S T U D I A N A D B E Z P I E C Z E Ń S T W E M

ISSN 2543–7321

Marcin Olkiewicz

Politechnika Koszalińska Koszalin marcin.olkiewicz@tu.koszalin.pl

SYSTEM ZARZĄDZANIA

DETERMINANTĄ BEZPIECZEŃSTWA INFORMACJI

W DZIAŁALNOŚCI GOSPODARCZEJ

MANAGEMENT SYSTEM AS A DETERMINANT OF INFOR-

MATION SECURITY MANAGEMENT IN BUSINESS

Zarys treści: Bezpieczeństwo informacji stanowi coraz większe wyzwanie dla przedsię- biorców, gdyż rynkowe zapotrzebowanie na informacje o odpowiedniej jakości jest bardzo duże i ciągle wzrasta. Rosnąca świadomość możliwości utraty informacji niejawnych wy- musza na organizacjach podejmowanie często radykalnych działań mających zagwaran- tować bezpieczeństwo lub zminimalizować ryzyko. Dlatego coraz częściej do sektorów ochrony informacji kwalifikuje się między innymi następujące obszary: danych osobowych, fizycznego i przemysłowego bezpieczeństwa (procesy tworzenia, grupowania, przecho- wywania i dystrybuowania informacji), teleinformatyczne (obejmujące systemy informa- tyczne, narzędzia zabezpieczające, przedmioty rejestrujące) oraz logistyczne. Praca skupia się na identyfikacji procesowego zarządzania bezpieczeństwem informacji według znor- malizowanych systemów zarządzania stosowanych w organizacjach lub instytucjach róż- nych branż oraz obszarów funkcjonowania gospodarki. Działania takie są szczegó lnie istotne dla zwiększania przewagi konkurencyjnej oraz zapewnienia bezpieczeństwa kraju. Wykorzystywanie międzynarodowych znormalizowanych standardów, między in- nymi takich jak ISO 9001, ISO 27001, PN-ISO/IEC 24762:2010, AQAP, przestrzega- nych w 176 krajach na świecie, daje poczucie gwarancji i bezpieczeństwa klientom, społeczeństwu, interesariuszom rynku oraz pozwala zapewnić stabilny i zrównoważony rozwój.

Słowa kluczowe: sklasyfikowane informacje, rola informacji, bezpieczeństwo, jakość sys- temu zarządzania, aktywność ekonomiczna

Key words: classified information, the role of information, security, quality management system, economic activity

1. Wprowadzenie

Rozwój gospodarki światowej wraz ze zwiększeniem świadomości, potrzeb oraz oczekiwań klientów spowodowały uwydatnienie ważności informacji. Treść informa- cji, a także jej cechy, w szczególności rzetelność, przydatność, aktualność, są dobrem konsumpcyjnym, o które zabiega wiele firm. W praktyce uważa się takie zjawisko za naturalne, oparte na zasadach czystej konkurencji, tj. im bardziej wartościowa (przy- datna) informacja – tym wyższa jej cena. Takie przekonanie potwierdza się z punktu widzenia ekonomicznego i prawnego, gdzie informacja jest towarem, którego war- tość rynkowa wynika z zawartych w nim treści (danych). W tym znaczeniu oznacza ona towary (dobra informacyjne) lub usługi (informacyjne) niezbędne w gospodar- ce, polityce, kulturze, życiu codziennym1. Oznacza to, że pewien zasób informacji, najczęściej rynkowo-gospodarczych, można kupić oraz odpowiednio wykorzystać w walce konkurencyjnej, zwiększając swoją pozycję rynkową. Jest to więc pewnego rodzaju strategiczny produkt, regulujący różne mechanizmy społeczno-gospodarcze. Należy pamiętać, że na rynku występuje niezliczona ilość informacji, które są pozy- skiwane w różny sposób (czasami niezgodnie z obowiązującym prawem), a następnie udostępniane lub oferowane do nabycia. Jednocześnie z punktu widzenia skutku, jaki może wywołać informacja, istotny staje się podział informacji na jawną2 (udostępnia- ną wszystkim zainteresowanym) i niejawną (udostępnianą nielicznym podmiotom).

Determinuje to konieczność odpowiedniego zabezpieczania oraz zarządzania infor- macją jawną, a w szczególności niejawną. Każda informacja, podobnie jak inne dobro (produkt), podlega procesowi tworzenia oraz przetwarzania, uzyskując ostateczny wy- miar, co powoduje, że występują różnego rodzaju zagrożenia mogące zmniejszyć jej wartość oraz jakość. W tym celu należy zaopatrzyć się w odpowiednie narzędzia ochro- ny informacji, do których zaliczyć można między innymi system zarządzania bezpie- czeństwem informacji.

Poniższe opracowanie dotyczyć będzie identyfikacji możliwości zabezpieczania, ochrony informacji niejawnej poprzez celowe systemowe zarządzanie. Świadomość możliwości utraty informacji oraz jej wykorzystania przez inne podmioty zwiększa konieczność stosowania odpowiednich obostrzeń, narzędzi zabezpieczających, ograni- czających ryzyko wystąpienia takich sytuacji i narażenia podmiotu na utratę poten- cjalnych korzyści lub ponoszenia dodatkowych kosztów.

2.Informacja niejawna w działalności gospodarczej

Informację, wedle definicji interdyscyplinarnej, trudno jednoznacznie zinterpre- tować3, uznawana jest za zbiór danych (właściwości) przedstawionych w taki spo-

———————

1M. Chyliński, Informacja i zarządzanie informacją w działalności samorządowej, „Zeszyty Nau- kowe Politechniki Śląskiej, Organizacja i Zarządzanie” 2014, nr 69, s. 121.

2Z. Malara, Przedsiębiorstwo w globalnej gospodarce: wyzwania współczesności, Warszawa 2006, s. 127.

3W. Flakiewicz, Pojęcie informacji w technologii multimedialnej, Warszawa 2005; G. Harmon, The me- asurement of information, „Information Processing and Management” 1984, no. 1–2; E. Kałuszyńska,

dostępność (accessibility) – informacja powinna być dostępna dla odbiorcy zaw- sze, gdy zaistnieje taka potrzeba. Dostępność jest atrybutem komplementarnym względem aktualności. Niedostępna informacja aktualna lub dostępna informa- cja, która straciła na aktualności, nie spełnia potrzeb informacyjnych odbiorcy

(nabywcy);

kompatybilność (compatibility) – jakość informacji nie zależy tylko od jakości tej informacji samej w sobie, lecz także od tego, jak może być ona powiązana z innymi informacjami i jako taka dostarczona do odbiorcy;

bezpieczeństwo (security) – atrybut ten ma dwa aspekty: ochronę informacji przed dostępem dla niepowołanych osób oraz ochronę informacji przed natural- nymi katastrofami. Informacja, która nie jest odpowiednio chroniona, może nie budzić zaufania i jej potencjał może nie być w pełni wykorzystany;

ważność, wiarygodność (validity) – informacja jest ważna, jeśli może być zwe-

ryfikowana jako prawdziwa i spełnia odpowiednie standardy odnoszące się do dokładności, aktualności, kompletności i bezpieczeństwa.

Każdy podmiot gospodarczy dąży do uzyskania informacji o istotnej jakości. Wykorzystanie informacji o niskiej jakości, a także informacji niejawnej w niepożą- dany sposób może mieć wpływ na destabilizację podmiotów gospodarczych. Dlate- go zapewnienie najwyższej jakości informacji ma znaczący wpływ na efektywny i skuteczny proces decyzyjny, ograniczający lub minimalizujący istnienie ryzyka7, a także ochronę przed tworzeniem propagandy, plotek oraz nieracjonalnych działań. Plotki, pogłoski, a nawet pomówienia są efektem pracowniczej dezinformacji lub braku pełnej wiedzy (informacji) na określony temat w organizacji. Jest to częste zjawisko, które dotyczy przede wszystkim zasobów ludzkich oraz finansów. W przy- padku niejasnego przepływu informacji lub jej braku obawy pracowników narastają, dlatego konieczne jest sformalizowanie postępowania przekazu informacji oraz do- stępności. Szczególnie przy informacjach niejawnych brak jasnego sposobu postępo- wania może spowodować poważne konsekwencje dla pracownika bezpośrednio zwią- zanego z dostępem do informacji i samej organizacji.

Na potrzeby niniejszego opracowania przyjmuje się definicję informacji niejaw- nej jako zbiór danych, które poprzez udostępnienie osobom nieuprawnionym spowo- dują lub mogą spowodować szkody bezpośrednie lub pośrednie dla kraju, organiza- cji lub osoby. Ustawa o ochronie informacji niejawnych8 określa przedmiot ochrony informacji niejawnych jako tajemnicę państwową i tajemnicę służbową, tworząc pewnego rodzaju hierarchię informacji niejawnych (ryc. 1). Tajemnica państwowa stanowi informację niejawną, której niepowołane ujawnienie może spowodować za- grożenie dla kraju lub jego interesów albo wyrządzić znaczącą szkodę. Natomiast ta- jemnica służbowa dotyczyć będzie pozostałych informacji niejawnych mogących negatywnie oddziaływać na akcjonariuszy rynku, tj. interes publiczny, w tym także obywateli oraz podmioty gospodarcze.

Ustawa także precyzuje rodzaje informacji niejawnych objętych tajemnicą pań- stwową (załącznik 1 ustawy) oraz podział na „ściśle tajne”, „tajne” oraz „zastrzeżo-

———————

7K. Szczepańska, Metody i techniki TQM, Warszawa 2009, s. 58–59.

8Ustawa z dnia 5 sierpnia 2010 r. o ochronie informacji niejawnych (Dz.U. 2010, nr 182, poz. 1228).

Działania analityczne związane z procesem identyfikacji oraz oceną zagrożeń w obszarze informacji występujące w organizacji i jej otoczeniu wymuszają jedno- cześnie wdrożenie odpowiednich czynności ograniczających i eliminujących takie zjawiska. Zagrożenia informacyjne mogą się pojawiać, gdyż transformacja informa- cji, tzn. cyklu jej życia, jest złożona, co prezentuje rycina 2.

Ryc. 2. Procesy przetwarzania informacji

Fig. 2. Information processing

Źródło: A. Adamczyk, R. Renk, J. Radziulis, W. Hołubowicz, Klasyfikacja informacji i danych prawnie chronionych oraz wymagania dotyczące środków informatycznych przeznaczonych do ich przechowywania i przetwarzania, „ORACLE’owe PLOUG’tki” 2005, nr 36, s. 160.

Celem działań w zakresie eliminacji (ochrony i zapewnienia bezpieczeństwa in- formacji) pojawiających się zagrożeń w przedsiębiorstwie jest osiągnięcie poziomu organizacyjnego oraz technicznego, który umożliwi m.in.:

zachowanie poufności informacji chronionych,

integralność informacji chronionych i jawnych oraz dostępność do nich,

osiągnięcie wymaganego poziomu bezpieczeństwa przetwarzanych informacji,

maksymalne ograniczenie występowania zagrożeń bezpieczeństwa informacji,

poprawne oraz bezpieczne funkcjonowanie systemów przetwarzania informacji,

gotowość do podejmowania działań w sytuacjach kryzysowych10.

Wzrost znaczenia informacji niejawnych wynikających z interesów różnych pod- miotów, tj. państwa, instytucji wojskowych, samorządowych, podmiotów gospodar- czych oraz publicznego zaufania, spowodował konieczność zastosowania (opracowania oraz wdrożenia) mechanizmów regulujących między innymi: sposoby rejestracji,

———————

10M. Kowalewski, A. Ołtarzewska, Polityka bezpieczeństwa informacji instytucji na przykładzie Instytutu Łączności – Państwowego Instytutu Badawczego, „Telekomunikacja i Techniki Infor- macyjne” 2007, nr 3–4, s. 4.

oochronie informacji niejawnych11. Z punktu widzenia procesu zarządzania infor- macją niejawną ustawa wskazuje sposoby klasyfikowania, organizowania ochrony wraz z dostępem, przetwarzania, monitoringu stanu zabezpieczenia, ochrony w syste- mach teleinformatycznych, fizycznego zabezpieczenia oraz ochrony. Ponadto wymusza na podmiotach określony sposób postępowania, a w niektórych przypadkach bezpie- czeństwo przemysłowe, gwarantujące bezpieczeństwo informacji, a także osoby od- powiedzialne za nadzorowanie prowadzonych działań. Aby sprawnie nadzorować (mo- nitorować) działania bezpieczeństwa i rozwoju oraz kierować nimi, organizacje wspo- magają się systemami zarządzania spełniającymi krajowe, a także często międzynaro- dowe standardy.

4.Systemy zarządzania kształtujące bezpieczeństwo informacji

Współczesne podejście do zarządzania opiera się na wysokiej jakości: systemach informatycznych (źródła pozyskiwania informacji), procesach działania poszcze- gólnych komórek struktury organizacyjno-funkcjonalnej (stadium tworzenia i prze- twarzania informacji), a także planach działania od strategicznych do operacyjnych (ukierunkowanie zasobów informacyjnych).

Odpowiednia strategia ukierunkowana na bezpieczeństwo ma na celu zapewnie- nie spokoju (m.in. funkcjonowania, bytu, podejmowania i realizowania działalności, w tym także gospodarczych) lub stworzenie bezpiecznych warunków, zaufania gwa- rantującego możliwość prawidłowej pracy oraz rozwoju. Organizacje, aby osiągnąć ten stan, ponoszą koszty związane z dostosowaniem się do takiego „komfortowego funkcjonowania” opartego na zarządzaniu informacją (wiedzą), gdyż zdają sobie sprawę z zagrożeń zwiększających ryzyko porażki12.

W takim rozumieniu ukierunkowanego zarządzania należy przyjąć, że punktem wej- ścia jest informacja, a wyjścia – bezpieczna informacja. Cały proces przeobrażania obarczony jest ryzykiem możliwości spowodowania szkody13, dlatego w ramach od- powiedniego zarządzania organizacje wspomagają się formalnymi lub nieformalny- mi systemami zarządzania ukierunkowanymi na jakość.

Sformalizowania określonych sposobów postępowania, zwanych inaczej standa- ryzacją14, zaczęto na dużą skalę dokonywać od 2000 roku. Wówczas zaczęły powsta- wać projakościowe systemy zarządzania opracowywane przez Międzynarodową Or- ganizację Normalizacyjną (ISO – International Standard Organization), które stały się federacją krajowych organizacji normalizacyjnych o zasięgu światowym. Istnieją również niesformalizowane (niepodlegające certyfikacji) systemy zarządzania, wspie-

———————

11Ustawa z dnia 5 sierpnia 2010 r.…

12A. Kister, Użyteczność informacyjna rachunku kosztów innowacji, [w:] Kreatywność i przedsię- biorczość w projakościowym myśleniu i działaniu, t. I, red. E. Skrzypek, Lublin 2009, s. 13–20.

13Najczęściej rozróżnia się szkody w kategoriach: zamierzone jako zaplanowane z premedytacją, lo- sowe wewnętrzne niezamierzone, spowodowane przez pracowników poprzez zaniedbania, błędy itp. oraz losowe zewnętrzne wynikające z otaczającego środowiska naturalnego, w tym także klęski żywiołowe.

14Szerzej: M. Olkiewicz, Podstawy zarządzania jakością. Wybrane aspekty, Koszalin 2008.

terminującej skuteczność oraz efektywność prowadzanych zmian. Postępowania pro- cesowe mogą być mniej lub bardziej sformalizowane m.in. poprzez instrukcje po- stępowania, procedury, regulaminy czy choćby dobre praktyki. Ma to w efekcie stworzyć pewien ciągły sposób wykonywania czynności (wzorzec, standard postę- powania) zgodny z założeniami i zamierzonymi efektami16. Bezpieczeństwo informacji w ramach procesowych działań będzie osiągane poprzez konieczność budowania i do- skonalenia m.in. aplikacji IT, narzędzi pomiaru jakości, zabezpieczeń systemowych i sprzętowych, baz danych.

Monitoring bezpieczeństwa informacji, w tym także niejawnych, powinien opie- rać się na zachowaniach prewencyjnych, wspomaganych przez jasno określony (świa- domy, odpowiedzialny, wyszkolony itd.) czynnik ludzki, a także system/-y wczesnego ostrzegania17. Kompleksowa „ochrona” jakości informacji wymaga działań rozwojo- wych we wszystkich obszarach i procesach organizacji, dzięki czemu organizacja lepiej dostosowuje się do oczekiwań rynku, zmniejsza ryzyko słabych stron organi- zacji i zagrożeń pojawiających się w cyberprzestrzeni, zwiększa poziom bezpieczeń- stwa oraz strefę ochronną.

Zarządzanie w ramach TQM oparte na wskazanych obszarach musi dotyczyć działań projakościowych z zakresie informacji i całościowego funkcjonowania organizacji. Nie można odseparować sfery informacji od sfery zarządzania, dlatego integracja wysiłków skierowana na jeden czynnik będzie miała swoje odzwierciedlenie w drugim obszarze.

Jedynie połączenie starań może gwarantować osiągnięcie sukcesu poprzez:

stały monitoring jakości informacji (kontrolę, analizę i doskonalenie danych uzyskiwanych, przetwarzanych oraz przekazywanych);

przejrzyste, skuteczne i zrozumiałe procedury postępowania zwiększające rolę jakości informacji (wzmocnienie znaczenia pracowników, akredytację bezpie- czeństwa w dostępności itd.);

wzmocnienie czynnika jakości informacji w biznesowej sferze organizacji (moni- torowanie i eliminowanie ryzyka, kreowanie odpowiedniej polityki IT oraz bez- pieczeństwa informacji);

rozwijanie zasobów infrastrukturalnych i rzeczowych (w ramach IT) gwarantują- cych właściwe postępowanie ukierunkowane na kształtowanie jakości informacji.

4.2.Systemy zarządzania wspomagające stosowanie bezpieczeństwa informacji18

4.2.1.ISO 31000 – Zarządzanie ryzykiem

Ryzyko jest nieodłącznym elementem życia społeczno-gospodarczego, m.in. funk- cjonowania, kształtowania bytu oraz rozwoju przedsiębiorstw, a także gospodarstw domowych lub samego społeczeństwa.

———————

16B. Bober, Rola standardów w procesie podejmowania decyzji o wyborze procedur szpitalnych, red. E. Skrzypek, Lublin 2008.

17B. Bober, Zastosowanie sieci neuronowych w modelowaniu ryzyka szpitalnego, [w:] Uwarun- kowania jakości życia w społeczeństwie informacyjnym, red. E. Skrzypek, Lublin 2007.

18Opracowano między innymi na podstawie informacji zawartych normach oraz w bazach infor- macji PKN (Polskiego Komitetu Normalizacyjnego).

stępowania, ograniczające prawidłowe funkcjonowanie lub rozwój, a także utwier- dzi w przekonaniu, że systemowe rozwiązanie lub ograniczanie ryzyka prowadzą do bezpieczniejszego, efektywniejszego i skuteczniejszego zarządzania informacją oraz całą organizacją. Koszty związane z zastosowaniem systemu ograniczającego wy- stępowanie ryzyka są znaczące dla organizacji, ale z punktu widzenia oceny bezpie- czeństwa informacyjnego jest to inwestycja o szybkim zwrocie gwarantująca jedno- cześnie zwiększenie konkurencyjności.

Kompleksowe zarządzanie ryzykiem informacyjnym

Ocena ryzyka

Akceptacja ryzyka

Ryc. 4. Model kompleksowego zarządzania ryzykiem informacyjnym

Fig. 4. Model comprehensive risk management information

Źródło: opracowanie własne na podstawie normy ISO 31000.

wykazujące możliwości zarządcze IT (zdolność do projektowania, przekazywa- nia, dostarczania i doskonalenia usług) zapewniające pewien standard zgodny z oczekiwaniami klienta,

rozwijające usługi w zakresie skutecznego monitorowania, dokonywania pomia- rów i doskonalenia jakości usług oraz zarządzania nimi,

w których IT stanowi element biznesowy (proces biznesowy podlegający ciąg- łemu doskonaleniu) przynoszący określone korzyści ekonomiczne,

dobrowolnie poddające się weryfikacji oferowanej jakości (wykonywanej przez

niezależną jednostkę certyfikującą).

Analizując standard ISO 20000, możemy dojść do wniosku, że prawidłowe za- rządzanie bezpieczeństwem informacji w organizacji pośrednio uzależnione jest od naszych wymagań stawianych podmiotom dostarczającym usługi IT, a także sposo- bów systemowego zabezpieczania się w ramach wykorzystywanych systemów in- formatycznych.

4.2.3.ISO 22301 – System zarządzania ciągłością biznesu

Standard ISO 22301:2012 zastąpił brytyjski BS 25999-2:2007 w zakresie zarzą- dzania ciągłością działania. Świadome zarządzanie oparte na standardzie ISO 22301 może mieć zastosowanie we wszystkich organizacjach różnych branż w ramach jed- nego systemu lub integracji systemowej. Zarządzanie bezpieczeństwem informacji w ramach systemu zarządzania według normy ISO 22301:2012 stanowić ma gwa- rancję osiągania celów i funkcjonowania organizacji w sytuacjach krytycznych lub kry- zysowych.

Zarządzanie ciągłością działania (Business Continuity Management – BCM) ma zapewnić możliwość świadczenia usług o określonym poziomie jakości, w sytua- cjach wystąpienia zaburzeń zakłócających, w ramach procesowego działania, co gwa- rantowałoby prawidłowe funkcjonowanie organizacji. System zarządzania oparty na normie ISO ma na celu zwiększenie możliwości organizacji m.in. w zakresie:

wiedzy o występujących zagrożeniach,

walki poprzez skuteczniejszy proces decyzyjny,

efektywniejszych i skuteczniejszych działań prewencyjnych,

finansowania działań zapobiegawczych,

odpowiedniego planowania strategicznego,

sformalizowania oraz sparametryzowania sposobów postępowania i reagowania. Ingerencja systemu w różnych obszarach ma za zadanie zminimalizować determi-

nację niekorzystnych zjawisk, zdarzeń, zawirowań, klęsk żywiołowych, katastrof od- działywających na realizację procesów, co oznacza tym samym, że ingeruje w sposób ograniczania ryzyka i minimalizacji negatywnych skutków. Budowanie pewnego ro- dzaju „parasola ochronnego” (odporności systemowej) organizacji ma przeciwdziałać lub podejmować takie działania, które zagwarantują w ciągły sposób osiąganie celów, utrzymanie lub podwyższanie jakości oferowanych usług, kreowanie odpowiedniego wizerunku przedsiębiorstwa oraz marki, a także podnoszenie wartości firmy. Ozna- cza to, że system zarządzania ciągłością biznesu ma wskazywać drogę doskonalenia

funkcjonowania (by lepiej radzić sobie z tymi rodzajami ryzyka, które mogą prze- rwać działalność organizacji) oraz zarządzanie bezpieczeństwem informacji (by sku- teczniej chronić poufność, integralność i dostępność informacji). Zgodnie z tym stan- dardem zarządzanie ciągłością działania jest częścią ogólnego procesu zarządzania ryzykiem w organizacji i obejmuje:

zidentyfikowanie potencjalnych zagrożeń, które mogą spowodować znaczący wpływ na działanie organizacji, wraz z określeniem powiązanych rodzajów ry- zyka;

dostarczenie ram do uodporniania procesów biznesowych na zdarzenia kryzy- sowe;

dostarczenie zdolności, zasobów, procesów, sposobów postępowania w celu

zapewnienia skutecznej reakcji na katastrofy i awarie20.

Procesowe działanie w ramach stosowania systemu ISO 24762 wymusza:

określenie wymagań dla wdrożenia, eksploatacji, monitorowania oraz utrzymania usług i udogodnień techniczno-technologicznych ICT DR;

identyfikację i określenie możliwości, które zewnętrzni dostawcy usług ICT DR powinni mieć, oraz jakie stosować praktyki, aby zapewnić bezpieczeństwo podstawowego środowiska pracy i ułatwić działania naprawcze (recovery efforts),

stosowanie wytycznych wyboru miejsca odzysku (recovery site),

stosowanie wytycznych dla dostawców usług ICT DR w ramach ciągłego do- skonalenia swoich usług ICT DR.

Oznacza to, że międzynarodowy standard zawiera wskazówki dotyczące wdro- żenia, testowania i realizacji poszczególnych elementów przywracania stanu sprzed katastrofy, a w szczególności są to wskazówki dotyczące21:

wdrażania, funkcjonowania, monitorowania oraz utrzymywania niezbędnych zasobów i usług koniecznych do przywrócenia stanu sprzed katastrofy (np. wdro- żenie systemu informowania pracowników o zagrożeniu lub wymaganie o moż- liwości ręcznego otwierania drzwi elektronicznych od wewnątrz);

mechanizmów przywrócenia stanu sprzed awarii systemów teleinformatycznych organizacji;

wymagań, których spełniania należy oczekiwać od dostawców usług związa- nych z przywracaniem po katastrofie;

wyboru centrum awaryjnego (np. uwzględnianie takich czynników, jak stabilność organizacji, dobra infrastruktura) i wymagań w stosunku do organizacji oferu- jących tego typu usługi.

Z przedstawionych danych wynika, że stosowanie procesowego zarządzania w bezpieczeństwie informacji jest istotne, determinuje możliwość powiązania mię- dzynarodowych norm (rodziny norm ISO 20000, tj. ISO 20000-1 – System zarzą- dzania usługami informatycznymi, ISO 22301 – System zarządzania ciągłością biz- nesu, ISO 24762 – Technika informatyczna – Techniki bezpieczeństwa; z normą ISO 9001 – System zarządzania jakością) w jedną systemową całość gwarantującą bez- pieczeństwo informatyczne przedsiębiorstwa.

———————

20Norma ISO 24762, www.centrum.bezpieczenstwa.pl/index.php/standardy-othermenu-16/1064- iso-24762 (dostęp: 24.10.2014).

21Tamże.

determinantami są warunki finansowe, a także ścisłe procedury postępowania, na któ- re organizacje nie zawsze mogą sobie pozwolić.

Standard określony przez normy z rodziny ISO 9000, jego wszechstronność, stał się również podwaliną pod inne systemy zarządzania ukierunkowane na jakość, da- jąc możliwość integracji systemów tworzących jedną całość.

4.2.6.AQAP – Zapewnienie jakości

AQAP jako międzynarodowy system25 związany z zapewnieniem odpowiedniego poziomu jakości wymagany jest przez jednostki wojskowe NATO, wynika z doku- mentów standaryzacyjnych NATO – STANAG 4107.

Powiązania standaryzacyjne mają znaczący wpływ na wymagania stawiane przed- siębiorcom ujęte są między innymi w26:

AQAP 160 NATO Integrated Quality Requirements for Software throughout the

Life Cycle (AQAP 160 NATO Zintegrowane wymagania jakościowe dla opro- gramowania w całym cyklu życia),

AQAP 169 NATO Guidance on the Use of AQAP 160, Ed.1 (AQAP 169 Wytyczne NATO w sprawie stosowania AQAP 160, wyd. 1),

AQAP 2000 NATO Policy on an Integrated Systems Approach to Quality through the Life Cycle (AQAP 2000 Polityka NATO dotycząca zintegrowanego syste- mowego podejścia do jakości w cyklu życia),

AQAP 2009 NATO Guidance on the Use of the AQAP 2000 Series (AQAP 2009 Wytyczne NATO do stosowania AQAP serii 2000),

AQAP 2050 NATO Project Assessment Model (AQAP 2050 NATO Projekt Sza- cunkowego Modelu),

AQAP 2070 NATO Mutual Government Quality Assurance (GQA) Process (AQAP 2070 Proces NATO dotyczący wzajemnej realizacji Rządowego Za- pewnienia Jakości (GQA)),

AQAP 2105 NATO Requirements for Deliverable Quality Plans (AQAP 2105 Wymagania NATO dotyczące planów jakości dla wyrobu będącego przedmio- tem zamówienia),

AQAP 2110 NATO Quality Assurance Requirements for Design, Development and Production (AQAP 2110 Wymagania NATO dotyczące zapewnienia jako- ści w projektowaniu, pracach rozwojowych i produkcji),

AQAP 2120 NATO Quality Assurance Requirements for Production (AQAP

2120 Wymagania NATO dotyczące zapewnienia jakości w produkcji),

AQAP 2130 NATO Quality Assurance Requirements for Inspection and Test (AQAP 2130 Wymagania NATO dotyczące zapewnienia jakości w kontroli i badaniach),

———————

25Skrót AQAP (ang. Allied Quality Assurance Publication) tłumaczony jako Publikacja Standary- zacyjna dotycząca Zapewnienia Jakości lub Sojusz Publikacji Zarządzania Jakością. Potocznie stosuje się nazwę: system zapewniający jakość.

26Por. Akty prawne dotyczące oceny zgodności wyrobów i akredytacji OiB, www.wcnjk.wp.mil.pl/ pl/18.html (dostęp: 20.10.2014).

świadczenia „usług obronnych”,

zaplecza niezbędnego do świadczenia podstawowych zadań (wyposażenie woj- skowe, infrastruktura, systemy informatyczne itd.),

posiadanych zasobów ludzkich,

procesu decyzyjnego.

Reasumując, stosowanie działań projakościowych w jednostkach wojskowych (w re- sorcie obrony) przynosi korzystne zmiany związane między innymi z podnoszeniem jakości szkoleń, wyposażenia, gotowości bojowej, możliwości wspólnego reagowania z wojskami sojuszu. Wprowadzane zmiany i ich tempo spowodowały ewolucję w my- śleniu i postrzeganiu jakości, w tym także jakości informacji. Takie działania szybko wymusiły przeobrażenia w przedsiębiorczości okołowojskowej. Przedsiębiorcy pragnący świadczyć usługi dla wojsk NATO muszą zastosować się do określonych wymagań ja- kościowych wg międzynarodowych standardów. Jednocześnie w celu zwiększenia kon- kurencyjności i atrakcyjności mogą integrować system AQAP z systemem ISO 9000, a także w celu podniesienia bezpieczeństwa przekazywanych informacji z systemem ISO 27001, tworząc jeden zintegrowany system zarządzania27 projakościowego.

5.System zarządzania bezpieczeństwem informacji

Zabezpieczenie wszystkich obszarów informatycznych w przedsiębiorstwie wy- musza na organizacjach przyjęcie odpowiedniego sposobu postępowania, najlepiej opartego na procesowym działaniu, pozwalającym m.in.:

w odpowiedni sposób określić bezpieczeństwo przetwarzanych informacji w sys- temach,

monitorować formy zabezpieczeń i w razie konieczności w nie ingerować,

doskonalić elementy systemów informatycznych gwarantujących bezpieczeństwo,

nadzorować bezpieczeństwo informacji w obszarze niszczenia lub usuwać da-

ne, informacje z różnych nośników lub systemów informatycznych. Stosowanie odpowiednich form bezpieczeństwa przyczynia się do zwiększenia

jakości oferowanych usług, co pozwala na zwiększenie konkurencyjności, gwarantu- jąc minimalizację wystąpienia ryzyka ujawnienia lub przekazania informacji oso- bom niepowołanym. Oznacza to, że bezpieczeństwo teleinformatyczne ściśle powią- zane jest z zarządzaniem ryzykiem, co umożliwia zastosowanie rozwiązań proceso- wych (systemowych) w ramach określonych zasobów oraz poziomów zabezpieczeń. W szczególności dotyczyć to może informacji niejawnych, uzależnionych od stref kontrolowania, trybu i sposobu przetwarzania informacji w ramach poszczególnych klauzul: zastrzeżone, poufne, tajne czy ściśle tajne.

W ramach odpowiedzialnego zarządzania bezpieczeństwem informacji przedsię- biorstwa wykorzystują systemy rodziny norm ISO 27000. Stosowanie systemu za- rządzania ISO nie jest obowiązkowe, ale stanowi dobrą praktykę. Określone sposoby postępowania dotyczą różnych obszarów działania organizacji wyłącznie w aspekcie informacji, np. finansowo-księgowych, techniczno-technologicznych, organizacji pra- cy, personalnych (pracowniczych), a także w zakresie informacji poufnych. W znaczą-

———————

27M. Olkiewicz, Funkcjonowanie zintegrowanego systemu zarządzania w organizacji, [w:] Jako- ściowe aspekty integracji zarządzania, red. E. Skrzypek, Lublin 2012, s. 75–88.

Wprowadzone zmiany określone w normie ISO/IEC 27001:2013 poprzez systemowe zarządzanie będą znacząco determinowały funkcjonowanie organizacji i skuteczne osią- ganie celów, zwiększają nacisk m.in. na:

klientów (zainteresowane strony, akcjonariuszy rynku itd.),

świadomość i zaangażowanie pracowników (w szczególności kadrę zarządzającą),

ryzyko (począwszy od identyfikacji, skończywszy na sposobach postępowania często opartych na innych systemach, np. ISO 31000),

doskonalenie systemu,

monitorowanie i nadzór (w tym także audytowanie).

Organizacje stają więc przed wyzwaniem w zakresie odpowiedniego zarządzania ryzykiem, ponieważ źle przeprowadzona identyfikacja oraz analiza mogą skutkować błędnymi danymi wyjściowymi. Odpowiednie wdrożenie systemu gwarantującego bezpieczeństwo informacyjne skutkuje osiąganiem korzyści, np.:

zwiększeniem wiarygodności,

zwiększeniem udziału w rynku,

zwiększeniem konkurencyjności i zyskowności,

minimalizacją kosztów poprzez odpowiednie zarządzanie ryzykiem,

skuteczniejszym zarządzaniem majątkiem organizacji,

skuteczniejszym monitoringiem przekazu informacji jawnych i niejawnych,

skuteczniejszymi zabezpieczeniami informacji niejawnych.

Poprzez osiągane korzyści, rekompensujące koszty poniesione na wdrożenie i utrzy- manie systemu, przedsiębiorstwa rozwijają się w dynamiczny sposób i coraz częściej wdrażają SZBI. Wskaźnik ten widoczny jest w ujęciu globalnym (światowym), gdyż w roku 2007 scertyfikowanych w ramach ISO 27001 było 6112 podmiotów, a w 2013 r. aż 21 922, co stanowi wzrost o ponad 358%. W Europie wskaźnik przyrostu z roku na rok, w okresie 2010–2013, kształtuje się powyżej 30% (rok 2010 to 30,7%, 2011 r. to już 31,1%, a rok 2012 to 32,5%, natomiast w roku 2013 poziom wzrostu wyniósł aż 35,7%).

Doświadczenia światowe i europejskie miały przełożenie na przedsiębiorstwa polskie, wskazując, że czynnikiem gwarantującym ciągłość rozwoju jest minimali- zacja poziomu ryzyka i niepewności, co zawarto w tabeli nr 1.

Źródło: opracowanie własne na podstawie ISO 9000 – Quality management, www.iso.org/iso-

9001-quality-management (dostęp: 27.10.2015).

Dane zamieszczone w tabeli nr 1 wskazują, że przyrost podmiotów wdrażających i certyfikujących system bezpieczeństwa informacji stale rośnie do roku 2012 natomiast w roku 2012 ich liczba zmalała. W tabeli nr 2 zostały przedstawione dane potwierdzają- ce uniwersalność systemu zarządzania bezpieczeństwem informacji z punktu widze- nia zastosowania w podmiotach różnych branż.

Z analizy danych wynika, że najwięcej podmiotów wdrażających SZBI funkcjo- nuje w sektorach usługowych, do których zaliczają się m.in.: technologia informacyj- na, usługi inżynierskie, poligrafia, administracja publiczna z opieką zdrowotną, a także budownictwo, transport i łączność. W branżach produkcyjnych prym wiedzie optyka oraz budowa maszyn i urządzeń. W tabeli nie ujęto służb mundurowych, gdyż nie są to podmioty gospodarcze, lecz sektory działalności państwowej. Obsza- ry działalności Państwa, NATO, UE objęte są dodatkowymi systemowymi zabezpie- czeniami informacji. Ochrona informacji w obszarze NATO regulowana jest następu- jącymi dyrektywami:

AC/35-D/2000 – Dyrektywa bezpieczeństwa osobowego,

AC/35-D/2001 – Dyrektywa bezpieczeństwa fizycznego,

AC/35-D/2002 – Dyrektywa bezpieczeństwa obiegu informacji,

AC/35-D/2003 – Dyrektywa bezpieczeństwa przemysłowego,

AC/35-D/2004 – Dyrektywa podstawowa INFOSEC,

AC/35-D/2005 – Dyrektywa zarządzania INFOSEC w systemach teleinforma- tycznych (CIS)

oraz dokumentem C-M(2002)4930.

Natomiast przepisy bezpieczeństwa Unii Europejskiej uregulowane są decyzjami Rady Unii Europejskiej31 oraz Komisji Europejskiej32.

Podsumowując, należy zatem przyjąć, że wyżej wymienione branże to „sektory wrażliwe”, gdzie zarządzanie informacją, zwłaszcza niejawną, stanowi jeden z prio- rytetów, który mógłby mieć znaczący wpływ na funkcjonowanie państwa lub gospodar- ki (szczególnie konkurencyjności rynku w danej branży). Istnieje zatem konieczność stosowania systemów ukierunkowanych na zarządzanie bezpieczeństwem informacji w różnych podmiotach niezależnie od wielkości, branży, obszaru działania, a także od tego, czy są publiczne czy prywatne.

Podsumowanie

Analiza literatury oraz badania z zakresu systemowego zarządzania organizacją ukierunkowanego na zwiększanie wartości organizacji, w ramach działań projako- ściowych, wskazują m.in. na:

zwiększanie świadomości i bezpośrednich działań gwarantujących bezpieczeń- stwo informacji;

zmianę mentalności w stosunku do informacji jako zasobu, który stał się „pro- duktem” sprzedaży;

———————

30C-M(2002)49 z dnia 17 czerwca 2002 r. – Bezpieczeństwo w ramach organizacji Traktatu Pół- nocnoatlantyckiego (z późn. zm.).

31Decyzja Rady Unii Europejskiej 2011/292/UE z dnia 31 marca 2011 r. w sprawie przepisów bezpieczeństwa dotyczących ochrony informacji niejawnych UE (Dz.Urz. UE 2011, L141, poz. 17 z późn. zm.).

32Decyzja Komisji Europejskiej 2001/844/EC z dnia 29 listopada 2001 r. zmieniająca jej regu- lamin wewnętrzny (notyfikowana jako dokument nr C (2001) 3031) (Dz.Urz. UE 2001, L317, poz. 1).

Łunarski J., Zarządzanie jakością. Standardy i zasady, Warszawa 2012. Majchrzak-Lepczyk J., Safety in the context of logistics and marketing support, [w:] Bez-

pieczeństwo w procesach globalizacji – dziś i jutro, t. 1, red. Z. Grzywna, Katowice 2013. Malara Z., Przedsiębiorstwo w globalnej gospodarce: wyzwania współczesności, War-

szawa 2006.

Nogalski B., Surawski B.M., Informacja strategiczna i jej rola w zarządzaniu przedsię- biorstwem, [w:] Informacja w zarządzaniu przedsiębiorstwem. Pozyskiwanie, wykorzy- stanie i ochrona. Wybrane problemy, teorii i praktyki, red. R. Borowiecki, M. Kwie- ciński, Kraków 2003.

Olkiewicz M., Podstawy zarządzania jakością. Wybrane aspekty, Koszalin 2008. Olkiewicz M., Funkcjonowanie zintegrowanego systemu zarządzania w organizacji, [w:]

Jakościowe aspekty integracji zarządzania, red. E. Skrzypek, Lublin 2012. PN-ISO/IEC 27001:2014–12, Technika informatyczna – Techniki bezpieczeństwa – Sys-

temy zarządzania bezpieczeństwem informacji – Wymagania, Polski Komitet Nor- malizacyjny, Warszawa 2014.

PN-EN ISO 9000:2015-10, Systemy zarządzania jakością. Podstawy i terminologia, Pol- ski Komitet Normalizacyjny, Warszawa 2016.

Szczepańska K., Metody i techniki TQM, Warszawa 2009.

Zarządzanie ryzykiem działalności organizacji, red. J. Monkiewicz, L. Gąsiorkiewicz, Warszawa 2010.

Akty prawne dotyczące oceny zgodności wyrobów i akredytacji OiB, www.wcnjk.wp.mil. pl/pl/18.html (dostęp: 20.10.2014).

ISO 9000 – Quality management, www.iso.org/iso-9001-quality-management (dostęp: 27.10.2015).

ISO Survey, www.iso.org/the-iso-survey.html (dostęp: 13.10.2014).

Norma ISO 24762, www.centrum.bezpieczenstwa.pl/index.php/standardy-othermenu- 16/1064-iso-24762 (dostęp: 24.10.2014).

Standards, www.iso.org/iso/home/standards.htm (dostęp: 13.10.2014).

Ustawa z dnia 5 sierpnia 2010 r. o ochronie informacji niejawnych (Dz.U. 2010, nr 182, poz. 1228).

Decyzja Rady Unii Europejskiej 2011/292/UE z dnia 31 marca 2011 r. w sprawie przepi- sów bezpieczeństwa dotyczących ochrony informacji niejawnych UE (Dz.Urz. UE 2011, L141, poz. 17 z późn. zm.).

Decyzja Komisji Europejskiej 2001/844/EC z dnia 29 listopada 2001 r. zmieniająca jej regulamin wewnętrzny (notyfikowana jako dokument nr C (2001) 3031) (Dz.Urz. UE 2001, L317, poz. 1, Polskie Wydanie Specjalne 2004, rozdz. 1, t. 3, s. 353–407).

C-M(2002)49 z dnia 17 czerwca 2002 r. – Bezpieczeństwo w ramach organizacji Trakta- tu Północnoatlantyckiego (z późn. zm.).

Summary

Information security is an increasing challenge for companies because market de- mand for information about quality is very high and still increasing. Because of the growing awareness of the possibility of loss of classified information organizations often