Nel caso di una decisione strategica importante per l'azienda, i dipendenti attraversano un meccanismo di difesa di base, ben noto come le 5 fasi della reazione ai cambiamenti (autore E. Kübler-Ross). Un'illustre psicologa una volta descrisse le reazioni emotive, evidenziando 5 fasi chiave della risposta emotiva: negazione, rabbia, negoziazione, depressione e, infine, accettazione. Abbiamo preparato una serie di articoli dedicati alla certificazione ISO 27001, dove esamineremo ciascuna delle fasi. Oggi parleremo della prima di esse: la negazione.
Ottenere la certificazione ISO 27001 «per giustificare» è un piacere piuttosto dubbio, poiché richiede una preparazione lunga e costosa. Inoltre, come dimostra , questo standard è estremamente poco popolare in Russia: ad oggi solo 70 aziende hanno ottenuto la certificazione di conformità. Al contrario, all'estero è uno degli standard più richiesti, in risposta alle crescenti esigenze delle imprese nel campo della sicurezza informatica.
La nostra azienda offre un'ampia gamma di servizi di outsourcing per funzioni contabili: contabilità e contabilizzazione fiscale, calcolo stipendi e amministrazione del personale. Occupiamo una delle posizioni di leadership nel mercato, in particolare per il fatto che aziende straniere con filiali in Russia si fidano delle nostre informazioni riservate. Ciò riguarda non solo i processi finanziari dei nostri clienti, ma anche i dati personali con cui lavoriamo quotidianamente. Pertanto, la questione della sicurezza informatica è una delle nostre priorità.
Spesso, tutti i processi aziendali delle filiali russe sono controllati e dichiarati dalle sedi centrali delle aziende straniere, e pertanto devono essere conformi agli standard interni del gruppo. Negli ultimi tempi, alcuni dei nostri clienti chiave hanno iniziato a rivedere le loro politiche di sicurezza in un'ottica di maggiore rigore. Questo è certamente legato alle tendenze globali in aumento relative al numero di attacchi informatici e alle perdite associate a incidenti di violazione della sicurezza delle informazioni. Qualora sia necessario implementare misure di protezione, politiche e procedure destinate a migliorare la sicurezza informatica dell'azienda, si può fare a meno della certificazione ISO/IEC 27001, risparmiando così tempo e denaro.
Oggi, nelle gare d'appalto per committenti stranieri, sono cominciati a comparire requisiti riguardanti la sicurezza delle informazioni esistente nell'azienda. Alcuni, al fine di semplificare i controlli e unificare l'approccio, hanno reso obbligatoria la certificazione ISO/IEC 27001 come criterio di valutazione.
Ci siamo trovati in una situazione in cui uno dei nostri clienti internazionali chiave, certificato secondo questo standard, ha evidentemente rinforzato seriamente il proprio team globale per la sicurezza informatica. Come lo abbiamo scoperto? Hanno deciso di effettuare un audit del nostro sistema di gestione della sicurezza informatica, dato che forniamo loro servizi di contabilità e amministrazione del personale – e pertanto la protezione dei nostri sistemi informatici è fondamentale per loro. L'audit precedente era avvenuto 3 anni fa – in quell'occasione era andato tutto piuttosto bene.
Questa volta, una squadra affiatata di indiani ci ha attaccato, scoprendo abilmente diverse decine di carenze nel nostro sistema di gestione della sicurezza. Il processo di auditing assomigliava a una ruota del samsara – sembrava che non avessero in mente un obiettivo finale nell'ambito della verifica. Era una sequenza infinita di domande, commenti, nostre risposte e prove della loro veridicità, chiamate in conferenza e lunghe discussioni filosofiche nel tentativo di decifrare l'accento della squadra di sicurezza IT del cliente. A proposito, l'audit continua a vari livelli di intensità anche oggi – nel tempo ci siamo già abituati a questo. Così, la necessità della certificazione è diventata imperativa.
Magari possiamo adottare ISO 9001?
Tutti coloro che hanno una certa familiarità con la certificazione per qualsiasi standard ISO capiscono che la base per ciascuno di essi è il certificato ISO 9001 «Sistema di gestione della qualità». Questo è probabilmente il certificato più popolare al momento tra tutti gli standard ISO. Non lo avevamo e abbiamo deciso di non ottenerlo. Ci sono state diverse ragioni:
- l'efficacia economica dubbia della presenza di questo certificato in azienda;
- i nostri processi interni erano già in gran parte conformi a questo standard;
- l'ottenimento di questo certificato avrebbe richiesto ulteriore tempo e denaro.
Pertanto, abbiamo deciso di implementare direttamente la ISO 27001, senza partire dalla più "facile" 9001.
O forse non è necessario dopo tutto?
Anticipando, siamo tornati molte volte alla questione se fosse opportuno ottenerla. Abbiamo iniziato a esaminare la questione da tutte le angolazioni, poiché non avevamo assolutamente alcuna competenza. Ecco i fraintendimenti che ci hanno costretti a riflettere ulteriormente su questo tema.
Fraintendimento n. 1.
Speravamo che lo standard ci fornisse una lista di controllo dettagliata, un elenco di politiche e altri documenti statutari. In realtà, la ISO/IEC 27001 si è rivelata un insieme di requisiti per il sistema di gestione della sicurezza delle informazioni e il processo da costruire. Basandosi su di essi, abbiamo dovuto decidere autonomamente cosa scrivere o implementare nella nostra azienda per soddisfare i requisiti dello standard.
Fraintendimento n. 2.
Credevamo sinceramente che sarebbe stato sufficiente studiare un documento e realizzarlo in tempi relativamente brevi da soli. In realtà, leggendo il documento, abbiamo capito a quanti standard correlati si collega il nostro standard, e con quanti altri standard è necessario familiarizzare (almeno superficialmente). La ‘ciliegina sulla torta’ è stata l'assenza di testi aggiornati degli standard disponibili pubblicamente – dovevamo acquistarli sul sito ufficiale ISO.
Fraintendimento n. 3.
Eravamo certi che avremmo trovato tutte le informazioni necessarie per prepararci alla certificazione in fonti aperte. Effettivamente c'erano molti materiali su ISO 27001 online, ma contenevano poco di specifico. Praticamente mancavano istruzioni passo dopo passo comprensibili per la preparazione alla certificazione, così come casi reali di aziende che hanno implementato questo standard.
Fraintendimento n. 4.
Scriveremo le politiche, ma non funzioneranno! Davvero, nella nostra azienda ci sono già troppe regole, nessuno seguirà altre 30 nuove politiche. In realtà, fortunatamente, i nostri dipendenti hanno affrontato con responsabilità il compito di apprendere le nuove regole e hanno superato con successo il test sulla conoscenza dei documenti del sistema di gestione della sicurezza delle informazioni.
Fraintendimento n. 5.
A quel tempo non riuscivamo a valutare chiaramente quali benefici avremmo ottenuto dai nostri sforzi. Allora il numero di richieste per questo certificato non era così elevato, e il nostro cliente chiave e più esigente era emerso molto prima della certificazione. L'esperienza dimostrava che riuscivamo a far fronte anche senza lo standard.
A un certo punto ci siamo resi conto che stavamo chiudendo quella o quell'altra falla in modo disordinato a causa delle richieste del cliente. Ogni volta inventavamo nuove politiche o soluzioni. Alla fine siamo giunti all'idea che sarebbe stato molto più semplice sistematizzare il processo, risparmiando così un notevole numero di sforzi. Lo standard era stato progettato per semplificare questo compito.
Ora, dopo due anni, vediamo una tendenza crescente nelle richieste e nell'interesse per questo tema da parte dei grandi clienti internazionali.
Decisione finale.
In conclusione, vogliamo dire che i leader del nostro settore hanno ottenuto la certificazione ISO/IEC 27001, il che ha spinto tutti gli altri grandi fornitori (inclusi noi) a riflettere su questo tema. Indubbiamente, una bella riga nei materiali di marketing dell'azienda – sul sito, sui social media, nei volantini pubblicitari, ecc. – può essere considerata un piacevole bonus, ma ne vale la pena spendere così tante risorse? Per noi, abbiamo stabilito che è più di una semplice bella riga e abbiamo intrapreso questo progetto.
Fonte: habr.com
