🥇5 етапа на неизбежност при приемането на сертификация ISO/IEC 27001. Депресия

Четвъртата фаза на емоционалното реагиране на промени е депресия. В тази статия ще споделим нашия опит в преминаването през най-дългата и неприятна фаза – промените в бизнес процесите на компанията с цел достигане на съответствие със стандарта ISO 27001.

Очакване

Първият въпрос, който си зададохме след избора на сертификационен орган и консултант, беше – колко време всъщност ще ни трябва за всички необходими промени?

Първоначалният план за работа беше планиран така, че трябваше да се справим за 3 месеца.

Всичко изглеждаше просто: необходимо беше да напишем няколко десетки политики и леко да променим нашите вътрешни процеси; след това да обучим колегите за промените и да изчакаме още 3 месеца (за да се появят „записи“, тоест доказателства за функционирането на политиките). Изглеждаше, че на това е всичко – сертификатът е в джобовете ни.

Освен това, не планирахме да пишем политиките от нулата – защото имахме консултант, който, както мислехме, трябваше да ни предостави всички „правилни“ шаблони.

В резултат на тези разсъждения, заложихме по 3 дни за подготовка на всяка политика.

Техническите промени също не изглеждаха стряскащи: необходимо беше да настроим събирането и съхранението на събития, да проверим дали резервните копия съответстват на политиката, която написахме, да дооборудваме, където е необходимо, кабинетите с СКУД и още малко по-малко значими неща.
Екипът, подготвящ всичко необходимо за сертификацията, се състоеше от двама души. Планирахме, че те ще се занимават с внедрението паралелно с основните си задължения и всеки от тях ще отделя максимум 1,5-2 часа на ден.
В обобщение, можем да кажем, че нашият поглед върху предстоящия обем работа беше доста оптимистичен.

Реалност

Всъщност всичко, естествено, беше иначе: шаблоните на политиките, предоставени от консултанта, се оказаха предимно непригодни за нашата компания; в интернет почти нямаше ясна информация относно това какво и как трябва да се прави. Както разбирате, планът „да напишем една политика за 3 дни“ се провали с трясък. Така че започнахме да изоставаме от сроковете почти от самото начало на проекта, а градусът на настроението започна бавно да спада.

Експертизата на екипа беше катастрофично ограничена – толкова, че нямаше дори достатъчно, за да задават правилните въпроси на консултанта (който, между другото, не проявяваше голямо количество инициатива). Процесът стана още по-бавен, тъй като три месеца след началото на внедряването (тоест в момент, когато всичко вече трябваше да е готово), един от двамата ключови участници напусна екипа. На негово място дойде нов ръководител на IT-службата, който трябваше в кратък срок да завърши внедряването и да осигури системата за управление на информационната безопасност с всичко необходимо от техническа гледна точка. Задачата изглеждаше сложна… Отговорните лица започнаха да изпадат в депресия.

Освен това техническата страна на въпроса също се оказа с „нюанси“. Станахме свидетели на задачата за глобална модернизация на софтуера както на работните станции, така и на сървърното оборудване. По време на настройките на системата за събиране на събития (логове) установихме, че ни липсват хардуерни ресурси за нормалното функциониране на системата. И софтуерът за резервно копиране също изискваше модернизация.

Спойлер: В крайна сметка системата за управление на информационната безопасност беше героично внедрена за 6 месеца. И дори никой не умря!

Какво се промени най-много?

Безспорно, в процеса на внедряване на стандарта в компаниите настъпиха много малки промени. За вас сме изолирали най-съществени промени:

Формализиране на процеса на оценка на рисковете

По-рано в компанията нямаше никаква формализирана процедура за оценка на рисковете – това се правеше само мимоходом в рамките на общото стратегическо планиране. Една от най-важните задачи, решени в рамките на сертификацията, стана внедряването на Политиката за оценка на рисковете на компанията, описваща всички стадии на процеса и отговорните лица за всеки етап.

Контрол над преносимите носители на информация

Един от съществените рискове за бизнеса беше използването на незашифровани USB-флаш устройства: всъщност, всеки служител можеше да запише всяка налична информация на флашка и в най-добрия случай да я загуби. В рамките на сертификацията на всички работни станции на служителите бе изключена възможността за изтегляне на каквото и да е информация на флашки – записването на информация стана възможно само чрез заявка в IT отдел.

Контрол на суперпотребителите

Една от основните проблеми беше фактът, че всички служители в IT отдела имаха абсолютни права в системите на компанията – имаха достъп до цялата информация. В същото време никой не ги контролираше достатъчно.

Внедрихме система за предотвратяване на загуба на данни (DLP) – програма за контрол на действията на служителите, която анализира, блокира и уведомява за опасна и непроизводителна дейност. Сега уведомленията за действията на служителите в IT отдела пристигат на имейла на Оперативния директор на компанията.

Подход към организацията на информационната инфраструктура

Сертификацията изисква глобални промени и подходи. Да, наложи се да модернизираме редица сървъри заради увеличеното натоварване. В частност, отделихме отделен сървър за системите за събиране на събития. Сървърът беше оборудван с обемни и бързи SSD устройства. Отказахме се от софтуер за архивиране и избрахме системи за съхранение, които „от кутията“ имат цялата необходима функционалност. Направихме няколко големи стъпки към концепцията „инфраструктура като код“, което ни позволи да спестим много дисково пространство, като се отказахме от архивирането на редица сървъри. В кратки срокове (1 седмица) беше обновен целият софтуер на работните станции до Win10. Един от проблемите, които реши модернизацията, е възможността за включване на шифроване (в Pro версията).

Контрол на хартиените документи

Компанията имаше значителни рискове, свързани с използването на хартиени документи: те можеха да бъдат загубени, оставени на неподходящо място или неправилно унищожени. За минимизиране на тези рискове обозначихме всички хартиени документи според степента на конфиденциалност и разработихме процедура за унищожаване на различни типове документи. Сега, когато служителят отваря папка или взема документ, той точно знае в коя категория попада тази информация и как трябва да се отнася с нея.

Наем на резервен дата център

Преди всичката информация на компанията се съхраняваше на сървъри, разположени в защитен дата център на трета страна. Обаче, нямаше предвидени процедури за случай на авария в този дата център. Решението беше наемането на резервен облачен дата център и архивирането на най-важната информация там. Сега информацията на компанията се съхранява в два териториално отделени дата центъра, което позволява минимизиране на риска от нейното загубване.

Тест за непрекъснатост на бизнеса

В нашата компания вече няколко години съществува Политика за непрекъснатост на бизнеса (BCP), описваща какви действия трябва да предприемат служителите при различни негативни сценарии (загуба на достъп до офиса, епидемия, прекъсване на електричеството и т.н.). Въпреки това, никога не сме провеждали тест за непрекъснатост – тоест, не сме измервали колко време ще отнеме възстановяването на бизнеса в всяка от тези ситуации. В рамките на подготовката за сертификационен одит не само, че го направихме, но и разработихме план за тестване на непрекъснатостта на бизнеса за следващата година. Трябва да се отбележи, че година по-късно, когато се сблъскахме с необходимостта от пълен преход към дистанционен режим на работа, справихме се с тази задача за три дни.

Важно е да се отбележи, че всички компании, подготвящи се за сертификация, имат различни стартови условия – затова във вашия случай могат да са необходими съвсем различни промени.

Реакцията на служителите на промените

Както странно да звучи – тук очаквахме най-лошото – резултатът не беше толкова лош. Не може да се каже, че колегите са възприели новината за сертификацията с огромен ентусиазъм, но беше ясно следното:

Всички ключови служители разбираха важността и неизбежността на това събитие;
Всички останали служители се ръководеха от ключовите служители.

Разбира се, спецификата на нашата индустрия – аутсорсинг на счетоводни функции, много ни помогна. Абсолютното мнозинство от нашите служители отлично се справят с постоянните промени в законодателството на Руската федерация. Следователно, внедряването на няколко десетки нови правила, които вече трябва да се спазват, за тях не стана нещо извънредно.

Подготвихме ново задължително обучение по ISO 27001 и тестване за всички наши служители. Всички послушно свалиха стикерите с паролите от мониторите си и опразниха натрупаните документи на бюрата си. Никакво силно недоволство не беше забелязано – всъщност, много сме щастливи с нашите служители.

Така стигнахме до най-болезнената фаза – "депресия" – свързана с промените в нашите бизнес процеси. Беше трудно и сложно, но в крайна сметка резултатът надмина всички смели очаквания.

Прочетете предишните материали от цикъла:

5 етапа на неизбежност при приемането на сертификация ISO/IEC 27001. Отричане: погрешки относно сертификацията ISO 27001:2013, целесъобразността на придобиването на сертификата.

5 етапа на неизбежност при приемането на сертификация ISO/IEC 27001. Гняв: С какво да започнем? Основни факти. Разходи. Избор на доставчик.

5 етапа на неизбежност при приемането на сертификация ISO/IEC 27001. Преговори: подготовка на план за внедряване, оценка на рисковете, написване на политики.

5 етапа на неизбежност при приемането на сертификация ISO/IEC 27001. Депресия.

5 етапа на неизбежност при приемането на сертификация ISO/IEC 27001. Приемане.

Източник: habr.com