Skuteczna ochrona najważniejszych informacji w firmie wymaga odpowiedzi na pytanie: co i jak chronić, żeby inwestycje w bezpieczeństwo były optymalne. Aby sprostać temu wyzwaniu, warto podejść kompleksowo do architektury bezpieczeństwa w przedsiębiorstwie. Jest to możliwe dzięki zastosowaniu metodyki SABSA.
Odpowiedzią na coraz głośniej artykułowane wołanie o poprawę bezpieczeństwa informacji w firmie może być metodyka architektury bezpieczeństwa Sherwood Applied Business Security Architecture (SABSA). SABSA jest kompleksowym spojrzeniem na kwestie bezpieczeństwa (w tym bezpieczeństwa informacji). Jednocześnie SABSA nie stoi w sprzeczności z dotychczas rozpowszechnionymi standardami, takimi jak ITIL/ISO 20000, ISO 27001/17799, Cobit, BS 15000/AS 8018. Rozwija je i dodaje im spójności.
Twórcy SABSA podkreślają, że jest to architektura braku zagrożeń, a nie system zarządzania bezpieczeństwem informacji. Oznacza to całościowe i szersze spojrzenie na bezpieczeństwo w firmie, uwzględniające stosowane mechanizmy ochrony wraz z określeniem ich wzajemnych powiązań biznesowych. Koncepcja SABSA pozwala na analizę kwestii bezpieczeństwa przez pryzmat biznesu. Zmusza do odpowiedzi na podstawowe pytanie, czym jest bezpieczeństwo dla organizacji – co to znaczy, że „jest bezpiecznie”. Jednocześnie dzięki kompleksowości podejścia SABSA pomaga wyodrębnić wszystkie obszary przedsiębiorstwa, które mogą mieć wpływ na jego bezpieczeństwo. Ale przede wszystkim SABSA zmusza zarządzających do umieszczenia decyzji w kontekście tej konkretnej organizacji, dzięki czemu mogą oni dostrzec, że niektóre rozwiązania w konkretnym przypadku są tylko stratą pieniędzy lub w nieuzasadniony sposób ograniczają działania biznesowe.
Całościowe podejście do bezpieczeństwa informacji
Jedną z najistotniejszych różnic między metodyką SABSA a powszechnie stosowanymi dotychczas koncepcjami jest całkowita zmiana filozofii myślenia o bezpieczeństwie, ze zmianą definicji bezpieczeństwa informacji włącznie. Dotychczas najczęściej definiowano je za pomocą trzech atrybutów: poufności, integralności i dostępności, co historycznie wywodzi się jeszcze z brytyjskiej normy British Standard 7799. Te trzy atrybuty są z jednej strony dość szerokie i mieszczą w sobie wiele aspektów, z drugiej strony są pojęciami technicznymi, interpretowanymi w różny sposób w zależności od profilu biznesowego decydentów.
Koncepcja SABSA pozwala na analizę kwestii bezpieczeństwa przez pryzmat biznesu.
SABSA ułatwia zrozumienie kwestii bezpieczeństwa poprzez odniesienie ich do faktycznych problemów, z którymi boryka się organizacja i stykają użytkownicy. Robi to, wychodząc od zrozumienia specyfiki działalności przedsiębiorstwa i zachodzących w nim procesów biznesowych, poprzez wskazanie, które spośród zdefiniowanych w SABSA 75 kryteriów bezpieczeństwa (atrybutów biznesowych) są dla firmy najistotniejsze. Pozwala to precyzyjnie określić kluczowe dla firmy aspekty bezpieczeństwa i znaleźć optymalne rozwiązania. Bo przecież nie dla każdej firmy zgodność z ISO 27001/17799 jest celem nadrzędnym, choć równocześnie ochrona informacji może być dla niej absolutną podstawą biznesu i mieć bezpośredni wpływ na jego ciągłość.
Analiza wszystkich aspektów działania firmy
Projektując architekturę bezpieczeństwa zgodnie z metodyką SABSA, należy odpowiedzieć sobie na sześć fundamentalnych pytań. Co chcemy chronić? Dlaczego, czyli jaka jest motywacja do podejmowania działań? Jak chcemy to robić? Kto wykonuje konkretne działania? Gdzie planujemy chronić? Kiedy podejmujemy działania?
Wiadomo, że odpowiedzi udzielone na powyższe pytania będą różne w zależności od tego, kogo spytamy. Zupełnie innych odpowiedzi udzieli członek zarządu, a innych – inżynier odpowiedzialny za konfigurację urządzeń sieciowych. Dlatego SABSA prezentuje model warstwowy, który odnosi się do wszystkich poziomów działalności przedsiębiorstwa. W modelu wyszczególniono 6 warstw i w każdej z nich konieczne jest udzielenie odpowiedzi na wszystkie pytania metodyki SABSA, czyli co, dlaczego, jak, kto, kiedy i gdzie. Pozwala to zaprojektować bezpiecznie funkcjonującą firmę, uzyskując odpowiedzi na coraz niższych poziomach jej działania.
Najwyższa warstwa – warstwa kontekstowa – obejmuje umiejscowienie bezpieczeństwa i jego rolę w modelu biznesowym firmy. Zarządzający muszą sobie uświadomić, które obszary są dla nich kluczowe i stanowią najwyższą wartość podlegającą ochronie. Na tym poziomie wspólnie z zarządem należy określić:
Co mamy zamiar chronić – czyli jakie aktywa są najważniejsze dla naszego biznesu? Może najważniejsza jest marka, reputacja, znaki towarowe, a może budynki i składy magazynowe? Czy dla naszej organizacji, działającej w otaczających nas realiach rynkowych, ważne są posiadane informacje? Dopiero gdy te kwestie są jednoznacznie sprecyzowane, można zastanawiać się:
Dlaczego te właśnie dobra mamy zamiar chronić – czyli jakie rodzaje ryzyka biznesowego kryją się za wskazanymi aktywami i celami przedsiębiorstwa? Czy chcemy chronić się przed nadużyciami ze strony klientów? Czy warunkiem sine qua non naszego sukcesu jest ciągłość działania przedsiębiorstwa? A może to regulator narzuca nam pewne formy funkcjonowania? Wiedząc, dlaczego musimy inwestować w ochronę, możemy dyskutować z zarządem:
Jak mamy się chronić – czyli w które ważne procesy biznesowe chcemy wpisać idee bezpieczeństwa? Dopiero ta wiedza pozwoli nam określić:
Kto ma zajmować się ochroną – czyli gdzie w strukturze firmy należy umieścić odpowiedzialność za funkcję bezpieczeństwa? Czy tworzymy dedykowaną strukturę organizacyjną? Zlecamy odpowiedzialność za bezpieczeństwo firmie outsourcingowej? A może chcemy przetransferować ją na klientów? Teraz trzeba zdecydować:
Gdzie umieścić ochronę – czyli gdzie zamierzamy rozmieścić struktury odpowiadające za bezpieczeństwo? Czy tworzymy jedno centrum kompetencyjne dla całej organizacji, czy rozpraszamy odpowiedzialność za bezpieczeństwo po wszystkich oddziałach? A może wpisujemy w model działania naszej firmy filozofię pracy zdalnej (teleworking)? I wreszcie:
Kiedy chronić – czyli w jaki sposób zintegrować funkcje bezpieczeństwa z przyjętym modelem biznesowym firmy? Kiedy przeprowadzać działania kontrolne, tak żeby były one możliwie transparentne i nie zakłócały jej funkcjonowania? Wreszcie jak wpisać bezpieczeństwo w łańcuch wartości firmy? Zadając te same pytania, poddajemy analizie kolejne warstwy modelu SABSA, angażując coraz bardziej wyspecjalizowanych pracowników firmy:
warstwę koncepcyjną – opisującą strategię funkcjonowania bezpieczeństwa w organizacji, czyli sposób zapewnienia realizacji celów określonych w warstwie kontekstowej;
warstwę logiczną – zawierającą opis wszystkich istotnych elementów, niezbędnych do funkcjonowania mechanizmów bezpieczeństwa, takich jak modele organizacyjne, polityka, szkolenia czy projekty;
warstwę fizyczną – opisującą procedury, mechanizmy kontrolne, platformę techniczną bezpieczeństwa i infrastrukturę sieciową;
warstwę komponentową – obejmującą bezpośrednie narzędzia bezpieczeństwa (standardy, protokoły i certyfikaty) oraz konkretne technologie i aplikacje;
warstwę operacyjną – przenikającą wszystkie wcześniejsze pięć warstw, tak by uzyskać ich odzwierciedlenie w codziennym operacyjnym funkcjonowaniu organizacji (bezpieczeństwo aplikacji, sieci, pomoc techniczna)Indeks górny 11.
Zestawienie tych sześciu warstw i kluczowych pytań, zadawanych podczas ich analizy, tworzy macierz przedstawiającą wszystkie aspekty bezpieczeństwa w firmie. Została ona przedstawiona w ramce ► Architektura bezpieczeństwa według SABSA.
Podniesienie problemu bezpieczeństwa na poziom zarządu
SABSA posiada zaletę, którą z pewnością docenią specjaliści ds. bezpieczeństwa w firmie (Chief Security Officers – CSOs). Dotąd bezpieczeństwo było ich domeną i każda próba rozmowy z zarządem na temat aspektów finansowych związanych z bezpieczeństwem prowadziła do dyskusji o zasadności kolejnego wydatku. CSOs mieli więc duże trudności z wykazaniem sensowności inwestycji w bezpieczeństwo. Zazwyczaj bowiem najwyższe władze w firmie niechętnie wydają pieniądze na coś, co nie jest bezpośrednią inwestycją w główny obszar działalności. Z badania Ernst & Young wynika, że w 33% firm na świecie kwestie bezpieczeństwa NIGDY nie są dyskutowane na poziomie zarządu, natomiast w przypadku 76% firm są one raz w miesiącu przedmiotem dyskusji z przedstawicielami IT. Osadzenie bezpieczeństwa w kontekście celów biznesowych zmienia tę sytuację. Korzystając z metodyki SABSA, CSOs mogą łatwo pokazać osobom decyzyjnym powody, dla których należy wdrożyć rozwiązania z zakresu bezpieczeństwa. Prezentując poszczególne warstwy architektury SABSA, wskazują, w których momentach elementy bezpieczeństwa wpisują się w realizowane przez organizację procesy biznesowe.
Dzięki spójnemu obrazowi, łączącemu aspekty biznesu z aspektami bezpieczeństwa, członkowie zarządu widzą kontekst biznesowy całego przedsięwzięcia.
Przekonanie zarządu, że należy zapewnić firmie bezpieczeństwo, pozostaje zadaniem trudnym, jednak możliwość udowodnienia jednoznacznej, klarownej zależności pomiędzy biznesem a bezpieczeństwem sprawia, że powstaje platforma porozumienia. Pozwala ona na merytoryczną dyskusję nie o kosztach, tylko o elementach bezpieczeństwa, które mogą przyczynić się do wzrostu wartości świadczonych przez firmę usług.
SABSA w Polsce
SABSA nie jest jeszcze powszechnie stosowanym podejściem do bezpieczeństwa w polskich firmach. Tylko 5 osób w Polsce zdało wszystkie wymagane egzaminy i uzyskało certyfikat SABSA Chartered Foundation (SCF), potwierdzający znajomość tej metodyki. Polski oddział Ernst & Young posiada już jednak praktyczne doświadczenia z zakresu opracowywania architektur bezpieczeństwa opartej na SABSA i pozostaje również w stałym kontakcie z Davidem Lynasem. Praktycznej stosowalności metodyki SABSA na Polskim rynku dowodzi fakt, że dwie spośród największych organizacji w Polsce rozpoczęły działania zmierzające do wdrożenia architektury bezpieczeństwa w oparciu o metodykę SABSA. Firmami tymi są Polski Koncern Naftowy Orlen oraz bank PKO BP. W obu tych organizacjach ważnym motywem przy podejmowaniu takiej decyzji było dążenie do wkomponowania bezpieczeństwa w model działalności przedsiębiorstwa, czyli zmiana sposobu myślenia – odejście od koncepcji zabezpieczania na rzecz budowy bezpiecznego biznesu.
„Punktem wyjścia przy budowie architektury bezpieczeństwa Orlenu było opracowanie jej założeń według metodyki SABSA, w czym wsparli nas konsultanci firmy Ernst & Young. Spowodowało to zupełną zmianę sposobu myślenia o bezpieczeństwie w spółce, a jednocześnie doprowadziło do sytuacji, w której nieefektywności w funkcjonowaniu niektórych przyjętych rozwiązań bezpieczeństwa zostały zidentyfikowane i opisane. Na podstawie opracowanych założeń architektury zarekomendowano rozdział funkcji bezpieczeństwa w koncernie oraz określono strategiczną rolę Biura Kontroli i Bezpieczeństwa. Pozwoliło to na opracowanie jego zadań i struktury organizacyjnej oraz docelowego zakresu funkcji bezpieczeństwa. Nowa koncepcja architektury bezpieczeństwa musi teraz zostać zaprezentowana i przedstawiona do zatwierdzenia zarządowi, a następnie skierowana do dalszego wdrożenia. Docelowo ma ona rozszerzyć się również na zagraniczne spółki, należące do koncernu, aby objąć jednolitą ochroną całą organizację” – mówi Krzysztof Paczóski, dyrektor Biura Kontroli i Bezpieczeństwa, PKN Orlen.
„Biuro Kontroli i Bezpieczeństwa zdecydowało się na projektowanie architektury bezpieczeństwa według metodyki SABSA ze względu na kompleksowe ujęcie w niej zagadnienia bezpieczeństwa w biznesie oraz precyzyjne określenie kompetencji poszczególnych komórek organizacyjnych. W swojej istocie pozwala ona na efektywne zintegrowanie wszystkich aspektów bezpieczeństwa, zarówno materialnych, jak i niematerialnych, które mają wpływ na wizerunek koncernu na zewnątrz. Umożliwia również określanie zasad i procedur współpracy z innymi oddziałami firmy, w tym ze spółkami zagranicznymi. Nowatorskie podejście, jakie oferuje metodyka SABSA, było dla Biuro Kontroli i Bezpieczeństwa ważnym atutem przy wyborze podejścia do tych zagadnień. Warto uświadomić sobie, że w specyficznej działalności, jaką w kraju i za granicą prowadzi Orlen, tradycyjne rozwiązania, mające zastosowanie w innych sektorach, mogą się nie sprawdzić. Uważam, że metodyka SABSA pozwoli w przyszłości na dostosowywanie rozwiązań bezpieczeństwa do zmieniających się wymogów całej grupy kapitałowej” – wyjaśnia Krzysztof Paczóski.
W nowoczesnej firmie nie ma już miejsca dla strategii, która ogranicza działalność biznesu w celu zwiększania poziomu bezpieczeństwa.
Z kolei bank PKO BP przed zastosowaniem metodyki SABSA miał już za sobą wdrożenia wielu standardów oraz norm bezpieczeństwa. Konieczne okazało się jednak ich zintegrowanie w spójne ramy architektury bezpieczeństwa oraz lepsze powiązanie z celami biznesowymi. Jak wyjaśnia Andrzej SadłowskiIndeks górny 22, dyrektor zarządzający kierujący Pionem Bezpieczeństwa i Zarządzania Gotówką PKO BP, bank wdrożył już zarządzanie procesowe w pionie, potwierdzając to certyfikatem ISO 9001:2000. Następnie PKO BP, jako pierwszy bank w Polsce, uzyskał certyfikat ISO 27001:2005 /BS 7799, potwierdzający zgodność Systemu Zarządzania Bezpieczeństwem Informacji z tą normą. Obecnie przygotowuje się do certyfikacji na zgodność z normą BS 25999‑2, odnoszącą się do procesu zarządzania ciągłością działania.
„Praktyka wskazuje, że wybiórcze traktowanie obszarów bezpieczeństwa prowadzi do inwestycji w mechanizmy zabezpieczające, które poprawiają bezpieczeństwo organizacji. Może jednak równocześnie prowadzić do ponoszenia nadmiernych kosztów, zarówno w ujęciu finansowym, jak i etatowym. Dlatego przy obecnym poziomie zabezpieczenia działalności Banku PKO BP, nadszedł czas, żeby podjąć działania skierowane na dalsze zoptymalizowanie systemu bezpieczeństwa naszej organizacji. Z jednej strony nie chcemy przekreślać lat pracy poświęconych na budowanie obecnego systemu bezpieczeństwa banku oraz znacznych kwot wydanych na jego wdrożenie, z drugiej jednak strony chcemy zapewnić całościowe i kompletne podejście do bezpieczeństwa. Kolejnym krokiem jest takie zredefiniowanie celów działania pionu bezpieczeństwa by skupić się na bezpieczeństwie produktów oferowanych przez bank oraz całościowo zarządzaniu ciągłością działania organizacji” – wyjaśnia Andrzej Sadłowski. „Rozwiązaniem, które pozwoli nam na osiągnięcie tych dwóch celów jest metodyka SABSA, która daje nam odpowiedź na pytanie, czym tak naprawdę ma być kompleksowo pojmowane bezpieczeństwo w przypadku naszej organizacji. Jednocześnie należy pamiętać, że w nowoczesnej firmie nie ma już miejsca dla podejścia, które ogranicza działalność biznesu w celu zwiększania poziomu bezpieczeństwa. Nowoczesne myślenie wymaga, aby idee bezpieczeństwa wbudować w filozofię działania organizacji oraz sprawić, że bezpieczeństwo będzie kołem zamachowym dla biznesu. Zgodnie z nowo zatwierdzoną strategią biznesową, zdecydowaliśmy się podążać tą drogą korzystając z metodyki SABSA. Tylko takie podejście może zapewnić organizacji sukces na współczesnym trudnym i konkurencyjnym rynku usług bankowych” – dodaje Andrzej Sadłowski.
***
Czy wykorzystanie metodyki SABSA przybliża firmy do rozwiązania problemu ochrony danych? Dzięki tej architekturze menedżerowie mogą przestać mówić o bezpieczeństwie informacji, a zacząć myśleć w kategoriach biznesu bezpiecznego. Takie podejście, zgodne z ideą ładu bezpieczeństwa informacyjnego, jest coraz bardziej doceniane na świecie, o czym świadczy fakt, że SABSA została wykorzystana w wielu organizacjach o zasięgu globalnym, jak również zatwierdzona jako obowiązujący standard przez rząd Singapuru oraz Ministerstwo Obrony Wielkiej Brytanii, czyli kraju, w którym stworzono British Standard 7799.
SABSA White Paper. Enterprise Security Architecture, John Sherwood, Andrew Clark, David Lynas.
Andrzej Sadłowski jako jedna z pięciu osób w Polsce zdał egzaminy i otrzymał certyfikat SABSA Chartered Foundation, potwierdzający znajomość metodyki SABSA – przyp. red.
