La quarta fase della reazione emotiva ai cambiamenti è la depressione. In questo articolo parleremo della nostra esperienza nell'affrontare la fase più lunga e spiacevole: i cambiamenti nei processi aziendali mirati a raggiungere la conformità alla norma ISO 27001.
Aspettativa
La prima domanda che ci siamo posti dopo aver scelto l'organismo di certificazione e il consulente è stata: quanto tempo ci vorrà realmente per tutte le modifiche necessarie?
Il piano iniziale dei lavori era stato redatto in modo da dover completare tutto in 3 mesi.
Tutto sembrava semplice: dovevamo scrivere un paio di dozzine di politiche e modificare leggermente i nostri processi interni; poi formare i colleghi sui cambiamenti e aspettare altri 3 mesi (per avere delle "registrazioni", ovvero prove del funzionamento delle politiche). Sembrava che fosse tutto – e il certificato fosse già nostro.
Inoltre, non avevamo intenzione di scrivere le politiche da zero – avevamo un consulente che, come pensavamo, avrebbe dovuto fornirci tutti i modelli "giusti".
Di conseguenza, abbiamo pianificato di dedicare 3 giorni alla preparazione di ciascuna politica.
Le modifiche tecniche non sembravano così intimidatorie: era necessario configurare la raccolta e lo stoccaggio degli eventi, verificare che i backup fossero conformi alla politica che avevamo redatto, dotare di ulteriori attrezzature, dove necessario, le stanze di controllo e fare un po' di altre piccole cose.
Il team incaricato di preparare tutto il necessario per la certificazione era composto da due persone. Avevamo pianificato che si sarebbero occupati dell'implementazione parallelamente alle loro responsabilità principali, e ciascuno di loro avrebbe dedicato al massimo 1,5-2 ore al giorno.
In sintesi, si può dire che il nostro approccio riguardo al carico di lavoro previsto era piuttosto ottimistico.
Realtà
In realtà, le cose erano naturalmente molto diverse: i modelli di politiche forniti dal consulente si sono rivelati per la maggior parte inapplicabili alla nostra azienda; online c'era quasi nessuna informazione chiara su cosa e come fare. Come potete immaginare, il piano di "scrivere una politica in 3 giorni" è andato in frantumi. Così, abbiamo smesso di rispettare le scadenze praticamente dall'inizio del progetto, e il morale ha cominciato a calare lentamente.
L'esperienza del team era tragicamente insufficiente – tanto da non riuscire nemmeno a porre le domande giuste al consulente (che, tra l'altro, non mostrava molta iniziativa). Il processo si stava muovendo ancora più lentamente, poiché tre mesi dopo l'inizio dell'implementazione (ossia nel momento in cui tutto avrebbe dovuto essere già pronto), uno dei due membri chiave del team aveva lasciato. Un nuovo responsabile del servizio IT si era unito per terminare rapidamente il processo di implementazione e garantire che il sistema di gestione della sicurezza delle informazioni avesse tutto il necessario dal punto di vista tecnico. Il compito sembrava complesso… I responsabili cominciarono a cadere in depressione.
Inoltre, anche l'aspetto tecnico presentava "nuances". Ci trovammo di fronte alla necessità di una modernizzazione globale del software sia sui posti di lavoro che sull'hardware del server. Durante la configurazione del sistema per la raccolta degli eventi (log), scoprimmo che ci mancavano le risorse hardware per il normale funzionamento del sistema. Anche il software per il backup necessitava di una modernizzazione.
Spoiler: Alla fine, il SMIB è stato eroicamente implementato in 6 mesi. E nessuno è morto!
Cosa è cambiato di più?
Senza dubbio, nel processo di implementazione dello standard, ci sono state molte piccole modifiche nelle procedure aziendali. Per voi, abbiamo evidenziato i cambiamenti più significativi:
- Formalizzazione del processo di valutazione dei rischi
In precedenza, l'azienda non aveva alcuna procedura formale per la valutazione dei rischi – veniva effettuata solo incidentalmente nell'ambito della pianificazione strategica generale. Una delle questioni più importanti risolte nell'ambito della certificazione è stata l'implementazione della Politica di valutazione dei rischi aziendali, che descrive tutte le fasi di questo processo e i responsabili per ciascuna fase.
- Controllo sui supporti di memorizzazione rimovibili
Uno dei principali rischi per le aziende era l'uso di chiavette USB non criptate: in sostanza, qualsiasi dipendente poteva salvare qualsiasi informazione a lui accessibile su una chiavetta e, nella migliore delle ipotesi, perderla. Nell'ambito della certificazione, è stata disabilitata la possibilità di scaricare informazioni su chiavette USB su tutte le postazioni di lavoro, rendendo la registrazione delle informazioni possibile solo tramite richiesta al dipartimento IT.
- Controllo degli superutenti
Uno dei problemi principali era il fatto che tutti i dipendenti del dipartimento IT avevano diritti assoluti in tutti i sistemi aziendali e avevano accesso a tutte le informazioni. In questo modo, non erano effettivamente sottoposti a controllo.
Abbiamo implementato un sistema di Data Loss Prevention (DLP) – un programma per il monitoraggio delle azioni dei dipendenti, che si occupa di analizzare, bloccare e avvisare su attività pericolose e improduttive. Ora le notifiche sulle azioni dei dipendenti del dipartimento IT vengono inviate via email al Direttore Operativo dell'azienda.
- Approccio all'organizzazione dell'infrastruttura informatica
La certificazione ha richiesto cambiamenti e approcci globali. Sì, abbiamo dovuto aggiornare vari componenti hardware del server a causa dell'aumento del carico. In particolare, abbiamo dedicato un server ai sistemi di raccolta eventi. Il server è stato equipaggiato con dischi SSD ad alta capacità e velocità. Abbiamo abbandonato il software per i backup, scegliendo sistemi di storage che "out of the box" offrono tutte le funzionalità necessarie. Abbiamo fatto diversi passi significativi verso il concetto di "infrastruttura come codice", il che ha permesso di risparmiare molto spazio su disco, eliminando il backup di alcuni server. In tempi rapidi (1 settimana) tutto il software sui workstation è stato aggiornato a Win10. Uno dei problemi risolti dall'aggiornamento è stata la possibilità di attivare la crittografia (nella versione Pro).
- Controllo dei documenti cartacei
L'azienda si trovava ad affrontare rischi significativi legati all'uso di documenti cartacei: questi potevano andare persi, essere lasciati in luoghi inappropriati o distrutti in modo errato. Per minimizzare tali rischi, abbiamo etichettato tutti i documenti cartacei in base al loro livello di riservatezza e abbiamo sviluppato procedure per la distruzione dei vari tipi di documenti. Ora, quando un dipendente apre un fascicolo o prende un documento, sa esattamente a quale categoria appartiene questa informazione e come deve essere gestita.
- Affitto di un data center di riserva
In passato, tutte le informazioni dell'azienda erano archiviate su server ubicati in un data center protetto esterno. Tuttavia, non erano state previste procedure per situazioni di emergenza in quel data center. La soluzione è stata l'affitto di un data center cloud di riserva e il backup delle informazioni più importanti. Attualmente, le informazioni dell'azienda sono conservate in due data center geograficamente separati, riducendo così il rischio di perdita.
- Test del business continuity
Nella nostra azienda esisteva da diversi anni una Politica di Continuità Aziendale (BCP), che descriveva le procedure da seguire dai dipendenti in vari scenari sfavorevoli (perdita di accesso all'ufficio, epidemia, interruzione dell'elettricità, ecc.). Tuttavia, non avevamo mai effettuato test di continuità – non avevamo mai misurato quanto tempo ci volesse per ripristinare l'attività in ciascuna di queste situazioni. Nell'ambito della preparazione per la revisione di certificazione, non solo abbiamo fatto questo, ma abbiamo anche sviluppato un piano di test di continuità aziendale per il prossimo anno. Vale la pena notare che, un anno dopo, quando ci siamo trovati a dover passare completamente al lavoro da remoto, siamo riusciti a completare questa attività in tre giorni.
È importante notare, che tutte le aziende che si preparano per la certificazione hanno condizioni di partenza diverse – quindi nel vostro caso potrebbero essere necessari cambiamenti completamente diversi.
La reazione dei dipendenti ai cambiamenti
Stranamente – qui ci aspettavamo il peggio – non è andata così male. Non si può dire che i colleghi abbiano accolto la notizia della certificazione con grande entusiasmo, ma era chiaro il seguente punto:
- Tutti i membri chiave del personale comprendevano l'importanza e l'inevitabilità di questo evento;
- Tutti gli altri dipendenti prendevano esempio dai membri chiave del personale.
Certamente, ci ha molto aiutato la specificità del nostro settore: l'outsourcing delle funzioni contabili. La stragrande maggioranza dei nostri dipendenti riesce a gestire bene i continui cambiamenti nella legislazione russa. Pertanto, l'implementazione di una manciata di nuove regole da rispettare non è stata per loro qualcosa di eccezionale.
Abbiamo preparato un nuovo corso obbligatorio di formazione su ISO 27001 e un test per tutti i nostri dipendenti. Tutti hanno obbedientemente rimosso gli adesivi con le password dai loro monitor e hanno sistemato le scrivanie piene di documenti. Non sono stati notati segni di forte insoddisfazione – in generale, siamo stati molto fortunati con i nostri dipendenti.
In questo modo, abbiamo superato la fase più dolorosa – la "depressione" – legata ai cambiamenti nei nostri processi aziendali. È stata difficile e complessa, ma alla fine il risultato ha superato ogni aspettativa.
Leggi i materiali precedenti della serie:
5 fasi inevitabili per l'adozione della certificazione ISO/IEC 27001. Depressione.
5 fasi inevitabili per l'adozione della certificazione ISO/IEC 27001. Accettazione.
Fonte: habr.com
