Die vierte Phase der emotionalen Reaktion auf VerĂ€nderungen ist Depression. In diesem Artikel werden wir Ihnen von unseren Erfahrungen mit der lĂ€ngsten und unangenehmsten Phase berichten â den VerĂ€nderungen der GeschĂ€ftsprozesse des Unternehmens, um deren Ăbereinstimmung mit dem ISO 27001-Standard zu erreichen.
Erwartung
Die erste Frage, die wir uns nach der Auswahl der Zertifizierungsstelle und des Beraters stellten, war â wie viel Zeit wir tatsĂ€chlich fĂŒr alle notwendigen Ănderungen benötigen werden.
Der ursprĂŒngliche Arbeitsplan sah vor, dass wir alles in drei Monaten umsetzen mĂŒssten.
Alles schien einfach: Wir mussten ein paar Dutzend Richtlinien schreiben und unsere internen Prozesse leicht anpassen; dann die Kollegen in den Ănderungen schulen und noch drei Monate warten (bis âAufzeichnungenâ entstehen, also Beweise fĂŒr das Funktionieren der Richtlinien). Es schien, als wĂ€re das alles â und das Zertifikat wĂ€re in der Tasche.
AuĂerdem hatten wir nicht vor, die Richtlinien von Grund auf neu zu schreiben â schlieĂlich hatten wir einen Berater, der uns, so dachten wir, alle ârichtigenâ Vorlagen zur VerfĂŒgung stellen wĂŒrde.
Infolgedessen legten wir fĂŒr die Vorbereitung jeder Richtlinie drei Tage ein.
Technische Ănderungen schienen ebenfalls nicht abschreckend: Wir mussten die Sammlung und Speicherung von Ereignissen einrichten, ĂŒberprĂŒfen, ob die Backups der Richtlinie entsprachen, die wir geschrieben hatten, die BĂŒrorĂ€ume mit SKUD-GerĂ€ten (systematisches Kontroll- und Ăberwachungssystem) ausstatten und noch ein wenig anderen Kleinkram erledigen.
Das Team, das alles fĂŒr die Zertifizierung vorbereitete, bestand aus zwei Personen. Wir planten, dass sie die Implementierung parallel zu ihren Hauptaufgaben durchfĂŒhren wĂŒrden und dass dies jeweils maximal 1,5 bis 2 Stunden pro Tag in Anspruch nehmen wĂŒrde.
Zusammenfassend können wir sagen, dass unser Blick auf das bevorstehende Arbeitspensum ziemlich optimistisch war.
RealitÀt
In Wirklichkeit war natĂŒrlich alles anders: Die vom Berater bereitgestellten Richtlinienvorlagen waren gröĂtenteils nicht anwendbar auf unser Unternehmen; im Internet gab es fast keine verstĂ€ndlichen Informationen darĂŒber, was und wie man es machen sollte. Wie Sie verstehen, scheiterte der Plan âeine Richtlinie in drei Tagen zu schreibenâ klĂ€glich. So hörten wir praktisch von Anfang an an, die Fristen einzuhalten, und die Stimmung begann langsam zu sinken.
Die Expertise des Teams war katastrophal gering â so sehr, dass es nicht einmal ausreichte, um die richtigen Fragen an den Berater zu stellen (der, nebenbei bemerkt, nicht viel Eigeninitiative zeigte). Die Dinge schritten noch langsamer voran, da drei Monate nach dem Start der Implementierung (also zu einem Zeitpunkt, an dem alles bereits hĂ€tte bereit sein sollen) einer der beiden SchlĂŒsselakteure das Team verlieĂ. An seine Stelle trat ein neuer Leiter der IT-Abteilung, der in kurzer Zeit den Implementierungsprozess abschlieĂen und das Informationssicherheitsmanagementsystem mit allem Notwendigen aus technischer Sicht ausstatten sollte. Die Aufgabe erschien schwierig⊠Die Verantwortlichen begannen, in eine Depression zu verfallen.
Zudem stellte sich die technische Seite der Angelegenheit auch als anspruchsvoll heraus. Wir standen vor der Herausforderung einer umfassenden Modernisierung der Software sowohl auf den ArbeitsplĂ€tzen als auch auf der Serverhardware. Bei der Konfiguration des Systems zur Protokollierung von Ereignissen stellte sich heraus, dass uns die Hardware-Ressourcen fĂŒr das ordnungsgemĂ€Ăe Funktionieren des Systems fehlen. Auch die Software fĂŒr die Datensicherung benötigte eine Modernisierung.
Spoiler: Letztendlich wurde das ISMS heldenhaft innerhalb von 6 Monaten implementiert. Und es ist niemand gestorben!
Was hat sich am meisten verÀndert?
Zweifellos gab es im Rahmen der Implementierung des Standards eine Vielzahl kleiner Ănderungen in den Unternehmensprozessen. FĂŒr Sie haben wir die wesentlichsten Ănderungen herausgearbeitet:
- Formalisation des Risikobewertungsprozesses
FrĂŒher gab es im Unternehmen kein formalisiertes Verfahren zur Risikobewertung â dies geschah nur nebenbei im Rahmen der allgemeinen strategischen Planung. Eine der wichtigsten Aufgaben, die im Rahmen der Zertifizierung gelöst wurden, war die EinfĂŒhrung der Unternehmenspolitik zur Risikobewertung, die alle Phasen dieses Prozesses und die Verantwortlichen fĂŒr jeden einzelnen Schritt beschreibt.
- Kontrolle ĂŒber tragbare DatentrĂ€ger
Ein wesentliches Risiko fĂŒr das GeschĂ€ft war die Verwendung unverschlĂŒsselter USB-Flash-Laufwerke: Im Grunde konnte jeder Mitarbeiter beliebige Informationen auf einen USB-Stick kopieren und sie im besten Fall verlieren. Im Rahmen der Zertifizierung wurde an allen ArbeitsplĂ€tzen der Mitarbeiter die Möglichkeit, Informationen auf USB-Sticks herunterzuladen, deaktiviert â das Speichern von Informationen war nur ĂŒber eine Anfrage an die IT-Abteilung möglich.
- Kontrolle der Superuser
Eines der Hauptprobleme war, dass alle Mitarbeiter der IT-Abteilung absolute Rechte in allen Systemen des Unternehmens hatten â sie hatten Zugriff auf alle Informationen. Dabei wurde niemand richtig kontrolliert.
Wir haben ein System zur DatenverlustprĂ€vention (DLP) implementiert â ein Programm zur Ăberwachung der AktivitĂ€ten von Mitarbeitern, das Analysen, Blockierungen und Benachrichtigungen ĂŒber gefĂ€hrliche und unproduktive AktivitĂ€ten durchfĂŒhrt. Jetzt kommen die Benachrichtigungen ĂŒber die AktivitĂ€ten der IT-Mitarbeiter per E-Mail an den Operativen Direktor des Unternehmens.
- Ansatz zur Organisation der Informationsinfrastruktur
Die Zertifizierung erforderte umfassende VerĂ€nderungen und AnsĂ€tze. Ja, wir mussten eine Reihe von Serverhardware modernisieren aufgrund der steigenden Belastung. Insbesondere haben wir einen eigenen Server fĂŒr die Ereignissammelsysteme bereitgestellt. Der Server wurde mit umfangreichen und schnellen SSD-Speichern ausgestattet. Wir haben uns von Backup-Software verabschiedet und uns fĂŒr Speichersysteme entschieden, die âout of the boxâ ĂŒber alle erforderlichen Funktionen verfĂŒgen. Wir haben mehrere groĂe Schritte in Richtung des Konzepts âInfrastructure as Codeâ gemacht, was es uns ermöglichte, viel Speicherplatz zu sparen, da wir auf die Sicherung einer Reihe von Servern verzichteten. In kĂŒrzester Zeit (1 Woche) wurde alle Software auf den ArbeitsplĂ€tzen auf Win10 aktualisiert. Eines der Probleme, die die Modernisierung gelöst hat, ist die Möglichkeit, die VerschlĂŒsselung (in der Pro-Version) zu aktivieren.
- Kontrolle von Papierdokumenten
Das Unternehmen hatte erhebliche Risiken im Zusammenhang mit der Verwendung von Papierdokumenten: Sie konnten verloren gehen, an einem unangebracht Ort liegen gelassen oder falsch vernichtet werden. Um dieses Risiko zu minimieren, haben wir alle Papierdokumente nach Vertraulichkeitsgrad gekennzeichnet und ein Verfahren zur Vernichtung verschiedener Dokumenttypen entwickelt. Jetzt weià jeder Mitarbeiter, wenn er einen Ordner öffnet oder ein Dokument entnimmt, in welche Kategorie diese Informationen fallen und wie damit umzugehen ist.
- Miete eines Backup-Rechenzentrums
FrĂŒher wurden alle Unternehmensinformationen auf Servern in einem externen, geschĂŒtzten Rechenzentrum gespeichert. Es wurden jedoch keine Verfahren fĂŒr NotfĂ€lle in diesem Rechenzentrum vorgesehen. Die Lösung bestand darin, ein Backup-Cloud-Rechenzentrum zu mieten und dort die wichtigsten Informationen zu sichern. Jetzt werden die Unternehmensinformationen in zwei geografisch getrennten Rechenzentren gespeichert, was das Risiko eines Verlusts minimiert.
- Testen der GeschÀftskontinuitÀt
In unserem Unternehmen gab es bereits seit mehreren Jahren eine Richtlinie zur GeschĂ€ftskontinuitĂ€t (BCP), die das Vorgehen der Mitarbeiter bei verschiedenen negativen Szenarien (Zugang zum BĂŒro verloren, Epidemie, Stromausfall usw.) beschreibt. Wir haben jedoch nie Tests zur GeschĂ€ftskontinuitĂ€t durchgefĂŒhrt â das heiĂt, wir haben nie gemessen, wie lange die Wiederherstellung des GeschĂ€fts in jeder dieser Situationen dauern wĂŒrde. Im Rahmen der Vorbereitung auf das Zertifizierungsaudit haben wir nicht nur dies durchgefĂŒhrt, sondern auch einen Plan zum Testen der GeschĂ€ftskontinuitĂ€t fĂŒr das kommende Jahr entwickelt. Es sei erwĂ€hnt, dass wir ein Jahr spĂ€ter, als wir mit der Notwendigkeit eines vollstĂ€ndigen Ăbergangs zur Fernarbeit konfrontiert waren, diese Aufgabe innerhalb von drei Tagen bewĂ€ltigt haben.
Es ist wichtig zu beachten, dass alle Unternehmen, die sich auf die Zertifizierung vorbereiten, unterschiedliche Ausgangsbedingungen haben â daher könnten in Ihrem Fall völlig andere Ănderungen erforderlich sein.
Reaktion der Mitarbeiter auf VerÀnderungen
Seltsamerweise â hier hatten wir das Schlimmste erwartet â war es nicht so schlimm. Es kann nicht gesagt werden, dass die Kollegen die Nachricht von der Zertifizierung mit groĂer Begeisterung aufgenommen haben, aber eines war klar:
- Alle SchlĂŒsselmitarbeiter erkannten die Bedeutung und Unvermeidlichkeit dieser MaĂnahme;
- Alle anderen Mitarbeiter orientierten sich an den SchlĂŒsselmitarbeitern.
NatĂŒrlich hat uns die spezifische Natur unserer Branche â das Outsourcing von Buchhaltungsfunktionen â sehr geholfen. Der GroĂteil unserer Mitarbeiter kommt hervorragend mit den stĂ€ndigen Ănderungen der Gesetzgebung in der Russischen Föderation klar. Daher war die EinfĂŒhrung von einigen Dutzend neuen Vorschriften, die nun befolgt werden mĂŒssen, fĂŒr sie nichts Ungewöhnliches.
Wir haben ein neues verpflichtendes Training zu ISO 27001 und Tests fĂŒr alle unsere Mitarbeiter vorbereitet. Alle haben sich brav die Aufkleber mit Passwörtern von ihren Monitoren entfernt und ihre mit Dokumenten vollgestopften Tische aufgerĂ€umt. Es gab kein lautes Unmut â insgesamt hatten wir sehr viel GlĂŒck mit den Mitarbeitern.
So haben wir die schmerzhafteste Phase â die âDepressionâ â in Zusammenhang mit den VerĂ€nderungen unserer GeschĂ€ftsprozesse hinter uns gebracht. Es war schwer und kompliziert, aber das Ergebnis hat schlussendlich alle kĂŒhnsten Erwartungen ĂŒbertroffen.
Lesen Sie die vorherigen Materialien aus der Reihe:
5 Phasen der Unvermeidlichkeit der Akzeptanz der ISO/IEC 27001-Zertifizierung. Depression.
5 Phasen der Unvermeidlichkeit der Akzeptanz der ISO/IEC 27001-Zertifizierung. Akzeptanz.
Quelle: habr.com
