Die vierte Phase der emotionalen Reaktion auf Veränderungen ist die Depression. In diesem Artikel berichten wir über unsere Erfahrungen mit der langwierigen und unangenehmen Phase – den Änderungen der Geschäftsprozesse des Unternehmens, um deren Konformität mit dem ISO 27001-Standard zu erreichen.
Erwartungen
Die erste Frage, die wir uns nach der Auswahl der Zertifizierungsstelle und des Beraters gestellt haben, war – wie viel Zeit benötigen wir tatsächlich für alle notwendigen Änderungen?
Der ursprüngliche Arbeitsplan war so ausgelegt, dass wir es in 3 Monaten schaffen sollten.
Es schien einfach: Wir mussten ein paar Dutzend Richtlinien erstellen und unsere internen Prozesse leicht anpassen; dann sollten wir die Kollegen schulen und noch 3 Monate warten (um „Aufzeichnungen“ zu erhalten, also den Nachweis über die Funktionsweise der Richtlinien). Es schien, als wäre das alles – und das Zertifikat wäre in der Tasche.
Außerdem hatten wir nicht vor, die Richtlinien von Grund auf neu zu schreiben – schließlich hatten wir einen Berater, der uns – wie wir dachten – alle „richtigen“ Vorlagen zur Verfügung stellen sollte.
Infolge dieser Überlegungen haben wir für die Vorbereitung jeder Richtlinie 3 Tage eingeplant.
Technische Änderungen schienen ebenfalls nicht übermäßig kompliziert: Es war notwendig, den Prozess der Ereignisspeicherung und -aufzeichnung einzurichten, sicherzustellen, dass die Backups der von uns geschriebenen Richtlinie entsprechen, die SKUD-Büros gegebenenfalls nachzurüsten und einige weitere kleinere Anpassungen vorzunehmen.
Das Team, das alles Notwendige für die Zertifizierung vorbereitete, bestand aus zwei Personen. Wir hatten geplant, dass sie sich parallel zu ihren Hauptaufgaben mit der Implementierung beschäftigen würden, was maximal 1,5-2 Stunden pro Tag in Anspruch nehmen sollte.
Zusammenfassend kann man sagen, dass unsere Einschätzung des bevorstehenden Arbeitsumfangs ziemlich optimistisch war.
Realität
In Wirklichkeit sah alles jedoch ganz anders aus: Die von dem Berater bereitgestellten Richtlinienschablonen waren überwiegend für unser Unternehmen ungeeignet; es gab im Internet kaum verständliche Informationen darüber, was und wie zu tun war. Wie Sie sich vorstellen können, scheiterte der Plan, "eine Richtlinie in 3 Tagen zu schreiben", kläglich. So begannen wir praktisch von Anfang an, die Fristen nicht zu halten, und die Stimmung sank langsam.
Das Fachwissen des Teams war katastrophal unzureichend – so sehr, dass es nicht einmal ausreichte, um die richtigen Fragen an den Berater zu stellen (der, übrigens, auch nicht viel Initiative zeigte). Der Fortschritt verlangsamte sich weiter, da drei Monate nach Projektstart (also zu dem Zeitpunkt, an dem alles bereits bereit sein sollte) einer der beiden Hauptakteure das Team verließ. An seine Stelle trat ein neuer IT-Leiter, der in kurzer Zeit den Implementierungsprozess abschließen und das Informationssicherheitsmanagementsystem mit allem Technisch Notwendigen ausstatten sollte. Die Aufgabe schien komplex… Die Verantwortlichen fielen in eine Depression.
Zudem stellte sich auch die technische Seite als „herausfordernd“ heraus. Wir standen vor der Aufgabe einer umfangreichen Modernisierung der Software sowohl auf Arbeitsstationen als auch auf Serverhardware. Während der Einrichtung des Systems zur Ereignissammlung (Logs) stellte sich heraus, dass uns die Hardware-Ressourcen für den ordnungsgemäßen Betrieb des Systems fehlten. Auch die Backup-Software benötigte eine Modernisierung.
Spoiler: Am Ende wurde das ISMS innerhalb von 6 Monaten erfolgreich implementiert. Und es ist niemand gestorben!
Was hat sich am meisten verändert?
Zweifellos gab es im Zuge der Implementierung des Standards viele kleine Veränderungen in den Prozessen des Unternehmens. Für Sie haben wir die wichtigsten Änderungen hervorgehoben:
- Formalität des Risikobewertungsprozesses
Früher gab es im Unternehmen keine formalisierten Verfahren zur Risikobewertung – dies geschah nur nebenbei im Rahmen der allgemeinen strategischen Planung. Eine der wichtigsten Aufgaben, die im Zuge der Zertifizierung gelöst wurden, war die Einführung einer Unternehmenspolitik zur Risikobewertung, die alle Phasen dieses Prozesses sowie die Verantwortlichen für jeden Schritt beschreibt.
- Kontrolle über tragbare Informationsspeichermedien
Ein wesentliches Risiko für Unternehmen war die Verwendung unverschlüsselter USB-Sticks: praktisch jeder Mitarbeiter konnte beliebige verfügbare Informationen auf einen Stick speichern und diesen im schlimmsten Fall verlieren. Im Rahmen der Zertifizierung wurde an allen Arbeitsplätzen der Mitarbeiter die Möglichkeit deaktiviert, Informationen auf USB-Sticks herunterzuladen – das Speichern von Informationen ist nur über eine Anfrage an die IT-Abteilung möglich.
- Überwachung der Superuser
Ein zentrales Problem war, dass alle Mitarbeiter der IT-Abteilung uneingeschränkte Rechte in allen Systemen des Unternehmens hatten – sie hatten Zugriff auf alle Informationen. Dabei wurde ihr Vorgehen jedoch nicht ausreichend kontrolliert.
Wir haben ein System zur Verhütung von Datenverlust (DLP) implementiert – ein Programm zur Überwachung der Aktivitäten der Mitarbeiter, das gefährliche und unproduktive Tätigkeiten analysiert, blockiert und darüber informiert. Jetzt erhalten der Operative Direktor des Unternehmens Benachrichtigungen über die Aktivitäten der IT-Mitarbeiter per E-Mail.
- Ansatz zur Organisation der Informationsinfrastruktur
Die Zertifizierung erforderte globale Veränderungen und Ansätze. Ja, wir mussten eine Reihe von Server-Hardware modernisieren, um der erhöhten Last gerecht zu werden. Insbesondere haben wir einen separaten Server für die Ereignisdatensysteme bereitgestellt. Dieser Server wurde mit umfangreichen und schnellen SSD-Speichern ausgestattet. Wir haben auf Backup-Software verzichtet und uns für Speichersysteme entschieden, die "out of the box" alle notwendigen Funktionen bieten. Wir haben mehrere große Schritte in Richtung des Konzepts "Infrastructure as Code" unternommen, was es ermöglichte, viel Speicherplatz zu sparen, indem wir auf das Backup mehrerer Server verzichtet haben. Innerhalb kürzester Zeit (1 Woche) wurde die gesamte Software auf den Arbeitsstationen auf Win10 aktualisiert. Eine der Fragen, die durch die Modernisierung gelöst wurde, war die Möglichkeit, die Verschlüsselung (in der Pro-Version) zu aktivieren.
- Kontrolle über Papierdokumente
Das Unternehmen hatte erhebliche Risiken im Zusammenhang mit der Nutzung von Papierdokumenten: Diese konnten verloren gehen, an einem unzulässigen Ort liegen gelassen oder unsachgemäß vernichtet werden. Um dieses Risiko zu minimieren, haben wir alle Papierdokumente nach Vertraulichkeitsgrad gekennzeichnet und Verfahren zur Vernichtung verschiedener Dokumenttypen entwickelt. Jetzt weiß jeder Mitarbeiter, wenn er einen Ordner öffnet oder ein Dokument entnimmt, genau, in welche Kategorie diese Informationen fallen und wie damit umgegangen werden sollte.
- Miete eines Backup-Rechenzentrums
Früher wurde die gesamte Unternehmensinformation auf Servern gespeichert, die sich in einem externen sicheren Rechenzentrum befanden. Es gab jedoch keine Verfahren für den Fall von Notfällen in diesem Rechenzentrum. Die Lösung bestand darin, ein Backup-Cloud-Rechenzentrum zu mieten und die wichtigsten Informationen dorthin zu sichern. Jetzt werden die Unternehmensinformationen in zwei geografisch weit voneinander entfernten Rechenzentren gespeichert, was das Risiko eines Verlusts minimiert.
- Testen der Geschäftskontinuität
In unserem Unternehmen galt bereits seit mehreren Jahren eine Business Continuity Policy (BCP), die den Handlungsablauf der Mitarbeiter bei verschiedenen negativen Szenarien (Bürozugangsverlust, Epidemie, Stromausfall usw.) beschreibt. Allerdings haben wir nie einen Kontinuitätstest durchgeführt – das heißt, wir haben niemals gemessen, wie lange es dauern würde, das Geschäft in jeder dieser Situationen wiederherzustellen. Im Rahmen der Vorbereitung auf das Zertifizierungsaudit haben wir dies nicht nur getan, sondern auch einen Plan für den Kontinuitätstest für das nächste Jahr entwickelt. Es ist erwähnenswert, dass wir nach einem Jahr, als wir gezwungen waren, vollständig auf Remote-Arbeit umzustellen, diese Aufgabe innerhalb von drei Tagen bewältigt haben.
Wichtig zu beachten, dass alle Unternehmen, die sich auf die Zertifizierung vorbereiten, unterschiedliche Ausgangsbedingungen haben – daher könnten in Ihrem Fall ganz andere Änderungen erforderlich sein.
Reaktion der Mitarbeiter auf Veränderungen
So seltsam es auch erscheinen mag – hier haben wir Schlimmeres erwartet – es war nicht so schlecht. Man kann nicht sagen, dass die Kollegen die Nachricht von der Zertifizierung mit großem Enthusiasmus aufgenommen haben, aber Folgendes war klar:
- Alle Schlüsselmitarbeiter verstanden die Bedeutung und Notwendigkeit dieser Maßnahme;
- Alle anderen Mitarbeiter orientierten sich an den Schlüsselmitarbeitern.
Natürlich wurde uns durch die Besonderheit unserer Branche – die Auslagerung von Buchhaltungsfunktionen – sehr geholfen. Der überwiegende Teil unserer Mitarbeiter kommt hervorragend mit den ständigen Änderungen im russischen Recht zurecht. Daher war die Einführung einiger Dutzend neuer Vorschriften, die nun beachtet werden müssen, für sie nichts Außergewöhnliches.
Wir haben ein neues verpflichtendes Training zu ISO 27001 und Prüfungen für alle unsere Mitarbeiter vorbereitet. Alle haben brav die Aufkleber mit Passwörtern von ihren Monitoren entfernt und die mit Dokumenten überfüllten Schreibtische aufgeräumt. Es gab keine nennenswerten Beschwerden – insgesamt hatten wir großes Glück mit unseren Mitarbeitern.
So haben wir die schmerzhafteste Phase – die „Depression“ – im Zusammenhang mit den Änderungen unserer Geschäftsprozesse überwunden. Es war schwierig und herausfordernd, aber das Ergebnis übertraf letztendlich alle Erwartungen.
Lesen Sie die vorhergehenden Materialien aus der Reihe:
5 Phasen der Unvermeidlichkeit der Annahme der ISO/IEC 27001-Zertifizierung. Depression.
5 Phasen der Unvermeidlichkeit der Annahme der ISO/IEC 27001-Zertifizierung. Akzeptanz.
Quelle: habr.com
