5 етапа на неминуемост при приемането на сертификация ISO/IEC 27001. Отричане

Когато става въпрос за стратегически важни решения за компанията, служителите преминават през основен защитен механизъм, добре известен като 5 етапа на реакция на промяната (автор Е. Кюблер-Рос). Известната психологичка някога е описала емоционалните реакции, като е отк突ла 5 ключови етапа на емоционалната реакция: отрицание, гняв, търговия, депресия и накрая, приемане. Подготвили сме цикъл от статии, посветени на сертификацията по ISO 27001, в които ще разгледаме всеки от етапите. Днес ще говорим за първия от тях – отрицание.

Получаването на сертификат ISO 27001 „за галочка“ е съмнително удоволствие, тъй като изисква дълга и скъпа подготовка. Освен това, както показва статистиката, този стандарт е изключително непопулярен в Русия: към днешна дата само 70 компании са преминали сертификация за съответствие. В чужбина обаче това е един от най-търсените стандарти, отговарящи на нарастващите изисквания на бизнеса в областта на информационната сигурност.

Нашата компания предлага пълен спектър от аутсорсинг услуги за счетоводни функции: счетоводство и данъчно отчитане, изчисляване на заплати и административно управление на кадри. Заемаме едно от водещите места на пазара, в частност защото ни се доверяват своите конфиденциални данни чуждестранни компании, които имат подразделения на територията на Русия. Това засяга не само финансовите процеси на нашите клиенти, но и личните данни, с които работим ежедневно. В тази връзка въпросът за информационната сигурност е един от приоритетните за нас.

Често всички бизнес процеси на руските отдели се контролират и декларират от централните офиси на чуждестранни компании, поради което те трябва да отговарят на вътрешните общи стандарти на групата. В последно време някои от нашите ключови клиенти започнаха да преразглеждат политиките си за сигурност към тяхното затягане. Безусловно, това е свързано с глобалните тенденции за увеличаване на броя на кибератаките и загубите, свързани с инциденти на нарушаване на информационната сигурност. В случай на необходимост от внедряване на средства за защита, политики и процедури, насочени към увеличаване на информационната сигурност на компанията, може да се обходим и без сертификация по ISO/IEC 27001, спестявайки по този начин много пари, време и нерви.

Днес в търговете на чуждестранни поръчатели започнаха да се появяват изисквания за съществуващата информационна сигурност в компанията. Някои, за да улеснят проверката си и да унифицират подхода, поставят като задължително условие за оценка – наличието на сертификация по ISO/IEC 27001.

При нас беше така: един от ключовите международни клиенти, сертифицирани по този стандарт, очевидно сериозно е усилвал своята глобална команда по информационна сигурност. Как научихме за това? Те решиха да проведат одит на нашата система за управление на информационната сигурност, тъй като предоставяме счетоводни услуги и управление на персонала – и, съответно, защитата на нашите информационни системи е от критично значение за тях. Предишният одит беше преди 3 години – тогава всичко премина доста безболезнено.

В този случай ни нападна сплотен екип индийци, които ловко откриха няколко десетки недостатъци в системата ни за управление на сигурността. Процесът на одит приличаше на колело на сансара – изглеждаше, че не са имали цел да достигнат към финалната точка на проверката. Това беше безкрайна верига от въпроси, забележки, нашите коментари и доказателства за тяхната реалност, конференционни разговори и дълги философски беседи в опити да разпознаем акцента на IT security team на клиента. Между другото, одитът продължава с различна интензивност и до днес – с времето вече сме се примирили с това. Така необходимостта от сертификация се наложи сама по себе си.

Може би ще се справим с ISO 9001?

Всеки, който е малко по-подготвен по въпросите на сертификацията за всякакъв стандарт от ISO, разбира, че основата за всеки от тях е сертификатът ISO 9001 „Система за управление на качеството“. Това, вероятно, е най-популярният в момента сертификат от цялата линия стандарти ISO. Ние нямахме такъв – и решихме да не го получаваме. Има няколко причини за това:

• съмнителната икономическа ефективност на наличието на този сертификат в компанията;
• нашите вътрешни процеси до голяма степен вече бяха близки до този стандарт;
• за получаването на този сертификат щеше да е нужно допълнително време и пари.

Съответно, решихме веднага да внедрим ISO 27001, без да започваме от по-„лесния“ 9001.

А може би все пак не трябва?

Излиза, че много пъти сме се върнали към въпроса дали е целесъобразно да го получим. Започнахме да проучваме въпроса от всякакви страни, защото нямахме абсолютно никаква експертиза. И ето заблужденията, които ни накараха да се замислим отново за този въпрос.

Заблуждение №1.
Надявахме се, че стандартът ще ни предостави подробно чек-лист, список с политики и други уставни документи. В действителност обаче, ISO/IEC 27001 е набор от изисквания към самата система за управление на информационната сигурност и изграждания процес. Въз основа на тях беше необходимо сами да решим какво да напишем / внедрим в нашата компания за спазване на изискванията на стандарта.

Заблуждение №2.
Искрено вярвахме, че ще ни е достатъчно да изучим един документ и да го реализираме в относително кратки срокове сами. В реалността, четейки документа, осъзнахме колко много свързани стандарти „се захващат“ за нашия стандарт и с колко стандарти трябва да се запознаем (поне повърхностно). „Вишенката“ на тортата беше отсъствието на актуални текстове на стандартите в открит достъп – трябваше да ги купим от официалния сайт на ISO.

Неправилно схващане №3.
Бяхме уверени, че ще намерим всичко необходимо за подготовка за сертификация в открити източници. В интернет наистина имаше много материали по ISO 27001, но в тях липсваше конкретика. Почти липсваха достъпни за разбиране стъпка по стъпка инструкции за подготовка за сертификация, както и реални случаи на компании, внедрили този стандарт.

Неправилно схващане №4.
Ще напишем политики, но те няма да работят! Верно, в нашата компания вече има прекалено много правила, никой няма да спазва още 3 десетки нови политики. В реалността, за щастие, нашите служители се отнесоха отговорно към задачата да усвоят новите правила и успешно преминаха теста за знания по документите на системата за управление на информацията за сигурност.

Неправилно схващане №5.
В онзи момент не можехме ясно да оценим каква полза ще получим от трудовите си усилия. Тогава броят на запитванията за наличието на този сертификат не беше толкова голям, а ключовият и най-взискателен клиент се появи много преди сертификацията. Опитът показа, че се справяхме и без стандарта.

В даден момент осъзнахме, че закривахме всяка несъответствие хаотично, благодарение на изискванията на клиента. Всеки път измисляхме нови политики или решения. Накрая сами стигнахме до заключението, че ще бъде много по-лесно да систематизираме процеса, което в последствие ще ни спести голямо количество трудозатрати. Стандартът трябваше да опрости тази задача.

Сега, две години по-късно, виждаме тенденция на увеличение на запитванията и интереса по този въпрос от страна на най-големите международни клиенти.

Финалното решение.

В заключение можем да кажем, че лидерите в нашата индустрия получиха сертификат ISO/IEC 27001, което накара всички останали големи доставчици (включително нас) да се замислят по този въпрос. Несъмнено, красивото изречение в маркетинговите материали на компанията – на сайта, в социалните мрежи, в рекламните брошури и т.н. – може да се счита за приятен бонус, но струва ли си да се харчат толкова ресурси за него? За нас това е нещо повече от просто красиво изречение и затова се впуснахме в този проект.

Източник: habr.com