La quarta fase della risposta emotiva ai cambiamenti è la depressione. In questo articolo vi parleremo della nostra esperienza nel superare la fase più lunga e scomoda: i cambiamenti nei processi aziendali per raggiungere la loro conformità allo standard ISO 27001.
Attesa
La prima domanda che ci siamo posti dopo aver scelto l'organismo di certificazione e il consulente è stata: quanto tempo avremo realmente bisogno per tutti i cambiamenti necessari?
Il piano di lavoro iniziale prevedeva che dovessimo completare il tutto entro 3 mesi.
Tutto sembrava semplice: era necessario scrivere una ventina di politiche e apportare qualche cambiamento ai nostri processi interni; quindi, formare i colleghi sulle novità e aspettare ancora 3 mesi (affinché ci fossero 'registrazioni', ovvero prove del funzionamento delle politiche). Sembrava che tutto finisse lì – e il certificato sarebbe stato nostro.
Inoltre, non avevamo intenzione di scrivere le politiche da zero – avevamo un consulente che, come pensavamo, doveva fornirci tutti i 'giusti' modelli.
A seguito di queste considerazioni, abbiamo previsto 3 giorni di preparazione per ogni politica.
Le modifiche tecniche non sembravano nemmeno spaventose: era necessario configurare la raccolta e la conservazione degli eventi, verificare se i backup fossero in linea con le politiche che avevamo scritto, attrezzare, dove necessario, le stanze con il sistema SKUD e un po' di altro materiale vario.
Il team incaricato di preparare tutto il necessario per la certificazione era composto da due persone. Avevamo pianificato che si sarebbero occupati dell'implementazione parallelamente alle loro principali responsabilità, e che ciascuno di loro avrebbe impiegato al massimo 1,5-2 ore al giorno.
In sintesi, si può dire che la nostra percezione del carico di lavoro futuro era piuttosto ottimistica.
Realtà
In realtà, naturalmente, le cose erano molto diverse: i modelli di politica forniti dal consulente si sono rivelati per lo più inapplicabili alla nostra azienda; su Internet c'era quasi nessuna informazione chiara riguardo a cosa e come dovesse essere fatto. Come potrete capire, il piano di 'scrivere una politica in 3 giorni' è fallito miseramente. Così, siamo cominciati a sforare i tempi praticamente fin dall'inizio del progetto, e il tono dell'umore ha cominciato a calare lentamente.
Il team aveva un numero catastroficamente ridotto di esperti, tanto che mancava persino la capacità di porre le giuste domande al consulente (che, a dire il vero, non mostrava molto spirito d'iniziativa). La situazione è diventata ancora più stagnante, poiché tre mesi dopo l'inizio dell'implementazione (cioè nel momento in cui tutto doveva già essere pronto), uno dei due partecipanti chiave ha lasciato il team. Un nuovo responsabile del servizio IT è subentrato, il quale doveva completare rapidamente il processo di implementazione e fornire al sistema di gestione della sicurezza delle informazioni tutto il necessario dal punto di vista tecnico. Il compito sembrava complesso… I responsabili hanno cominciato a cadere in depressione.
Inoltre, anche l'aspetto tecnico della questione si è rivelato pieno di 'sfide'. Ci siamo trovati davanti alla necessità di una modernizzazione globale del software sia per le postazioni di lavoro che per le attrezzature server. Durante la configurazione del sistema per la raccolta degli eventi (log), si è scoperto che ci mancavano risorse hardware per il corretto funzionamento del sistema. Anche il software per il backup necessitava di una modernizzazione.
Spoiler: Alla fine, il sistema di gestione delle informazioni di sicurezza è stato eroicamente implementato in sei mesi. E nessuno è morto!
Cosa è cambiato di più?
Certamente, durante l'implementazione dello standard nei processi aziendali si sono verificati un gran numero di piccoli cambiamenti. Abbiamo evidenziato per voi i cambiamenti più significativi:
- Formalizzazione del processo di valutazione dei rischi
In precedenza, l'azienda non aveva alcuna procedura formalizzata per la valutazione dei rischi: questo avveniva solo incidentalmente nell'ambito della pianificazione strategica generale. Una delle sfide più importanti affrontate durante la certificazione è stata l'implementazione della Politica di valutazione dei rischi aziendali, che descrive tutte le fasi di questo processo e i responsabili per ciascuna fase.
- Controllo sui supporti rimovibili di informazioni
Uno dei rischi significativi per l'azienda era l'uso di pen drive USB non criptati: essenzialmente, qualsiasi dipendente poteva salvare qualsiasi informazione a lui accessibile su una pen drive e, nella migliore delle ipotesi, perderla. Nell'ambito della certificazione, su tutte le postazioni di lavoro è stata disabilitata la possibilità di scaricare qualsiasi informazione su pen drive: la registrazione delle informazioni è diventata possibile solo attraverso una richiesta al dipartimento IT.
- Controllo degli super utenti
Uno dei principali problemi era il fatto che tutti i membri del reparto IT avevano diritti assoluti su tutti i sistemi aziendali, con accesso a tutte le informazioni. Nessuno però li controllava adeguatamente.
Abbiamo implementato un sistema di Data Loss Prevention (DLP) – un programma per il monitoraggio delle attività dei dipendenti, che si occupa di analizzare, bloccare e inviare avvisi su attività pericolose e improduttive. Ora, gli avvisi sulle azioni dei dipendenti del dipartimento IT vengono inviati all'email del Direttore Operativo dell'azienda.
- Approccio all'organizzazione dell'infrastruttura informatica
La certificazione ha richiesto cambiamenti e approcci globali. Sì, abbiamo dovuto modernizzare un certo numero di server a causa dell'aumento del carico. In particolare, abbiamo dedicato un server separato ai sistemi di raccolta degli eventi. Il server è stato dotato di unità SSD capienti e veloci. Abbiamo abbandonato il software di backup a favore di sistemi di archiviazione che "fuori dalla scatola" hanno tutte le funzionalità necessarie. Abbiamo fatto alcuni grandi passi verso il concetto di "infrastruttura come codice", il che ha permesso di risparmiare molto spazio su disco, rinunciando al backup di una serie di server. In tempi brevi (1 settimana) è stato aggiornato tutto il software sui posti di lavoro a Win10. Una delle questioni che ha risolto la modernizzazione è stata la possibilità di attivare la crittografia (nella versione Pro).
- Controllo dei documenti cartacei
L'azienda aveva rischi significativi legati all'uso di documenti cartacei: potevano essere persi, lasciati in un luogo sbagliato o distrutti in modo errato. Per ridurre questo rischio, abbiamo contrassegnato tutti i documenti cartacei in base al grado di riservatezza e abbiamo sviluppato una procedura per la distruzione di diversi tipi di documenti. Ora, quando un dipendente apre una cartella o prende un documento, sa esattamente a quale categoria appartiene questa informazione e come deve trattarla.
- Noleggio di un centro dati di riserva
In passato, tutte le informazioni aziendali erano memorizzate su server situati in un data center esterno protetto. Tuttavia, non erano state previste procedure per situazioni di emergenza in questo data center. La soluzione è stata l'affitto di un data center cloud di riserva e il backup delle informazioni più importanti lì. Attualmente, le informazioni aziendali sono memorizzate in due data center geograficamente distanti, il che consente di minimizzare il rischio di perdita.
- Test di continuità aziendale
Nella nostra azienda era già in vigore da diversi anni la Politica di Continuità Aziendale (BCP), che descriveva le procedure da seguire dai dipendenti in vari scenari negativi (perdita di accesso all'ufficio, epidemia, interruzione dell'elettricità e così via). Tuttavia, non avevamo mai effettuato test di continuità, cioè non avevamo mai misurato quanto tempo sarebbe servito per ripristinare l'attività in ciascuna di queste situazioni. Nell'ambito della preparazione per l'audit di certificazione, non solo lo abbiamo fatto, ma abbiamo anche sviluppato un piano di test di continuità aziendale per il prossimo anno. Vale la pena notare che, dopo un anno, quando ci siamo trovati di fronte alla necessità di fare un passaggio completo al lavoro da remoto, siamo riusciti in questa impresa in tre giorni.
È importante notare, che tutte le aziende che si preparano alla certificazione hanno condizioni iniziali diverse; pertanto, nel vostro caso, potrebbero essere necessarie modifiche completamente diverse.
Reazione dei dipendenti alle cambiamenti
Stranamente, qui ci aspettavamo di peggio, e invece non è andata così male. Non si può dire che i colleghi abbiano ricevuto la notizia della certificazione con grande entusiasmo, ma era chiaro il seguente punto:
- Tutti i dipendenti chiave comprendevano l'importanza e l'inevitabilità di questo evento;
- Tutti gli altri dipendenti seguivano l'esempio dei dipendenti chiave.
Naturalmente, la specificità del nostro settore – l'outsourcing delle funzioni contabili – ci ha veramente aiutati. La stragrande maggioranza dei nostri dipendenti gestisce molto bene i costanti cambiamenti nella legislazione russa. Di conseguenza, l'implementazione di alcune decine di nuove regole da rispettare non è stata per loro qualcosa di eccezionale.
Abbiamo preparato un nuovo corso di formazione obbligatorio su ISO 27001 e test per tutti i nostri dipendenti. Tutti hanno prontamente rimosso dagli schermi gli adesivi con le password e hanno sistemato le scrivanie piene di documenti. Non è stata notata alcuna lamentela forte – in generale, siamo stati molto fortunati con i dipendenti.
Così facendo, abbiamo superato la fase più dolorosa – la "depressione" – legata ai cambiamenti nei nostri processi aziendali. È stato difficile e complicato, ma il risultato alla fine ha superato tutte le aspettative più audaci.
Leggi i materiali precedenti del ciclo:
5 fasi dell'inevitabilità dell'accettazione della certificazione ISO/IEC 27001. Depressione.
5 fasi dell'inevitabilità dell'accettazione della certificazione ISO/IEC 27001. Accettazione.
Fonte: habr.com
