ISO/IEC 27001 sertifitseerimise vastuvõtmise 5 etappi. Depressioon

Emotsionaalsete reaktsioonide neljas etapp muutustele on depressioon. Selles artiklis jagame oma kogemust selle pikima ja ebameeldivaima etapi läbimisel - ettevõtte äriprotsesside muutmine, et need vastaksid ISO 27001 standardile.

Ootus

Esimene küsimus, mille esitasime pärast sertifitseerimise organi ja konsultandi valimist, oli: kui kaua me tegelikult vajame kõigi vajalikud muudatuste tegemiseks?

Algne tööplaan oli koostatud nii, et pidime mahtuma 3 kuu sisse.

Kõik nägi välja lihtne: tuli kirjutada paar tosinat poliitikat ja veidi muuta meie sisemist protsessi; seejärel koolitada kolleege muudatustega ja oodata veel 3 kuud (et saada «kirjeid», st tõendeid poliitikate toimimisest). Näis, et sellega on kõik - ja sertifikaat on meie käes.

Lisaks ei kavatse me poliitikaid nullist kirjutada - meil oli konsultant, kes pidi, nagu me arvasime, meile edastama kõik «õiged» mallid.

Nende järelduste tulemusena planeerisime iga poliitika ettevalmistamiseks 3 päeva.

Tehnilised muudatused ei olnud samuti hirmuäratavad: tuli seadistada sündmuste kogumine ja salvestamine, kontrollida, kas varukoopiad vastavad kirjutatud poliitikale, täiendada, kus vaja, SKUD'i ruume ja veel mõned pisiasjad.
Sertifitseerimiseks vajalikke ettevalmistusi tegi kaks inimest. Planeerisime, et nad tegelevad rakendamisega paralleelselt oma põhikohustustega ning igal neist kulub sellele maksimaalselt 1,5-2 tundi päevas.
Kokkuvõttes võib öelda, et meie hinnang tulevikus tehtava töö mahule oli üsna optimistlik.

Reaalsus

Tegelikult oli kõik loomulikult teisiti: konsultandi pakutud poliitikamallid osutusid peamiselt meie ettevõttele mittesobivateks; Internetis oli peaaegu mitte mingit arusaadavat teavet selle kohta, mida ja kuidas teha. Nagu mõistate, plaan «kirjutada üks poliitika 3 päevaga» kukkus suurelt läbi. Nii lõpetasime jooksul tähtaegadest kinni pidamise juba projekti alguses, ning meeleolu hakkas aeglaselt langema.

Meeskonna ekspertide kogemus oli katastroofiliselt väike - nii väike, et sellest ei piisanud isegi õigete küsimuste esitamiseks konsultandile (kes, muide, ei näidanud suurt initsiatiivi). Asjad liikusid veelgi aeglasemalt, kuna kolm kuud pärast juurutamise algust (st sel hetkel, kui kõik pidi olema juba valmis), lahkus meeskonnast üks kahest võtmeosalisest. Tema kohale tuli uus IT-juht, kellele määrati lühikese aja jooksul lõpetada juurutamisprotsess ja tagada teabehalduskorralduse süsteem kõige vajalikuga tehniliselt. Ülesanne tundus keeruline... Vastutavad hakkasid langema depressiooni.

Lisaks ilmnes, et tehniline külg on samuti 'noppeid' täis. Seisime silmitsi ülesandega kogu tarkvara globaalse moderniseerimisega nii tööjaamades kui ka serveriseadmetes. Süsteemi logide kogumise seadistamise käigus selgus, et meil puudusid riistvara ressursid süsteemi normaalseks toimimiseks. Kuidas ka varukoopia tarkvara ei olnud samuti moderniseerimist vajav.

Spoiler: Lõpuks juurutati MIS (haldusinfoturve) kangelaslikult kuue kuuga. Ja keegi ei surnud!

Mis muutus kõige enam?

Ilmselt toimus ettevõtte protsessides standardi juurutamise käigus palju väikeseid muutusi. Me oleme koostanud teie jaoks olulisemad muudatused:

• Riskide hindamise protsessi formaliseerimine

Varem ei olnud ettevõttes mingit formaliseeritud riskide hindamise protseduuri - seda tehti ainult üldise strateegilise planeerimise raames. Üheks tähtsaimaks ülesandeks, mis sertifitseerimise käigus lahendati, oli ettevõtte riskide hindamise poliitika juurutamine, mis kirjeldab kõiki selle protsessi etappe ja vastutavaid isikuid iga etapi eest.

• Kontroll teabe eemaldatavate mäluseadmete üle

Üheks oluliseks riskiks ettevõtluses oli krüpteerimata USB-mälupulkade kasutamine: põhimõtteliselt võis iga töötaja salvestada mistahes talle ligipääsetava teabe mälupulgale ja parimal juhul kaotada selle. Sertifitseerimise käigus keelati kõikidel töötajate tööjaamadelt teabe allalaadimine mälupulkadele - teabe salvestamine sai võimalikuks ainult IT-osakonna taotluse kaudu.

• Kontroll superkasutajate üle

Üks peamisi probleeme oli see, et kõik IT-osakonna töötajad omasid kõigis ettevõtte süsteemides absoluutset õigust – nad pääsesid ligi kogu teabele. Samuti ei olnud nende tegevust keegi tõeliselt kontrollinud.

Oleme juurutanud andmekao ennetamise süsteemi (DLP) – programmi töötajate tegevuse jälgimiseks, mis analüüsib, blokeerib ja teavitab ohtlikest ning ebaefektiivsetest tegevustest. Nüüd saadetakse IT-osakonna töötajate tegevuste teavitused ettevõtte operatiivdirektorile e-postiga.

• Lähenemine infotehnoloogia infrastruktuuri korraldamisele

Sertifitseerimine nõudis globaalseid muudatusi ja lähenemisviise. Jah, pidime uuendama mitmeid serveriseadmeid, kuna koormus suurenes. Eelkõige eraldasime eraldi server sündmuste kogumise süsteemide jaoks. Server varustati suure mahutavuse ja kiirete SSD-dega. Lõpetasime varundustarkvara kasutamise ja valisime andmesalvestussüsteemid, mis „karbist välja“ pakuvad kogu vajalikku funktsionaalsust. Teeme mitmeid suuri samme „infrastruktuur kui kood“ kontseptsiooni suunas, mis võimaldas säästa palju kettaruumi, loobudes mitmete serverite varundamisest. Kõik tööjaamakute tarkvara uuendati lühikese aja jooksul (1 nädal) Windows 10-le. Üks küsimusi, mille uuendus lahendas, oli võimalus aktiveerida krüpteerimine (Pro versioonis).

• Kontroll paberite üle

Ettevõttel olid olulised riskid, mis olid seotud paberidokumentide kasutamisega: need võisid kaduda, jääda vale kohta või vääralt hävitada. Selle riski vähendamiseks märgistame kõik paberidokumendid vastavalt konfidentsiaalsuse astmele ja töötame välja erinevate dokumentide hävitamise korra. Nüüd, kui töötaja avab kausta või võtab dokumendi, teab ta täpselt, millisesse kategooriasse see teave kuulub ja kuidas sellega tuleks käituda.

• Broneeri varukoopia andmekeskus

Varem kogu ettevõtte teave salvestati serverites, mis asusid kolmandate osapoolte kaitstud andmekeskustes. Kuid hädaolukordade korral ei olnud selle andmekeskuse jaoks protseduure ette nähtud. Lahenduseks sai varude rentimine pilveandmekeskusest ning kõige olulisema teabe varundamine sinna. Praegu hoitakse ettevõtte teavet kahes geograafiliselt eraldatud andmekeskuses, mis vähendab oluliselt selle kaotamise riski.

• Äritegevuse järjepidevuse testimine

Meie ettevõttes on juba mitu aastat kehtinud ärimeetodite järjepidevuse poliitika (BCP), mis kirjeldab töötajate tegevusprotseduure erinevates negatiivsetes stsenaariumides ( toimetulek kontoriga, epideemia, elektri katkestamine jne). Siiski ei ole me kunagi järjepidevuse testimist läbi viinud – me ei ole kunagi mõõtnud, kui palju aega läheb äritegevuse taastamiseks igas neist olukordadest. Sertifitseerimisaudiidiks ettevalmistamise käigus mitte ainult ei viidud teha, vaid ka arendati välja ärimeetodite järjepidevuse testimise plaan järgnevaks aastaks. Oluline on märkida, et aasta pärast, kui me seisime silmitsi täieliku ülemineku vajadusega kaug- töörežiimile, suudame selle ülesande kolme päevaga täita.

Oluline on märkida, et kõikide sertifitseerimisele valmistuvate ettevõtete algtingimused on erinevad - seega võivad teie puhul olla vajalikud hoopis teistsugused muudatused.

Töötajate reaktsioon muudatustele

Kummalisel kombel - siin ootasime halvimaid tulemusi - ei olnud asi üldse nii halb. Ei saa öelda, et kolleegid oleksid sertifitseerimise uudist suurte entusiastidega vastu võtnud, kuid selge oli järgmine:

• Kõik võtme töötajad mõistsid selle tegevuse tähtsust ja vältimatust;
• Kõik teised töötajad võtsid eeskuju võtme töötajatest.

Loomulikult aitas meie valdkonna spetsiifika - raamatupidamisfunktsioonide väljaandmine. Enamik meie töötajatest tegeleb suurepäraselt pidevate muutustega Venemaa seadusandluses. Seetõttu ei olnud paarikümne uue reegli rakendamine millegi erilisena.

Oleme valmistanud uue kohustusliku ISO 27001 koolituse ja testimise kõigile meie töötajatele. Kõik eemaldavad sõnumid oma monitoridelt ja koristavad dokumentidega kaetud laudu. Ühtegi valju rahulolematust ei ole nähtud - kokkuvõttes oleme töötajatega väga vedanud.

Nii oleme läbinud kõige valusama etapi - «depressiooni» - seoses meie äriprotsesside muutustega. See oli raske ja keeruline, kuid tulemus ületas lõpuks kõik julgemaid ootusi.

Lugege eelnevaid materjale tsüklist:

5 etappi ISO/IEC 27001 sertifitseerimise vastuvõtmiseni. Eitamiserinevused ISO 27001:2013 sertifitseerimise ja sertifikaadi saamise otstarbekuse kohta.

5 etappi ISO/IEC 27001 sertifitseerimise vastuvõtmiseni. Viha: Kust alustada? Algandmed. Kulud. Teenusepakkuja valik.

5 etappi ISO/IEC 27001 sertifitseerimise vastuvõtmiseni. Kaubelda: rakendamise plaani koostamine, riskide hindamine, poliitikate kirjutamine.

5 etappi ISO/IEC 27001 sertifitseerimise vastuvõtmiseni. Depressioon.

5 etappi ISO/IEC 27001 sertifitseerimise vastuvõtmiseni. Vastuvõtmine.

Allikas: habr.com