5 етапа на неизбежността на сертифицирането по ISO/IEC 27001. Отрицание

Когато вземат всяко стратегически важно решение за компанията, служителите преминават през основен защитен механизъм, добре познат като 5-те етапа на реагиране на промяна (от Е. Кюблер-Рос). Един виден психолог веднъж описа емоционалните реакции, подчертавайки 5 ключови етапа на емоционалната реакция: отричане, гняв, сделка, депресия и накрая Осиновяване. Подготвили сме поредица от статии, посветени на сертифицирането по ISO 27001, в които ще разгледаме всеки от етапите. Днес ще говорим за първия от тях – отричането.

Получаването на сертификат ISO 27001 „за показ“ е много съмнително удоволствие, защото изисква дълга и скъпа подготовка. Освен това, както показва статистика, този стандарт е изключително непопулярен в Руската федерация: към днешна дата само 70 компании са сертифицирани за съответствие. В същото време това е един от най-популярните стандарти в чужбина, отговарящ на нарастващите изисквания на бизнеса в областта на информационната сигурност.

Нашата компания предоставя пълен набор от аутсорсинг услуги за счетоводни функции: счетоводно и данъчно счетоводство, ТРЗ и администриране на персонала. Ние заемаме една от водещите позиции на пазара, по-специално поради факта, че чуждестранни компании с клонове в Русия ни доверяват своята поверителна информация. Това се отнася не само за финансовите процеси на нашите клиенти, но и за личните данни, с които работим ежедневно. В тази връзка въпросът за информационната сигурност е един от нашите приоритети.

Често всички бизнес процеси на руските подразделения се контролират и декларират от централните офиси на чуждестранни компании и следователно трябва да отговарят на вътрешните стандарти за цялата група. Напоследък някои от ключовите ни клиенти започнаха да преразглеждат своите политики за сигурност в посока на затягането им. Разбира се, това се дължи на глобалните тенденции в нарастващия брой кибератаки и загуби, свързани с инциденти с нарушаване на информационната сигурност.Ако е необходимо да се приложат мерки за защита, политики и процедури, насочени към повишаване на информационната сигурност на компанията, можете да направите без ISO /IEC 27001 сертификат, спестявайки по този начин много пари, време и нерви.

Днес в оферти от чуждестранни клиенти започнаха да се появяват изисквания за съществуваща информационна сигурност в компанията. Някои, за да опростят проверката си и да унифицират подхода, поставят задължителен критерий за оценка - наличие на сертификат ISO/IEC 27001.

Ето какво видяхме: Един от нашите ключови международни клиенти, сертифициран по този стандарт, изглежда значително е подсилил своя глобален екип за информационна сигурност. Как разбрахме за това? Те решиха да направят одит на нашата система за управление на информационната сигурност, тъй като ние им предоставяме счетоводни услуги и администрация на персонала - и съответно сигурността на нашите информационни системи е критично важна за тях. Предишният одит беше преди 3 години - тогава всичко мина доста безболезнено.

Този път приятелски екип от индийци ни нападна, умело изкопавайки няколко дузини недостатъци в нашата система за управление на сигурността. Процесът на одит приличаше на колелото на Самсара - изглеждаше, че по принцип нямат цел да достигнат до крайна точка като част от одита. Това беше безкраен низ от въпроси, коментари, наши коментари и доказателства за тяхната реалност, конферентни разговори и дълги философски разговори в опити да се разпознае акцентът на екипа по ИТ сигурност на клиента. Между другото, одитът продължава с различна степен на интензивност и до днес - с времето се примирихме с това. Така необходимостта от сертифициране е възникнала от само себе си.

Може би можем да се справим с ISO 9001?

Всеки, който е повече или по-малко запознат с въпроса за сертифицирането по някой от стандартите на ISO, разбира, че основата на всеки от тях е сертификатът ISO 9001 „Система за управление на качеството“. Това е може би най-популярният сертификат в момента в цялата линия на стандартите ISO. Ние го нямахме - и решихме да не го вземем. Имаше няколко причини за това:

• съмнителната икономическа ефективност на компанията, притежаваща този сертификат;
• нашите вътрешни процеси в по-голямата си част вече бяха близки до този стандарт;
• Получаването на този сертификат ще изисква допълнително време и пари.

Съответно решихме незабавно да внедрим ISO 27001, без да започваме с „по-лекия“ 9001.

Или може би все още не е необходимо?

Гледайки напред, много пъти сме се връщали към въпроса дали е препоръчително да го получим. Започнахме да проучваме въпроса от всички страни, защото нямахме абсолютно никаква експертиза. И ето кои заблуди ни накараха да се замислим за пореден път по този въпрос.

Погрешно схващане №1.
Надявахме се, че стандартът ще ни предостави подробен контролен списък, списък с политики и други нормативни документи. На практика се оказа, че ISO/IEC 27001 е набор от изисквания към самата система за управление на информационната сигурност и изграждания процес. Въз основа на тях беше необходимо самостоятелно да решим какво да напишем/внедрим в нашата компания, за да отговаряме на изискванията на стандарта.

Погрешно схващане №2.
Искрено вярвахме, че ще ни е достатъчно да проучим един документ и сами да го приложим за сравнително кратко време. В действителност, докато четем документа, осъзнахме колко свързани стандарти се „придържат“ към нашия стандарт, с колко стандарта трябва да се запознаем (поне повърхностно). „Черешката“ на тортата беше липсата на текущи текстове на стандарти в публичното пространство - те трябваше да бъдат закупени от официалния уебсайт на ISO.

Погрешно схващане №3.
Бяхме уверени, че ще намерим всичко необходимо, за да се подготвим за сертифициране в отворени източници. Наистина имаше доста материали за ISO 27001 в интернет, но им липсваше конкретика. На практика нямаше лесни за разбиране инструкции стъпка по стъпка за подготовка за сертифициране, както и реални случаи на компании, които са въвели този стандарт.

Погрешно схващане №4.
Ще пишем полици, но няма да работят! Е, вярно е, нашата компания вече има твърде много правила, никой няма да спазва още 3 дузини нови политики. Реално, за щастие, нашите служители се заеха отговорно със задачата да усвоят новите правила и успешно преминаха тестове за познаване на документите на системата за управление на сигурността на информацията.

Погрешно схващане №5.
По това време не можехме ясно да преценим какви ползи бихме извлекли от нашите усилия. По това време броят на заявките за този сертификат не беше толкова голям и ние имахме нашия ключов и най-взискателен клиент много преди сертифицирането. Опитът показа, че се справихме без стандарт.

В един момент осъзнахме, че хаотично затваряме един или друг възникващ пропуск поради изискванията на клиента. Всеки път измисляхме нови политики или решения. И накрая независимо един от друг стигнахме до извода, че би било много по-лесно да систематизираме процеса, което дори ще ни спести много разходи за труд в бъдеще. Стандартът имаше за цел да опрости тази задача.

Сега, две години по-късно, виждаме нарастваща тенденция в броя на заявките и интереса към този въпрос от големи международни клиенти.

Окончателно решение.

В заключение бихме искали да кажем, че нашите лидери в индустрията получиха сертификат ISO/IEC 27001, което принуди всички други големи доставчици (включително и нас) да се замислят по този въпрос. Несъмнено красива линия в маркетинговите материали на компанията - на уебсайта, в социалните мрежи, в рекламни брошури и др. – може да се счита за приятен бонус, но струва ли си да харчите толкова много ресурси за него? Сами решихме, че за нас това е нещо повече от красива линия и се включихме в този проект.

Източник: www.habr.com