In caso di adozione di qualsiasi decisione strategica importante per l'azienda, i dipendenti attraversano un meccanismo di difesa di base, ben noto come le 5 fasi di reazione al cambiamento (autore E. Kübler-Ross). Una psicologa di spicco ha descritto le reazioni emotive, evidenziando 5 fasi chiave della reazione emotiva: negazione, rabbia, contrattazione, depressione e, infine, accettazione. Abbiamo preparato un ciclo di articoli dedicati alla certificazione ISO 27001, in cui esamineremo ciascuna di queste fasi. Oggi parleremo della prima di esse – negazione.
Ottenere il certificato ISO 27001 "per fare bella figura" è un piacere piuttosto discutibile, poiché richiede una preparazione lunga e costosa. Inoltre, come dimostra , questo standard è estremamente impopolare nel territorio della Federazione Russa: ad oggi, solo 70 aziende hanno ottenuto la certificazione di conformità. All'estero, invece, è uno degli standard più richiesti, rispondente alle crescenti esigenze del business in materia di sicurezza informatica.
La nostra azienda offre un'ampia gamma di servizi di esternalizzazione delle funzioni contabili: contabilità fiscale e gestionale, calcolo delle retribuzioni e amministrazione del personale. Siamo tra i leader di mercato, in particolare perché aziende straniere con filiali in Russia si fidano a noi delle proprie informazioni riservate. Questo riguarda non solo i processi finanziari dei nostri clienti, ma anche i dati personali con cui lavoriamo quotidianamente. Pertanto, la questione della sicurezza delle informazioni è una delle nostre priorità.
Spesso tutti i processi aziendali delle filiali russe sono controllati e dichiarati dagli uffici centrali delle aziende straniere, pertanto devono essere conformi agli standard interni di gruppo. Negli ultimi tempi, alcuni dei nostri clienti chiave hanno iniziato a rivedere le proprie politiche di sicurezza nella direzione di un inasprimento. Questo è chiaramente correlato alle tendenze globali di crescita del numero di attacchi informatici e delle perdite associate agli incidenti di violazione della sicurezza delle informazioni. In caso di necessità di implementare misure di protezione, politiche e procedure destinate a migliorare la sicurezza informatica dell'azienda, è possibile fare a meno della certificazione ISO/IEC 27001, risparmiando così una considerevole quantità di denaro, tempo e nervi.
Oggi, nelle gare d'appalto di clienti stranieri, iniziano a comparire requisiti riguardanti la sicurezza informatica esistente nell'azienda. Alcuni, per semplificarsi i controlli e uniformare l'approccio, pongono come criterio di valutazione obbligatorio la presenza della certificazione ISO/IEC 27001.
È successo così: uno dei nostri clienti internazionali chiave, certificato secondo questo standard, ha apparentemente rafforzato significativamente il proprio team globale di sicurezza delle informazioni. Come lo abbiamo scoperto? Hanno deciso di condurre un audit del nostro sistema di gestione della sicurezza delle informazioni, dato che forniamo loro servizi di contabilità e amministrazione del personale – e, di conseguenza, la protezione dei nostri sistemi informativi è criticamente importante per loro. Il precedente audit era avvenuto 3 anni fa – in quel caso, tutto era andato abbastanza bene.
In questa occasione, un affiatato gruppo di indiani ci ha attaccato, scoprendo abilmente diverse decine di difetti nel nostro sistema di gestione della sicurezza. Il processo di audit assomigliava a una ruota di Samsara: sembrava che non avessero in realtà l'obiettivo di arrivare a un punto finale nella verifica. Era un'infinita sequenza di domande, osservazioni, nostri commenti e prove della loro validità, conferenze telefoniche e lunghe discussioni filosofiche nel tentativo di riconoscere l'accento del team di sicurezza IT del cliente. A proposito, l'audit continua, con varie intensità, anche oggi: col tempo ci siamo rassegnati a questo. Dunque, la necessità di una certificazione si è fatta sentire da sola.
Magari possiamo fare a meno della ISO 9001?
Tutti coloro che hanno una certa padronanza della questione delle certificazioni secondo uno qualsiasi degli standard ISO capiscono che la base per ciascuno di essi è il certificato ISO 9001 "Sistema di gestione della qualità". Questo è, probabilmente, il certificato più popolare al momento tra tutta la serie di standard ISO. Noi non lo avevamo e abbiamo deciso di non ottenerlo. Ci sono state diverse ragioni per questo:
- l'efficacia economica dubbiosa della presenza di questo certificato in azienda;
- i nostri processi interni erano già per la maggior parte vicini a questo standard;
- l'ottenimento di questo certificato richiederebbe tempo e denaro aggiuntivi.
Pertanto, abbiamo deciso di implementare direttamente la ISO 27001, senza iniziare dalla più "semplice" 9001.
E se invece non fosse necessario?
Saltando in avanti, ci siamo tornati più volte alla questione se fosse opportuno ottenerlo. Abbiamo iniziato a studiare la questione da ogni angolazione, poiché non avevamo assolutamente alcuna competenza. Ed ecco i fraintendimenti che ci hanno spinti a riflettere ulteriormente su questo tema.
Fraintendimento n. 1.
Ci aspettavamo che lo standard ci fornisse un elenco dettagliato di controlli, politiche e altri documenti statutari. In realtà, si è rivelato che l'ISO/IEC 27001 è un insieme di requisiti per il sistema di gestione della sicurezza delle informazioni e il processo che ne deriva. Sulla base di questi, era necessario decidere autonomamente cosa scrivere/implementare nella nostra azienda per conformarsi ai requisiti dello standard.
Fraintendimento n. 2.
Credevamo sinceramente che sarebbe stato sufficiente studiare un documentario e implementarlo in tempi relativamente brevi da soli. In realtà, leggendo il documento, ci siamo resi conto di quanti standard correlati il nostro standard si colleghi e con quanti standard fosse necessario familiarizzare (almeno in modo superficiale). La "ciliegina sulla torta" è stata l'assenza di testi aggiornati degli standard disponibili pubblicamente: dovevamo acquistarli sul sito ufficiale dell'ISO.
Falso numero 3.
Eravamo certi di trovare tutto il necessario per prepararci alla certificazione in fonti aperte. In effetti, c'erano davvero molti materiali riguardanti l'ISO 27001 su Internet, tuttavia mancavano abbastanza dettagli. Praticamente non c'erano istruzioni passo-passo comprensibili per la preparazione alla certificazione, né casi reali di aziende che avevano implementato questo standard.
Falso numero 4.
Scriveremo delle politiche, ma non funzioneranno! Davvero, nella nostra azienda ci sono già troppe regole, nessuno rispetterà altre 3 dozzine di nuove politiche. In realtà, per fortuna, i nostri collaboratori hanno affrontato con responsabilità il compito di apprendere nuove regole e hanno superato con successo il test di conoscenza dei documenti del sistema di gestione della sicurezza delle informazioni.
Falso numero 5.
A quel tempo non riuscivamo a valutare chiaramente quali benefici avremmo ottenuto dai nostri sforzi. All'epoca, il numero di richieste per questo certificato non era così elevato, mentre il cliente chiave e più esigente era comparso da molto prima della certificazione. L'esperienza mostrava che riuscivamo a gestire anche senza lo standard.
A un certo punto ci siamo resi conto che stavamo chiudendo in modo caotico le varie lacune in base alle esigenze dei clienti. Ogni volta inventavamo nuove politiche o soluzioni. Alla fine siamo arrivati autonomamente alla conclusione che sarebbe stato molto più semplice sistematizzare il processo, il che ci avrebbe anche fatto risparmiare un grande numero di sforzi. Lo standard era stato creato per semplificare questo compito.
Ora, dopo due anni, vediamo una tendenza crescente nel numero di richieste e nell'interesse per questa questione da parte dei più grandi clienti internazionali.
Decisione finale.
In conclusione, desideriamo sottolineare che i leader del nostro settore hanno ottenuto la certificazione ISO/IEC 27001, il che ha portato tutti gli altri grandi fornitori (inclusi noi) a riflettere su questo tema. È innegabile che una riga elegante nei materiali di marketing dell'azienda – sul sito, sui social media, nelle brochure pubblicitarie ecc. – possa essere considerata un piacevole bonus, ma ne vale davvero la pena sacrificare tante risorse per ottenerla? Per noi, questo rappresenta molto più di una semplice frase accattivante, ed abbiamo deciso di intraprendere questo progetto.
Fonte: habr.com
