Audyt bezpieczeństwa IT

Awaria prądu w Szczecinie i okolicach w marcu 2008 r. była okazją do przetestowania przygotowywanych od lat w Zakładach Chemicznych „POLICE” planów awaryjnych. Z jednego z największych w historii blockoutów przedsiębiorstwo wyszło obronną ręką. Dzięki procedurom zapewniającym utrzymanie ciągłości działania oraz planom awaryjnym potwierdzonym normą ISO 9001 wznowienie działania zakładu po przywróceniu dostaw prądu przebiegło sprawnie i w miarę szybko.

To tylko utwierdziło kierownictwo Polic w przekonaniu, że podobne procedury należy także opracować dla systemów IT.

Ważne bezpieczeństwo IT

Wdrożenie Systemu Zarządzania Bezpieczeństwem Informacji zgodnego ze światowym standardem ISO/IEC 27001 rozpoczęło się w Biurze Teleinformatyki w Policach w 2007 r. Decyzja o wdrożeniu wynikała między innymi ze strategii rozwoju spółki oraz konieczności zapewnienia bezpieczeństwa i ciągłości pracy systemów IT, z których korzystają zakłady.

Zdarzenia, które mogą spowodować zakłócenie działania firmy, to nie tylko blockouty czy inne katastrofy. Przeszkodę w pracy może stanowić awaria prądu lub opóźnienia w dostawie surowców na produkcję spowodowane niedostępnością systemu SAP.

Zarządzanie ciągłością działania to podejście do prowadzenia firmy w sposób pozwalający na utrzymanie określonego poziomu dostarczania usług w przypadku wystąpienia zakłóceń w jej funkcjonowaniu. Obecne trendy na rynku w Europie wyraźnie wskazują na rozwój Systemów Zarządzania Bezpieczeństwem Informacji ISO/IEC 27001 w dużych zakładach produkcyjnych. Zakłady Chemiczne „POLICE” SA są jedną z pierwszych firm w Polsce, które rozpoczęły wdrożenie tych systemów.

Celem kierownictwa Biura Teleinformatyki było usystematyzowanie i sformalizowanie funkcjonujących już procesów IT. Wdrożenie SZBI pozwoli profesjonalnie i skutecznie reagować na katastrofy oraz incydenty.

Systemy IT w Zakładach Chemicznych to nie tylko podstawowy z biznesowego punktu widzenia system SAP czy systemy sterowania produkcją, ale także poważna infrastruktura sieciowa, system poczty elektronicznej z oprogramowaniem antyspamowym, systemy antywirusowe i firewall oraz pokaźna liczba systemów specjalistycznych, jak np. system zarządzania ruchem samochodowym na terenie firmy. Do tego dochodzą jeszcze sieciowe wersje aplikacji inżynierskich i innych.

Aby sprostać tak dużemu projektowi, jakim jest wdrożenie SZBI dla tak rozbudowanych instalacji IT, konieczne było dobre przygotowanie projektu, podzielonego na kilka etapów. Pierwszym krokiem było zapoznanie wszystkich pracowników Biura Teleinformatyki ze standardem ISO/IEC 27001. W tym celu zorganizowano szkolenie z zakresu wymagań normy przeprowadzone przez jednostkę certyfikacyjną BSI Management Systems Polska. Kolejnym etapem było przeprowadzenie audytu bezpieczeństwa IT na zgodność z normą ISO/IEC 27001. Audyt został na zlecenie Polic przeprowadzony przez specjalistów BCC.

Głównym celem audytu było zweryfikowanie funkcjonujących w Biurze Teleinformatyki procedur pod kątem zgodności z normą ISO/IEC 27001 oraz sprawdzenie spójności dokumentacji z rzeczywistymi praktykami w organizacji (polityka bezpieczeństwa, struktura organizacyjna i odpowiedzialność za procesy, organizacja bezpieczeństwa, klasyfikacja i kontrola aktywów, bezpieczeństwo osobowe, bezpieczeństwo fizyczne i środowiskowe, zarządzanie systemami i sieciami, kontrola dostępu do systemu, rozwój i utrzymanie systemu, zarządzanie ciągłością działania).

Etapy audytu

Audyt został podzielony na cztery etapy. W pierwszym etapie konsultanci BCC dokonali analizy struktury Biura Teleinformatyki (BT). Zweryfikowano relacje z firmami zewnętrznymi dostarczającymi usługi do BT oraz z odbiorcami usług (umowy o zachowaniu poufności, wskaźniki SLA). Zweryfikowany został również system ISO 9001 oraz jego wpływ na funkcjonowanie  procedur w BT (min. audyty wewnętrzne).

Podczas rozmów z Kierownikiem Biura Teleinformatyki Andrzejem Rozkrutem oraz Specjalistą z Biura Ochrony Sławomirem Gorzałą sprawdzono wymagania prawne i techniczno-organizacyjne, które musi spełniać BT (min. ustawa o ochronie danych osobowych). W drugim etapie przeprowadzono wywiady z pracownikami Biura Teleinformatyki. Zastosowano tu kilka scenariuszy. W rozmowach z pracownikami Działu Rozwoju Systemu SAP skoncentrowano się głownie na procesie zarządzania zmianami w systemie SAP. Sprawdzono efektywność procesu oraz wpływ na bezpieczeństwo informacji. Podczas rozmów poruszano takie zagadnienia jak: liczba zmian dokonywanych w danym module systemu SAP, forma zgłaszania zmian, priorytety zgłaszanych zmian, jak odbywają się testy zmian, kto odpowiada za budżet realizowanych zmian, ryzyko wprowadzanych zmian, aspekty prawne, zadowolenie osób zgłaszających zmiany, iteracja zmian, dokumentacja oraz dostęp do transakcji newralgicznych.

W rozmowach z pracownikami helpdesku sprawdzono skuteczność procesów zarządzania incydentami, zarządzania problemami oraz zgłaszania zmian. Zweryfikowano również procedury bezpieczeństwa informacji w przypadku serwisu laptopów kluczowych osób z zakładu, realizowanego przez wewnętrzny helpdesk oraz zewnętrznych dostawców. W rozmowach z administratorami IT przeglądowi poddano takie obszary jak zarządzanie systemami i sieciami, kontrolę dostępu do systemu, rozwój i utrzymanie systemu oraz zarządzanie ciągłością działania. Podczas rozmów omawiano wykonywanie kopii zapasowych, dostęp do serwerowni, nadawanie oraz odbieranie uprawnień, dokumentację IT. Z kierownictwem IT dyskutowano o zarządzaniu zespołem, szkoleniach, budowaniu bazy wiedzy, wymianie informacji pomiędzy pracownikami, wpływie procesów IT na procesy produkcyjne w Policach.

W kolejnym etapie przeprowadzono wywiady z pracownikami różnych działów zakładu, szczególnie właścicielami biznesowymi poszczególnych modułów SAP oraz użytkownikami końcowymi. Rozmowy dotyczyły głównie procesu zarządzania zmianami w systemie SAP oraz zarządzania ciągłością działania. Po rozmowach z przedstawicielami biznesu można było zidentyfikować, które obszary systemu są krytyczne dla pracy zakładu.

Ostatnim etapem były obserwacje. Sprawdzono pomieszczenia BT, politykę kontroli dostępu, procedury nadawania kart dostępowych. Podczas obserwacji sprawdzono również dwie serwerownie w BT – główne centrum przetwarzania danych oraz zapasowe centrum przetwarzania danych. W serwerowni sprawdzono funkcjonowanie systemów zabezpieczeń przeciwpożarowych i przeciwpowodziowych. Sprawdzono, jak działają zapasowe źródła zasilania. Zweryfikowano firmy zewnętrzne serwisujące klimatyzację, instalacje ppoż. oraz UPS-y.

Raport końcowy

Końcowym efektem audytu jest raport określający, jakie wymagania normy spełnia BT oraz jakie obszary powinny zostać udoskonalone. W Biurze Teleinformatyki zidentyfikowano mocne i słabe strony funkcjonowania.

Za mocne strony Biura Teleinformatyki uznano:

• W Dziale Rozwoju Systemu SAP prowadzone są działania dotyczące podnoszenia kwalifikacji pracowników. Administratorzy poszczególnych modułów SAP oraz programiści dzielą się wiedzą oraz doświadczeniami poprzez wewnętrzne szkolenia. Dobrą praktyką są spotkania organizowane przez administratorów modułu HR oraz Dział Kadr ze strony biznesu;
• Lojalność pracowników jest kluczową sprawą dla firmy, szczególnie takiej, w której to ludzie stanowią o jej wartości. Pracownicy BT, jeśli tylko mogą, wykonują zadania zdalnie po godzinach pracy lub jeśli wymaga tego sytuacja, przyjeżdżają do BT;
• System ISO/IEC 27001 buduje się, opierając na podstawowych zadaniach, jakim służy BT, oraz dobrych praktykach. Audyt dostarczył szeregu pozytywnych informacji od pracowników na temat wdrożenia systemu ISO/IEC 27001. Negatywne sygnały wiążą się z obawą tworzenia dużej liczby dokumentacji oraz utratą pracy przez niektóre osoby;

Posiadanie wielu informacji, które można wykorzystać do wdrożenia systemu ISO/IEC 27001. W Dziale Administracji Systemów Komputerowych oraz Dziale Wsparcia Użytkownika pracownicy posiadają oraz utrzymują indywidualnie wiele dokumentów i rejestrów. Przykładem są ewidencja komputerów, dokumentacja dotycząca konfiguracji sprzętu IT (serwery, switche).

Wśród słabych stron Biura Teleinformatyki znalazły się następujące kwestie:

• Ograniczone zasoby ludzkie, nie jest w pełni zdefiniowany proces zarządzania ciągłością działania dla niektórych zespołów w BT;
• Nie w każdym obszarze zdefiniowano ryzyko i zagrożenia dla niedostępności systemów IT;
• Proces zmian nie jest jeszcze w całości zaimplementowany zgodnie z praktykami ITIL czy ISO/IEC 20000;
• Nie ma opracowanych planów ciągłości działania dla wszystkich systemów IT –  w przypadku awarii tylko administratorzy BT posiadają wiedzę i informację, jak odtworzyć systemy.

Andrzej Rozkrut, Kierownik Biura Teleinformatyki, Zakłady Chemiczne „POLICE”