ISO 19650-5: Securitatea Informațiilor
Abordarea orientată spre securitate în managementul informațiilor construite — protejând datele sensibile de infrastructură de accesul neautorizat, modificare sau divulgare.
Despre ISO 19650-5
Publicat în 2020 și condus de inițiativa britanică, ISO 19650-5 adresează securitatea mediului construit și a informațiilor din construcții. Extinde seria ISO 19650 cu o dimensiune critică: protecția informațiilor sensibile.
Standardul este deosebit de important pentru infrastructura critică, clădiri publice și facilități guvernamentale, unde informațiile tehnice detaliate pot reprezenta riscuri de securitate dacă ajung în mâini greșite.
Protejează împotriva accesului neautorizat, modificării sau divulgării informațiilor sensibile pe tot parcursul ciclului de viață al activului.
De Ce Securitate în Construcții?
Terorism
Informații despre structuri critice pot fi exploatate pentru planificarea atacurilor.
Spionaj Industrial
Specificații tehnice și procese proprietare pot fi ținta concurenței neloiale.
Atacuri Cibernetice
Accesul neautorizat la sisteme BIM poate compromite date sensibile de proiect.
Furt de Date
Date personale ale ocupanților sau date financiare necesită protecție specială.
Niveluri de Sensibilitate (4 Tiers)
ISO 19650-5 clasifică informațiile în patru niveluri de sensibilitate, fiecare cu cerințe specifice de protecție și control al accesului.
Public
Informații disponibile publicului. Planuri de situație, date non-sensibile, informații de marketing și prezentare.
Exemple:
- Randări exterioare
- Descrieri generale
- Publicații oficiale
Restricționat
Informații sensibile comercial. Accesibil doar echipei de proiect și contractorilor autorizați.
Exemple:
- Specificații tehnice detaliate
- Date de cost
- Planuri interioare
Confidențial
Informații operațional sensibile. Accesibil strict persoanelor cu necesitate demonstrată.
Exemple:
- Sisteme de securitate
- Vulnerabilități structurale
- Date personale
Secret
Implicații de securitate națională. Protocoluri speciale, acces limitat la nivel guvernamental.
Exemple:
- Infrastructură critică
- Facilități guvernamentale
- Apărare națională
Procesul de Evaluare a Securității
ISO 19650-5 definește un proces în cinci etape pentru evaluarea și gestionarea riscurilor de securitate.
Identificare
Ce active informaționale există? Inventariați toate documentele, modelele și seturile de date din proiect.
Evaluare
Care sunt implicațiile de securitate? Analizați impactul potențial al divulgării neautorizate.
Clasificare
Atribuiți nivelul de sensibilitate (Tier 1-4) fiecărui tip de informație și definiți politicile de acces.
Protejare
Implementați controale tehnice și organizatorice: criptare, control acces, proceduri de manipulare.
Monitorizare
Revizuire periodică a clasificărilor, auditarea acceselor și actualizarea controalelor conform amenințărilor noi.
Cerințe de Securitate CDE
Un CDE conform ISO 19650-5 trebuie să implementeze un set minim de controale tehnice și organizatorice.
Control Acces pe Roluri
Fiecare utilizator accesează strict informațiile necesare rolului său. Principiul "minimum privilege".
Audit Trail Complet
Înregistrarea tuturor acțiunilor: cine a accesat ce informație, când și ce a făcut cu ea.
Criptare End-to-End
Date criptate atât în stocare (at rest) cât și în transmisie (in transit) cu AES-256 și TLS 1.3.
Ștergere Securizată
Proceduri de ștergere certificată care previn recuperarea informațiilor sensibile șterse.
Verificare Personal
Proceduri de screening pentru personalul cu acces la informații Tier 3 și Tier 4.
Răspuns la Incidente
Plan documentat de răspuns la breșe de securitate: detectare, containment, notificare, remediere.
Plan de Management al Securității
ISO 19650-5 prevede elaborarea unui Plan de Management al Securității (Security Management Plan) pentru fiecare proiect sau activ cu informații sensibile. Planul trebuie să includă:
ISO 19650-5 în CDE 19650 Cloud
Control Acces Granular
Permisiuni la nivel de folder, document și câmp de metadata. Roluri configurabile pentru fiecare proiect.
Criptare AES-256
Toate datele sunt criptate în stocare și în transit. Certificate SSL/TLS pentru toate conexiunile.
Audit Logs Imutabile
Jurnal complet și imutabil al tuturor acțiunilor. Export pentru audituri de conformitate.
Centre de Date Securizate
Date stocate în centre de date certificate ISO 27001, pe teritoriul UE, conform GDPR.
Conformitate GDPR
Procesare date personale conform Regulamentului European 2016/679. DPA disponibil.
Penetration Testing
Teste periodice de penetrare realizate de firme externe independente. Rapoarte disponibile la cerere.
Securitate Conform ISO 19650-5
CDE 19650 Cloud integrează toate cerințele ISO 19650-5: control acces granular, criptare, audit logs imutabile și conformitate GDPR — gata din prima zi.