5 етапа на неизбежността при приемане на сертификация ISO/IEC 27001. Отричане

При вземането на всяко стратегически важно решение за компанията, служителите преминават през основен защитен механизъм, добре известен като 5 етапа на реакция на промяната (автор Е. Кублер-Рос). Известният психолог описва емоционалните реакции, отделяйки 5 основни етапа на емоционалната реакция: отказ, гняв, пазарлък, депресия и накрая, приемане. Подготвили сме цикъл от статии, посветени на сертификацията по ISO 27001, където ще разгледаме всеки от етапите. Днес ще ви разкажем за първия от тях – отказ.

Получаването на сертификата ISO 27001 „за галерията“ е доста съмнително удоволствие, тъй като изисква дълга и скъпа подготовка. Освен това, както показва статистиката, този стандарт е изключително непопулярен в Русия: към момента само 70 компании са преминали сертификация за съответствие. В същото време зад граница той е един от най-търсените стандарти, отговарящ на растящите бизнес изисквания в областта на информационната безопасност.

Нашата компания предлага пълен спектър от услуги по аутсорсинг на счетоводни функции: счетоводство и данъчно счетоводство, изчисляване на заплати и кадрово администриране. Заемаме едно от водещите места на пазара, особено защото чуждестранни компании, които имат подразделения в Русия, ни доверяват своята конфиденциална информация. Това засяга не само финансовите процеси на нашите клиенти, но и личните данни, с които работим ежедневно. Поради това въпросът за информационната безопасност е един от нашите приоритети.

Често бизнес-процесите на руските клонове се контролират и декларират от централните офисите на чуждестранни компании, което означава, че те трябва да отговарят на вътрешните общи стандарти на групата. В последно време някои от нашите ключови клиенти започнаха да преразглеждат политиките си за сигурност в посока затягане. Без съмнение, това е свързано с глобалните тенденции за увеличаване на кибератаките и загубите, свързани с инциденти на нарушение на информационната сигурност. В случай че е необходимо внедряване на средства за защита, политики и процедури, насочени към повишаване на информационната сигурност на компанията, може да се мине и без сертификация по ISO/IEC 27001, спестявайки по този начин много пари, време и нерви.

Днес в търговете на чуждестранни поръчители започнаха да се появяват изисквания към съществуващата информационна сигурност в компаниите. Някои, за да улеснят проверката и да унифицират подхода, поставят наличието на сертификация по ISO/IEC 27001 като задължителен критерий за оценка.

При нас беше така: един от ключовите ни международни клиенти, сертифициран по този стандарт, изглежда сериозно е усилил глобалния си екип по информационна сигурност. Как разбрахме за това? Те решиха да проведат одит на нашата система за управление на информационната сигурност, тъй като им предоставяме счетоводно обслужване и администриране на персонал – и следователно, защитата на нашите информационни системи е от критично значение за тях. Предишният одит се проведе преди 3 години – тогава всичко премина доста безболезнено.

На този път ни нападна дружен екип индийци, който ловко откри няколко десетки недостатъка в нашата система за управление на сигурността. Процесът на одит наподобяваше колело на Сансара – изглеждаше, че нямат цел да достигнат до някаква окончателна точка в проверката. Това беше безкраен ред от въпроси, коментари, нашите обяснения и доказателства за тяхната реалност, конференционни разговори и дълги философски дискусии в опити да разпознаем акцента на IT security team на клиента. Между другото, одитът продължава с различна степен на интензивност и до днешен ден – с времето ние вече се примирихме с това. Следователно, необходимостта от сертификация сама по себе си назрява.

Може би ще се справим и без ISO 9001?

Все повече и повече хора, които са запознати с въпросите за сертификация по какъвто и да е стандарт от ISO, разбират, че основата за всеки от тях е сертификатът ISO 9001 „Система за управление на качеството“. Това е, може би, най-популярният сертификат понастоящем от цялата линия стандарти ISO. Ние нямахме такъв – и решихме, че по-добре е да не го получаваме. Имаше няколко причини за това:

• съмнителна икономическа ефективност от наличието на този сертификат за компанията;
• нашите вътрешни процеси по-голямата част от времето вече бяха достатъчно близки до този стандарт;
• за получаването на този сертификат щеше да е необходимо допълнително време и средства.

Следователно, решихме веднага да внедрим ISO 27001, без да започваме с по-„лесния“ 9001.

А може би все пак не трябва?

Предваряйки събитията, многократно се връщахме на въпроса дали е целесъобразно да го получим. Започнахме да проучваме въпроса от всички страни, тъй като нямахме абсолютно никаква експертиза. И ето, заблужденията, които ни накараха да помислим отново върху този въпрос.

Заблуждение №1.
Надявахме се, че стандартът ще ни предостави подробен чек-лист, списък с политики и други учредителни документи. На практика обаче се оказа, че ISO/IEC 27001 е набор от изисквания за самата система за управление на информационната сигурност и изгражданите процеси. Въз основа на тях трябваше сами да решим какво да напишем / внедрим в нашата компания, за да отговорим на изискванията на стандарта.

Заблуждение №2.
Искрено вярвахме, че ще е достатъчно да изучим един документ и да го реализираме за сравнително кратки срокове сами. В реалността, четейки документа, осъзнахме колко много свързани стандарти „засегат“ нашия стандарт и с колко много стандарти трябва да се запознаем (поне повърхностно). „Вишенката“ на тортата беше отсъствието на актуални текстове на стандартите в отворен достъп – трябваше да ги закупим от официалния сайт на ISO.

Недоразумение №3.
Бяхме уверени, че ще намерим всичко необходимо за подготовката за сертификация в отворени източници. В интернет наистина имаше доста материали по ISO 27001, обаче имаше твърде малко конкретна информация. Почти липсваха лесно разбираеми стъпкови инструкции за подготовка за сертификация, както и реални случаи на компании, внедрили този стандарт.

Недоразумение №4.
Ще напишем политики, но те няма да работят! Наистина, в нашата компания вече има прекалено много правила, никой няма да спазва още 3 десетки нови политики. В реалността, за щастие, нашите служители се отнесоха с отговорност към задачата да усвоят новите правила и успешно преминаха теста за познания по документите на системата за управление на информационната сигурност.

Недоразумение №5.
Тогава не можехме ясно да оценим каква полза ще получим от нашите усилия. Веднага след като количеството на запитванията за наличието на този сертификат не беше толкова голямо, а ключовият и най-изискващ клиент се появи у нас много преди сертификацията. Опитът показа, че се справяхме и без стандарта.

В някакъв момент осъзнахме, че хаотично закриваме всяка възникнала празнина в отговор на клиентските изисквания. Всеки път измисляхме нови политики или решения. И накрая сами стигнахме до извода, че ще бъде много по-просто да систематизираме процеса, което впоследствие дори ще ни спести много трудови усилия. Стандартът беше предназначен да опрости тази задача.

Сега, две години по-късно, виждаме тенденция на увеличаване на запитванията и заинтересоваността по този въпрос от страна на най-големите международни клиенти.

Финално решение.

В заключение, хотим да кажем, че лидерите в нашата индустрия получиха сертификат ISO/IEC 27001, което накара всички останали големи доставчици (включително нас) да се замислят по този въпрос. Безспорно, красивият ред в маркетинговите материали на компанията – на сайта, в социалните мрежи, в рекламните брошури и т.н. – може да се смята за приятно допълнение, но струва ли си да се харчат толкова ресурси за него? За нас, това е повече от просто красив ред и се впуснахме в този проект.

Източник: habr.com