Technologie i techniki: Pierwsza w polskiej bankowości

Beata Neumann, Justyna Chochla

Najczęściej bezpieczeństwo kojarzone jest z zadaniami działów IT lub ochrony fizycznej. Obszary te są oczywiście kluczowe ze względu na fakt, że większość informacji przetwarzana jest w systemach informatycznych, a banki zobowiązane są do zapewnienia ochrony swoim placówkom.

Standard ISO koncentruje się na ochronie informacji i oprócz tych już wszystkim znanych wymogów obejmuje również obszary takie jak: bezpieczeństwo osobowe, bezpieczeństwo prawne, ciągłość działania.

Czy warto wdrożyć?

Od dużych instytucji finansowych wymagane jest strategiczne podejście do bezpieczeństwa. Zmieniające się otoczenie prawne, biznesowe, a także oczekiwania rynku i samych klientów stawiają wymagania, których właściwe spełnienie byłoby trudne bez sprawdzonych rozwiązań systemowych. Celem wdrożenia Systemu Zarządzania Bezpieczeństwem Informacji (SZBI) w Fortis Banku było zagwarantowanie bezpieczeństwa przetwarzanych informacji. Certyfikacja na zgodność ze standardem ISO/IEC 27001 miała je obiektywnie ocenić oraz potwierdzić jakość wdrożonych rozwiązań.
Utrata informacji i jej odzyskiwanie są niezwykle kosztowne. Mogą prowadzić do utraty konkurencyjności lub reputacji całej organizacji. Sektor usług finansowych wymaga wiedzy i dostępu do danych, a wiarygodne informacje stanowią czynnik decydujący o pozycji rynkowej danej instytucji.

Informacje muszą być chronione przed zagrożeniami zewnętrznymi i wewnętrznymi w sposób ciągły i właściwy, proces ten realizowany jest poprzez wprowadzenie zorganizowanego sposobu podejścia do bezpieczeństwa informacji. Decyzja o wdrożeniu SZBI ma więc charakter strategiczny.

Fortis Bank przy wdrożeniu wymagań zawartych w normie ISO/IEC 27001 korzystał z wiedzy i doświadczenia firmy konsultingowej Doradztwo Gospodarcze DGA. Spójny system powstał w ciągu jednego roku.

Proces wdrożenia rozpoczął się od audytu „0”, który porównał rozwiązania organizacyjne i techniczne dotychczas stosowane w banku do wymaganych normą ISO. W wyniku tej analizy otrzymano informacje, w których obszarach i w jakim wymiarze bank musi wdrożyć od nowa lub przeorganizować zabezpieczenia tak, aby spełniały wymagania standardu ISO 27001.

W pierwszej kolejności dokonano zmian organizacyjnych w obszarze zarządzania bezpieczeństwem – poprzez ustalenie zakresu kompetencji i podziału odpowiedzialności, co przede wszystkich pozwoliło oddzielić funkcje zarządcze i kontrolne od wykonawczych. Standardy bezpieczeństwa fizycznego i teleinformatycznego zawsze stanowiły ważny element funkcjonowania banku, zatem wiele z nich nie wymagało dodatkowych nakładów. Podobnie obowiązujące wcześniej regulacje w kwestiach związanych z ryzykiem operacyjnym, ciągłością działania i compliance zostały włączone do całości SZBI. Przykładem może być wykorzystanie w SZBI funkcjonujących w banku instancji „help desk”, jako elementu zarządzania incydentami z zakresu bezpieczeństwa informacji. „Service desk” zawiera bazę incydentów, umożliwiającą szybką identyfikację ...