5 етапа на неизбежността на сертифицирането по ISO/IEC 27001. депресия

Четвъртият етап на емоционална реакция към промяната е депресията. В тази статия ще ви разкажем за нашия опит от преминаването през най-продължителния и неприятен етап - за промени в бизнес процесите на компанията, за да се постигне тяхното съответствие със стандарта ISO 27001.

очакване

Първият въпрос, който си зададохме, след като избрахме сертифициращия орган и консултанта, беше колко време наистина ще ни трябва, за да направим всички необходими промени?

Първоначалният работен план беше планиран по такъв начин, че трябваше да го изпълним в рамките на 3 месеца.

Всичко изглеждаше просто: беше необходимо да напишем няколко дузини политики и леко да променим нашите вътрешни процеси; след това обучете колегите за промените и изчакайте още 3 месеца (за да се появят „записи“, т.е. доказателства за функционирането на политиките). Изглежда, че това беше всичко - и сертификатът беше в джоба ни.

Освен това нямаше да пишем политики от нулата - в края на краищата имахме консултант, който, както си мислехме, трябваше да ни даде всички „правилни“ шаблони.

В резултат на тези заключения отделихме 3 дни за изготвяне на всяка политика.

Техническите промени също не изглеждаха плашещи: беше необходимо да се настрои събирането и съхранението на събития, да се провери дали резервните копия отговарят на политиката, която написахме, да се модернизират офисите със системи за контрол на достъпа, където е необходимо, и още няколко дребни неща .
Екипът, подготвящ всичко необходимо за сертифициране, се състоеше от двама души. Планирахме те да участват в изпълнението паралелно с основните си задължения, като това ще отнема на всеки от тях максимум 1,5-2 часа на ден.
Обобщавайки, можем да кажем, че виждането ни за предстоящия обем на работа беше доста оптимистично.

реалност

В действителност всичко естествено беше различно: предоставените от консултанта шаблони за политики се оказаха в повечето случаи неприложими за нашата компания; В интернет почти нямаше ясна информация какво и как да се прави. Както можете да си представите, планът за „написване на една полица за 3 дни“ се провали напълно. Така спряхме да спазваме срокове почти от самото начало на проекта и настроението ни започна бавно да пада.

Опитът на екипа беше катастрофално малък - толкова много, че дори не беше достатъчен, за да зададе правилните въпроси на консултанта (който, между другото, не показа много инициатива). Нещата започнаха да се движат още по-бавно, тъй като 3 месеца след началото на изпълнението (тоест в момента, когато всичко трябваше да е готово), един от двамата ключови участници напусна екипа. На негово място беше назначен нов ръководител на ИТ службата, който трябваше бързо да завърши процеса на внедряване и да осигури на системата за управление на информационната сигурност всичко най-необходимо от техническа гледна точка. Задачата изглеждаше трудна... Отговорниците започнаха да изпадат в депресия.

В допълнение, техническата страна на проблема също се оказа, че има „нюанси“. Изправени сме пред задачата за глобална модернизация на софтуера както на работните станции, така и на сървърното оборудване. При настройването на системата за събиране на събития (логове) се оказа, че нямаме достатъчно хардуерни ресурси за нормалното функциониране на системата. И софтуерът за архивиране също се нуждаеше от модернизация.

Спойлер: В резултат на това ISMS беше героично внедрен за 6 месеца. И никой дори не умря!

Какво се промени най-много?

Разбира се, по време на прилагането на стандарта настъпиха голям брой малки промени в процесите на компанията. Подчертахме най-значимите промени за вас:

• Формализиране на процеса на оценка на риска

Преди това компанията нямаше официален процес за оценка на риска - правеше се само мимоходом като част от цялостното стратегическо планиране. Една от най-важните задачи, решени в рамките на сертифицирането, беше прилагането на Политиката за оценка на риска на компанията, която описва всички етапи на този процес и лицата, отговорни за всеки етап.

• Контрол върху сменяеми носители за съхранение

Един от значителните рискове за бизнеса беше използването на некриптирани USB флаш устройства: всъщност всеки служител можеше да запише всяка налична за него информация на флаш устройство и в най-добрия случай да го загуби. Като част от сертифицирането възможността за изтегляне на каквато и да е информация на флаш устройства беше деактивирана на всички работни станции на служителите - записването на информация стана възможно само чрез приложение към ИТ отдела.

• Супер потребителски контрол

Един от основните проблеми беше фактът, че всички служители на ИТ отдела имаха абсолютни права във всички фирмени системи – имаха достъп до цялата информация. В същото време никой реално не ги контролираше.

Внедрихме система за предотвратяване на загуба на данни (DLP) - програма за наблюдение на действията на служителите, която анализира, блокира и алармира за опасни и непродуктивни дейности. Сега сигналите за действията на служителите на ИТ отдела се изпращат на имейл адреса на Оперативния директор на компанията.

• Подход за организиране на информационна инфраструктура

Сертифицирането изисква глобални промени и подходи. Да, трябваше да обновим редица сървърно оборудване поради повишеното натоварване. По-специално, отделихме отделен сървър за системи за събиране на събития. Сървърът беше оборудван с големи и бързи SSD дискове. Изоставихме софтуера за архивиране и избрахме системи за съхранение, които разполагат с цялата необходима функционалност веднага. Направихме няколко големи стъпки към концепцията „инфраструктура като код“, което ни позволи да спестим много дисково пространство чрез елиминиране на архивирането на редица сървъри. В най-кратки срокове (1 седмица) целият софтуер на работните станции беше надграден до Win10. Един от проблемите, които модернизацията реши, беше възможността за активиране на криптиране (в Pro версията).

• Контрол върху хартиени документи

Компанията имаше значителни рискове, свързани с използването на хартиени документи: те можеха да бъдат изгубени, оставени на грешното място или неправилно унищожени. За да минимизираме този риск, ние маркирахме всички хартиени документи според степента на поверителност и разработихме процедура за унищожаване на различни видове документи. Сега, когато служител отвори папка или вземе документ, той знае точно в коя категория попада тази информация и как да се справи с нея.

• Наемане на резервен център за данни

Преди това цялата информация за компанията се съхраняваше на сървъри, разположени в защитен център за данни на трета страна. В този център за данни обаче не е имало спешни процедури. Решението беше да наемете резервен облачен център за данни и да архивирате най-важната информация там. В момента информацията на компанията се съхранява в два географски отдалечени центъра за данни, което минимизира риска от нейната загуба.

• Тестване на непрекъснатостта на бизнеса

Нашата компания има въведена Политика за непрекъснатост на бизнеса (BCP) от няколко години, която описва какво трябва да правят служителите при различни негативни сценарии (загуба на достъп до офиса, епидемия, прекъсване на електрозахранването и др.). Ние обаче никога не сме провеждали тестове за непрекъснатост - тоест никога не сме измервали колко време ще отнеме възстановяването на бизнеса във всяка от тези ситуации. В подготовката за сертификационния одит ние не само направихме това, но и разработихме план за тестване на непрекъснатостта на бизнеса за следващата година. Заслужава да се отбележи, че година по-късно, когато бяхме изправени пред необходимостта да преминем изцяло към дистанционна работа, изпълнихме тази задача за три дни.

Важно е да се отбележи, че всички компании, които се подготвят за сертифициране, имат различни начални условия - следователно във вашия случай може да са необходими напълно различни промени.

Реакциите на служителите на промените

Колкото и да е странно - тук очаквахме най-лошото - не се оказа толкова лошо. Не може да се каже, че колегите приеха новината за сертифициране с голям ентусиазъм, но следното беше ясно:

• Всички ключови служители разбраха важността и неизбежността на това събитие;
• Всички останали служители се взираха в ключови служители.

Разбира се, много ни помогна спецификата на нашия бранш – изнасяне на счетоводни функции. По-голямата част от нашите служители се справят добре с постоянните промени в руското законодателство. Съответно въвеждането на няколко дузини нови правила, които сега трябва да се спазват, не беше нещо необичайно за тях.

Подготвили сме ново задължително обучение и тестване по ISO 27001 за всички наши служители. Всички послушно махнаха листчетата с пароли от мониторите си и разчистиха бюрата, затрупани с документи. Не беше забелязано силно недоволство - като цяло имахме голям късмет с нашите служители.

Така преминахме най-болезнения етап - „депресията“ - свързан с промените в нашите бизнес процеси. Беше трудно и трудно, но резултатът в крайна сметка надмина и най-смелите ни очаквания.

Прочетете предишни материали от поредицата:

5 етапа на неизбежността на сертифицирането по ISO/IEC 27001. Отказ: погрешни схващания относно сертифицирането по ISO 27001:2013, препоръчителността на получаването на сертификат.

5 етапа на неизбежността на сертифицирането по ISO/IEC 27001. Гняв: Откъде да започна? Изходни данни. Разноски. Избор на доставчик.

5 етапа на неизбежността на сертифицирането по ISO/IEC 27001. Договаряне: изготвяне на план за изпълнение, оценка на риска, писане на политики.

5 етапа на неизбежността на сертифицирането по ISO/IEC 27001. депресия

5 етапа на неизбежността на сертифицирането по ISO/IEC 27001. Осиновяване.

Източник: www.habr.com