5 שלבים של ההסמכה הבלתי נמנעת של ISO/IEC 27001. שְׁלִילָה

כאשר מקבלים כל החלטה חשובה אסטרטגית עבור החברה, העובדים עוברים מנגנון הגנה בסיסי, הידוע כ-5 שלבי התגובה לשינוי (מאת E. Kübler-Ross). פסיכולוג בולט תיאר פעם תגובות רגשיות, והדגיש 5 שלבים מרכזיים של תגובה רגשית: שלילה, כַּעַס, מיקוח, דיכאון ולבסוף קבלה. הכנו סדרת מאמרים המוקדשת להסמכת ISO 27001, שבה נבחן כל אחד מהשלבים. היום נדבר על הראשון שבהם - הכחשה.

קבלת תעודת ISO 27001 "לראווה" היא תענוג מפוקפק ביותר, מכיוון שהיא דורשת הכנה ארוכה ויקרה. יתר על כן, כפי שזה מראה סטטיסטיקה, תקן זה הוא מאוד לא פופולרי בפדרציה הרוסית: עד כה, רק 70 חברות אושרו לתאימות. יחד עם זאת, מדובר באחד התקנים הפופולריים בחו"ל, העונה על הדרישות ההולכות וגוברות של עסקים בתחום אבטחת המידע.

חברתנו מספקת מגוון שלם של שירותי מיקור חוץ לתפקידי הנהלת חשבונות: הנהלת חשבונות וחשבונאות מס, חשבות שכר וניהול כוח אדם. אנו תופסים את אחת מעמדות השוק המובילות, במיוחד בשל העובדה שחברות זרות עם סניפים ברוסיה סומכות עלינו במידע הסודי שלהן. זה חל לא רק על התהליכים הפיננסיים של הלקוחות שלנו, אלא גם על הנתונים האישיים איתם אנו עובדים על בסיס יומיומי. בהקשר זה, נושא אבטחת המידע הוא אחד מהעדיפויות שלנו.

לעתים קרובות, כל התהליכים העסקיים של החטיבות הרוסיות נשלטים ומוצהרים על ידי המשרדים הראשיים של חברות זרות, ולכן הם חייבים לעמוד בסטנדרטים הפנימיים של הקבוצה. לאחרונה, חלק מהלקוחות המרכזיים שלנו החלו לשנות את מדיניות האבטחה שלהם בכיוון של החמרתן. כמובן שהדבר נובע ממגמות עולמיות במספר ההולך וגדל של מתקפות סייבר ואובדנים הקשורים לאירועי פרצות אבטחת מידע, אם יש צורך ביישום אמצעי הגנה, מדיניות ונהלים שמטרתם להגביר את אבטחת המידע של החברה, תוכל להסתדר ללא ISO אישור /IEC 27001, חוסך בכך הרבה כסף, זמן ועצבים.

כיום החלו להופיע דרישות לאבטחת מידע קיימת בחברה במכרזים של לקוחות זרים. חלקם, על מנת לפשט את האימות שלהם ולאחד את הגישה, קובעים קריטריון הערכה מחייב - נוכחות הסמכת ISO/IEC 27001.

זה מה שראינו: נראה שאחד מהלקוחות הבינלאומיים המרכזיים שלנו שאושרו לתקן זה חיזק משמעותית את צוות אבטחת המידע הגלובלי שלו. איך ידענו על זה? הם החליטו לבצע ביקורת על מערכת ניהול אבטחת המידע שלנו, כי אנחנו מספקים להם שירותי הנהלת חשבונות וניהול כוח אדם - ובהתאם, אבטחת מערכות המידע שלנו חשובה להם מאוד. הביקורת הקודמת התקיימה לפני 3 שנים - אז הכל עבר די ללא כאבים.

הפעם, צוות ידידותי של הודים תקף אותנו, וחשף במיומנות כמה עשרות חסרונות במערכת ניהול האבטחה שלנו. תהליך הביקורת דמה לגלגל של סמסרה - נראה היה כי עקרונית לא הייתה להם מטרה להגיע לשום נקודה סופית במסגרת הביקורת. זו הייתה שורה אינסופית של שאלות, הערות, הערותינו והוכחות למציאותן, שיחות ועידה ושיחות פילוסופיות ארוכות בניסיונות לזהות את המבטא של צוות אבטחת ה-IT של הלקוח. אגב, הביקורת נמשכת בדרגות שונות של אינטנסיביות עד היום - עם הזמן השלמנו עם זה. לפיכך, הצורך בהסמכה נוצר מעצמו.

אולי נוכל להסתפק ב-ISO 9001?

כל מי שמתמצא פחות או יותר בנושא הסמכה לפי כל אחד מתקני ISO מבין שהבסיס לכל אחד מהם הוא תעודת ISO 9001 "מערכת ניהול איכות". זוהי אולי התעודה הפופולרית ביותר כיום בכל שורה של תקני ISO. לא היה לנו את זה - והחלטנו לא לקבל את זה. היו מספר סיבות לכך:

• היעילות הכלכלית המפוקפקת של החברה בעלת תעודה זו;
• התהליכים הפנימיים שלנו, לרוב, כבר היו קרובים לסטנדרט הזה;
• השגת תעודה זו תדרוש זמן וכסף נוספים.

בהתאם לכך, החלטנו ליישם באופן מיידי את ISO 27001, מבלי להתחיל ב-9001 ה"קל יותר".

או שאולי זה עדיין לא נחוץ?

במבט קדימה, חזרנו פעמים רבות לשאלה האם כדאי להשיגו. התחלנו ללמוד את הנושא מכל הצדדים, כי לא הייתה לנו שום מומחיות. והנה התפיסות השגויות שגרמו לנו לחשוב על הנושא הזה שוב.

תפיסה שגויה מס' 1.
קיווינו שהתקן יספק לנו רשימת בדיקה מפורטת, רשימת פוליסות ומסמכים סטטוטוריים נוספים. במציאות התברר ש-ISO/IEC 27001 הוא מכלול דרישות למערכת ניהול אבטחת המידע עצמה ולתהליך הנבנה. על בסיסם היה צורך להחליט באופן עצמאי מה לכתוב/ליישם בחברה שלנו כדי לעמוד בדרישות התקן.

תפיסה שגויה מס' 2.
האמנו באמת ובתמים שדי לנו ללמוד מסמך אחד וליישם אותו בזמן קצר יחסית בעצמנו. במציאות, תוך כדי קריאת המסמך, הבנו לכמה סטנדרטים קשורים "נאחז" התקן שלנו, לכמה סטנדרטים עלינו להכיר (לפחות באופן שטחי). ה"דובדבן" על העוגה היה היעדר טקסטים של סטנדרטים עדכניים בנחלת הכלל - הם היו צריכים להירכש באתר הרשמי של ISO.

תפיסה שגויה מס' 3.
היינו בטוחים שנמצא את כל מה שצריך כדי להתכונן להסמכה במקורות פתוחים. אכן היו די הרבה חומרים על ISO 27001 באינטרנט, אבל הם היו חסרי פרטים. לא היו כמעט הוראות שלב אחר שלב קלות להבנה להתכונן להסמכה, כמו גם מקרים אמיתיים של חברות שהטמיעו תקן זה.

תפיסה שגויה מס' 4.
אנחנו נכתוב מדיניות, אבל היא לא תעבוד! ובכן, זה נכון, לחברה שלנו יש כבר יותר מדי חוקים, אף אחד לא יעמוד בעוד 3 תריסר מדיניות חדשה. במציאות, למרבה המזל, העובדים שלנו לקחו את המשימה לשלוט בכללים החדשים באחריות ועברו בהצלחה בדיקות לידע של מסמכי מערכת ניהול אבטחת מידע.

תפיסה שגויה מס' 5.
באותו זמן, לא יכולנו להעריך בבירור אילו תועלת נקבל מהמאמצים שלנו. באותו זמן, מספר הבקשות לתעודה זו לא היה כל כך גדול, והיה לנו את הלקוח המפתח והתובעני ביותר שלנו הרבה לפני ההסמכה. הניסיון הראה שהסתדרנו ללא תקן.

בשלב מסוים, הבנו שאנו סוגרים באופן כאוטי פער מתהווה זה או אחר עקב דרישות הלקוח. בכל פעם מצאנו כמה מדיניות או פתרונות חדשים. ולבסוף הגענו באופן עצמאי למסקנה שיהיה הרבה יותר קל לבצע שיטתיות של התהליך, מה שאפילו יחסוך לנו הרבה עלויות עבודה בעתיד. התקן נועד לפשט משימה זו.

כעת, שנתיים לאחר מכן, אנו רואים מגמת עלייה במספר הבקשות והתעניינות בנושא זה מלקוחות בינלאומיים גדולים.

החלטה סופית.

לסיכום, ברצוננו לומר שמנהיגי התעשייה שלנו קיבלו אישור ISO/IEC 27001, מה שאילץ את כל הספקים הגדולים האחרים (כולל אותנו) לחשוב על הנושא הזה. ללא ספק שורה יפה בחומרי השיווק של החברה - באתר, ברשתות החברתיות, בחוברות פרסום וכו'. – יכול להיחשב כבונוס נעים, אבל האם כדאי להשקיע כל כך הרבה משאבים בשביל זה? החלטנו בעצמנו שמבחינתנו זה יותר מסתם קו יפה, והשתלבנו בפרויקט הזה.

מקור: www.habr.com