Słownik cyberbezpieczeństwa dla liderów HR – I jak ISMS

Międzynarodowa Organizacja Normalizacyjna (International Organization for Standardization, ISO) definiuje ISMS jako zestaw polityk, procedur i środków ochronnych, które określają, w jaki sposób organizacja zarządza bezpieczeństwem informacji.

W ramach ISMS organizacja ustala wymogi dotyczące m.in.:

• oceny ryzyka

• zarządzania zasobami informacyjnymi

• kontroli dostępu

Środkiem ochronnym stosowanym w celu realizacji wymogu zapewnienia kompetencji personelu istotnego dla ISMS (jeśli analiza ryzyka organizacji to uzasadnia) są regularne szkolenia tego personelu dotyczące ochrony przed phishingiem czy polityki związanej z udostępnianiem firmowych danych podmiotom zewnętrznym.

Cały ISMS wdrożony do organizacji lub stosowany przez partnera może wpierać realizację wymogów danego aktu prawnego. Chociażby monitorowanie zgodnej z kodeksem pracy retencji dokumentów pracowniczych, np. poprzez wprowadzenie procesów i kontroli nadzorujących usuwanie akt osobowych zgodnie z art. 94 pkt 9b Kodeksu pracy.

Pojęcie ISMS jest związane z certyfikacją firmy. Najbardziej rozpowszechnionym standardem w kontekście systemu zarządzania bezpieczeństwem informacji organizacji jest ISO 27001 (najnowszy standard, 2022).

To element, na który warto zwrócić uwagę przy ocenie dostawców oprogramowania, którzy trafili na listę kandydatów. Niezależnie, czy planujesz w firmie usprawnić, administrację personalną, naliczanie płac, planowanie czasu pracy, a tym bardziej wszystkie te elementy za pomocą systemu cyfrowego, to choć ISMS nie jest obowiązkowy, stanowi uznany sposób na spełnienie wymogów prawnych dotyczących bezpieczeństwa danych.

Warto pamiętać jednak, że posiadanie certyfikacji ISO nie stanowi automatycznej zgodności z RODO ani innymi nadchodzącymi dyrektywami, takimi jak NIS-2.

Jeśli dostawca posiada certyfikat ISO 27001 warto poświęcić czas na analizę praktycznego funkcjonowania systemu. Kilka pytań, które warto zadać:

• Czy posiadają Państwo udokumentowaną analizę ryzyka obejmującą dane kadrowe i płacowe?

• Czy wprowadzili Państwo formalny proces onboardingu i offboardingu administratorów systemu?

• Jak realizowany jest audyt wewnętrzny ISMS (wewnętrznie/outsourcing)?

• W jaki sposób przeprowadzają Państwo audyty bezpieczeństwa danych klientów?

• Czy możecie wskazać ostatnie trzy działania doskonalące wdrożone w systemie?

Odpowiednio zaprojektowany ISMS zazwyczaj nie powstaje z inicjatywy HR i nie jest główną odpowiedzialnością działu. Dyrektorzy działów kadr i płac jednak powinni być jednym z kluczowych interesariuszy tego projektu. Polityki HR muszą być zgodne z ISMS, sam dział nie odpowiada jednak za cały ISMS jako system.

Jednym z praktycznych sposobów wzmacniania ISMS jest wykorzystanie narzędzi, które automatyzują kontrolę dostępu, retencję danych oraz nadzór nad procesami kadrowo-płacowymi. Funkcje systemu kadrowo-płacowego HRB Portal od AGroup, takie jak twarde walidacje przy naliczaniu płac, ścieżki akceptacji, pełna rejestracja działań administratorów i zwykłych użytkowników oraz automatyczne mechanizmy retencji dokumentacji pracowniczej, wspierają organizację w spełnianiu wymogów bezpieczeństwa określonych w ISO 27001 (m.in. zarządzanie dostępami, integralność danych, zgodność z przepisami). Dzięki temu ISMS nie pozostaje wyłącznie zestawem polityk, lecz staje się realnie wdrażany w codziennych procesach, co zwiększa poziom ochrony danych pracowników i zmniejsza ryzyko operacyjne.

Bezpieczeństwo informacji jest dziś bezpośrednio powiązane z wymogami prawa pracy i ochrony danych. Rosnąca liczba regulacji dotyczących środowiska cyfrowego – oprócz niewdrożonej jeszcze w Polsce NIS-2 warto zwrócić uwagę na AI Act oraz przepisy o algorytmicznym zarządzaniu pracą w dyrektywie platformowej – wprowadza nowe obowiązki po stronie HR, m.in. związane z nadzorem nad systemami automatycznego podejmowania decyzji, transparentnością algorytmów oraz ochroną danych pracowników. To wymaga od HR lepszego zrozumienia sposobu, w jaki organizacja zarządza ryzykiem, dostępami i retencją informacji pracowniczych, i pozwala skuteczniej współpracować z działami prawnym oraz technicznym.

Barbara Trepkowska (AGroup, HRB Portal)