, rozwoju i utrzymania systemu,
• warunki pracy.

Zalety wdrożenia systemu ISO 17799

Zastosowanie wytycznych normy daje możliwość zmniejszenia do minimum ryzyka zafałszowania, a nawet utraty informacji, co na obecnym etapie rozwoju technicznego jest niemalże koniecznością. Coraz częściej to właśnie informacja jest najcenniejszym środkiem produkcji, bowiem jej odzyskiwanie w razie utraty jest niezmiernie kosztownym i problematycznym procesem, znacznie trudniejszym od odtwarzania jakichkolwiek innych zasobów. Ponadto ujawnienie istotnych informacji może prowadzić do utraty konkurencyjności przez przedsiębiorstwo. Z tego też względu informacja powinna w każdym przedsiębiorstwie podlegać szczególnej ochronie..

Jak rozpocząć wdrożenie ISO 17799? Co się z tym wiąże?

Zastosowanie ISO 17799 pozwala określić wymagania przedsiębiorstwa w zakresie bezpieczeństwa, sformułować politykę ochrony i bezpieczeństwa informacji oraz wybrać środki, dzięki którym bezpieczeństwo informacji zostanie zapewnione. Norma wspomaga więc procesy organizacyjne w sposób umożliwiający racjonalne podwyższenie bezpieczeństwa informacji koncentrując się na sferze organizacyjnej oraz kontrolując obszary zwiększonego ryzyka, takie jak:

• polityka bezpieczeństwa,

• kontrola dostępu do informacji,

• zabezpieczenia na poziomie organizacyjnym,

• klasyfikacja i kontrola zasobów,

• zarządzanie działaniem urządzeń informatycznych,

• przestrzeganie obowiązujących procedur i przepisów prawa,

• pracownicy,

• zabezpieczenie fizyczne organizacji i otoczenia,

• zarządzanie ciągłością,

• opracowywanie i utrzymywanie systemów informatycznych.

Wyróżnia się wiele bardzo różnorodnych metod ustalania wymagań związanych z bezpieczeństwem informacji, z których niewątpliwie podstawowe to:

• znajomość uregulowań prawnych dotyczących wymaganych działań zapewniających bezpieczeństwo informacji,

• oszacowanie poziomu ryzyka utraty informacji,

• wypracowanie w przedsiębiorstwie odpowiedniej postawy odnośnie zapewnienia bezpieczeństwo informacji,

• wskazanie obszarów, w których zachodzi konieczność poprawy.

W tym zakresie firmę wspomogą doradcy, którzy najlepiej potrafią ocenić sytuację firmy i właściwie zinterpretować wymagania normy.

BS 7799

Brytyjski standard stanowiący podstawę systemów zarządzania bezpieczeństwem informacji opracowany został przez BSI.

BS 7799:1999 to dwuczęściowa norma:

BS 7799-1:1999 - standardowy kodeks praktyki, katalog zagadnień, jakie należy realizować dla potrzeb bezpieczeństwa informacji (Code of practice for Information Security Managemen);
BS 7799-2:1999 - standardowa specyfikacja dla systemów zarządzania bezpieczeństwem informacji (ISMS - Information Security Management System)

Jak rozpocząć wdrożenie BS 7799?

BS 7799-1:1999 definiuje 127 elementów kontroli i sterowania bezpieczeństwem informacji, podporządkowanych 10 grupom wymagań, co pozwala użytkownikom na zidentyfikowanie najwłaściwszych zabezpieczeń w kontekście specyfiki działalności, jaką prowadzą oraz otoczenia rynkowego i potrzeb w powyższym zakresie. Wykorzystywane narzędzia sterowania i kontroli zawierają dalsze szczegółowe techniki uznawane jako najlepsza praktyka w tym względzie. Aktualne wydanie normy kładzie szczególny nacisk na zarządzanie ryzykiem, wskazuje także, że użytkownik nie jest zobowiązany do wdrażania wszystkich technik przywołanych w części pierwszej standardu, tylko uznanych za najistotniejsze i zapewniające realizację celów. Katalog dotyczy wszystkich form informacji, w tym także ustnych i graficznych, powstających z wykorzystaniem telefonów komórkowych i faksów. Standard uwzględnia najnowsze formy działalności gospodarczej, np. e-commerce, internet, outsourcing, teleworking, mobile computing.

Certyfikacja BS 7799.

Zawarte w normie BS 7799-1 wymagania znalazły uznanie w wielu firmach brytyjskich. W oparciu o nabyte doświadczenie w BSI rozpoczęto prace nad kolejnym dokumentem normalizacyjnym BS 7799-2 Specification for Information Security Management Systems. Celem przyświecającym twórcom drugiej części standardu było stworzenie formalnych podstaw dla uruchomienia mechanizmu certyfikacji istniejących systemów ochrony bezpieczeństwa informacji. Przewiduje się, że w ramach procesu certyfikacji sprawdzany będzie aktualnie działający w danej firmie system zapewniający bezpieczeństwo informacji na zgodność z sugestiami zawartymi w normie BS 7799.

BS 7799-2:1999 ilustruje, w jaki sposób zaprojektować, wdrożyć i poddać certyfikacji system zarządzania bezpieczeństwem informacji (ISMS - Information Security Management Systems). Norma wskazuje na sześcioetapowy proces kreowania i wdrożenia zaprojektowanych rozwiązań; odwołuje się do konieczności określenia wszystkich aktywów informacyjnych i oszacowania ich istotności dla organizacji.


20 stycznia 2005 r. została zatwierdzona do publikacji polskojęzyczna wersja normy BS 7799-2:1999 będzie ona miała oznaczenie PN-I-07799-2:2005.

14 października 2005 r.  została opublikowana norma ISO / IEC 27001 (wcześniej znana jako brytyjska norma BS 7799-2; polskie tłumaczenie PN-I-07799-2:2005) jest specyfikacją sytemów zarządzania bezpieczeństwem informacji na zgodność z którą będą wydawane certyfikaty. W dalszym okresie planowane s± publikacje kolejnych norm serii ISO / IEC 27000 - słownictwo i terminologia, ISO /IEC 27002 (obecnie znane jako BS 7799-1 oraz ISO / IEC 17799) - praktyczne zasady zarządzania bezpieczeństwem informacji,  ISO /IEC 27003 - porady i wskazówki dotyczące implementacji systemu zarządzania bezpieczeństwem informacji (ISMS),  ISO / IEC 27004 - System Zarządzania Bezpieczeństwem Informacji. WskaĄniki i pomiar oraz ISO / IEC 27005 (obecnie BS 7799-3) - zarządzanie ryzykiem bezpieczeństwa informacji

bezpieczeństwo informacji ISO 27001 BS 7799 ISO 17799

Piotr Wrzesiński