ISO/IEC 5 სერტიფიცირების გარდაუვალობის 27001 ეტაპი. უარყოფა

კომპანიისთვის სტრატეგიულად მნიშვნელოვანი გადაწყვეტილების მიღებისას თანამშრომლები გადიან ძირითად თავდაცვის მექანიზმს, რომელიც კარგად არის ცნობილი, როგორც ცვლილებაზე რეაგირების 5 ეტაპი (ე. კუბლერ-როსის მიერ). გამოჩენილმა ფსიქოლოგმა ერთხელ აღწერა ემოციური რეაქციები და გამოყო ემოციური რეაქციის 5 ძირითადი ეტაპი: უარყოფა, რისხვა, გარიგება, დეპრესია და ბოლოს, შვილად აყვანა. ჩვენ მოვამზადეთ ISO 27001 სერტიფიცირებისადმი მიძღვნილი სტატიების სერია, სადაც განვიხილავთ თითოეულ ეტაპს. დღეს ჩვენ ვისაუბრებთ პირველ მათგანზე - უარყოფაზე.

ISO 27001 სერთიფიკატის „ჩვენებისთვის“ მიღება ძალიან საეჭვო სიამოვნებაა, რადგან ის მოითხოვს ხანგრძლივ და ძვირადღირებულ მომზადებას. უფრო მეტიც, როგორც ჩანს სტატისტიკა, ეს სტანდარტი უკიდურესად არაპოპულარულია რუსეთის ფედერაციაში: დღემდე მხოლოდ 70 კომპანიას აქვს სერტიფიცირებული შესაბამისობა. ამავდროულად, ეს არის ერთ-ერთი ყველაზე პოპულარული სტანდარტი საზღვარგარეთ, რომელიც აკმაყოფილებს ბიზნესის მზარდ მოთხოვნებს ინფორმაციული უსაფრთხოების სფეროში.

ჩვენი კომპანია გთავაზობთ აუთსორსინგის სერვისების სრულ სპექტრს ბუღალტრული ფუნქციებისთვის: ბუღალტრული აღრიცხვა და საგადასახადო აღრიცხვა, სახელფასო და პერსონალის ადმინისტრირება. ჩვენ ვიკავებთ ბაზრის ერთ-ერთ წამყვან პოზიციას, განსაკუთრებით იმის გამო, რომ რუსეთში ფილიალების მქონე უცხოური კომპანიები გვენდობიან თავიანთ კონფიდენციალურ ინფორმაციას. ეს ეხება არა მხოლოდ ჩვენი კლიენტების ფინანსურ პროცესებს, არამედ პერსონალურ მონაცემებს, რომლებთანაც ყოველდღიურად ვმუშაობთ. ამ მხრივ, ინფორმაციული უსაფრთხოების საკითხი ჩვენი ერთ-ერთი პრიორიტეტია.

ხშირად, რუსული დანაყოფების ყველა ბიზნეს პროცესი კონტროლდება და დეკლარირებულია უცხოური კომპანიების სათაო ოფისების მიერ და, შესაბამისად, ისინი უნდა შეესაბამებოდეს შიდა ჯგუფის სტანდარტებს. ცოტა ხნის წინ, ზოგიერთმა ჩვენმა მთავარმა კლიენტმა დაიწყო უსაფრთხოების პოლიტიკის გადახედვა მათი გამკაცრების მიმართულებით. რა თქმა უნდა, ეს გამოწვეულია კიბერშეტევების მზარდი რაოდენობის გლობალური ტენდენციებითა და ინფორმაციული უსაფრთხოების დარღვევის ინციდენტებთან დაკავშირებული დანაკარგებით. თუ საჭიროა დაცვის ზომების, პოლიტიკისა და პროცედურების განხორციელება, რომელიც მიმართულია კომპანიის ინფორმაციული უსაფრთხოების გაზრდისკენ, შეგიძლიათ გააკეთოთ ISO-ს გარეშე. /IEC 27001 სერთიფიკატი, ამით დაზოგავს დიდ ფულს, დროსა და ნერვებს.

დღესდღეობით კომპანიაში არსებული ინფორმაციული უსაფრთხოების მოთხოვნები უცხოელი მომხმარებლების ტენდერებში ჩნდება. ზოგიერთი, მათი გადამოწმების გამარტივებისა და მიდგომის გაერთიანების მიზნით, ადგენს შეფასების სავალდებულო კრიტერიუმს - ISO/IEC 27001 სერთიფიკატის არსებობას.

აი, რა ვნახეთ: ამ სტანდარტით სერტიფიცირებული ჩვენი ერთ-ერთი მთავარი საერთაშორისო კლიენტი, როგორც ჩანს, მნიშვნელოვნად გააძლიერა გლობალური ინფორმაციის უსაფრთხოების გუნდი. როგორ ვიცოდით ამის შესახებ? მათ გადაწყვიტეს ჩვენი ინფორმაციული უსაფრთხოების მართვის სისტემის აუდიტი ჩაეტარებინათ, რადგან ჩვენ მათ ვთავაზობთ ბუღალტრულ მომსახურებას და პერსონალის ადმინისტრირებას - და შესაბამისად, ჩვენი საინფორმაციო სისტემების უსაფრთხოება მათთვის კრიტიკულად მნიშვნელოვანია. წინა აუდიტი 3 წლის წინ ჩატარდა - იმ დროს ყველაფერი საკმაოდ უმტკივნეულოდ ჩაიარა.

ამჯერად, ინდიელების მეგობრული გუნდი თავს დაესხა თავს და ოსტატურად აღმოაჩინა რამდენიმე ათეული ხარვეზი ჩვენს უსაფრთხოების მართვის სისტემაში. აუდიტის პროცესი სამსარას ბორბალს წააგავდა - ჩანდა, რომ პრინციპში მათ არ ჰქონდათ მიზანი, რომ აუდიტის ფარგლებში რაიმე საბოლოო პუნქტამდე მიეღწიათ. ეს იყო კითხვების, კომენტარების, ჩვენი კომენტარების და მათი რეალობის მტკიცებულების გაუთავებელი სერია, საკონფერენციო ზარები და ხანგრძლივი ფილოსოფიური საუბრები კლიენტის IT უსაფრთხოების გუნდის აქცენტის ამოცნობის მცდელობებში. სხვათა შორის, აუდიტი დღემდე სხვადასხვა ინტენსივობით გრძელდება - დროთა განმავლობაში ჩვენ ამას შევეგუეთ. ამრიგად, სერტიფიცირების საჭიროება თავისთავად გაჩნდა.

იქნებ დავკმაყოფილდეთ ISO 9001-ით?

ყველას, ვინც მეტ-ნაკლებად ერკვევა ISO-ს რომელიმე სტანდარტის მიხედვით სერტიფიცირების საკითხში, ესმის, რომ თითოეული მათგანის საფუძველია ISO 9001 „ხარისხის მართვის სისტემის“ სერტიფიკატი. ეს არის ალბათ ყველაზე პოპულარული სერტიფიკატი ამჟამად ISO სტანდარტების მთელ ხაზში. ჩვენ არ გვქონდა - და გადავწყვიტეთ, რომ არ მიგვეღო. ამის რამდენიმე მიზეზი იყო:

• ამ სერტიფიკატის მქონე კომპანიის საეჭვო ეკონომიკური ეფექტურობა;
• ჩვენი შიდა პროცესები, უმეტესწილად, უკვე ახლოს იყო ამ სტანდარტთან;
• ამ სერთიფიკატის მიღებას დამატებითი დრო და ფული დასჭირდება.

შესაბამისად, ჩვენ გადავწყვიტეთ დაუყონებლივ დანერგოთ ISO 27001, „ასანთი“ 9001-ით დაწყების გარეშე.

ან იქნებ ჯერ კიდევ არ არის საჭირო?

წინსვლისას, ჩვენ არაერთხელ დავუბრუნდით კითხვას, მიზანშეწონილია თუ არა მისი მოპოვება. ჩვენ დავიწყეთ საკითხის შესწავლა ყველა მხრიდან, რადგან არანაირი ექსპერტიზა არ გვქონდა. და აი, მცდარი წარმოდგენები, რამაც კიდევ ერთხელ დაგვაფიქრა ამ საკითხზე.

მცდარი წარმოდგენა #1.
ვიმედოვნებდით, რომ სტანდარტი მოგვაწვდიდა დეტალურ საკონტროლო სიას, პოლიტიკის ჩამონათვალს და სხვა ნორმატიულ დოკუმენტებს. სინამდვილეში, აღმოჩნდა, რომ ISO/IEC 27001 არის მოთხოვნების ერთობლიობა თავად ინფორმაციული უსაფრთხოების მართვის სისტემისა და მშენებარე პროცესისთვის. მათზე დაყრდნობით საჭირო იყო დამოუკიდებლად გადაეწყვიტა რა უნდა დამეწერა/დაენერგა ჩვენს კომპანიაში სტანდარტის მოთხოვნების შესასრულებლად.

მცდარი წარმოდგენა #2.
ჩვენ გულწრფელად გვჯეროდა, რომ საკმარისი იქნებოდა ერთი დოკუმენტის შესწავლა და შედარებით მოკლე დროში დამოუკიდებლად განხორციელება. რეალურად, დოკუმენტის წაკითხვისას მივხვდით, თუ რამდენ დაკავშირებულ სტანდარტს „ეჭიდება“ ჩვენი სტანდარტი, რამდენი სტანდარტის გაცნობა გვჭირდება (ყოველ შემთხვევაში ზედაპირულად). ტორტზე "ალუბალი" იყო საჯარო დომენში არსებული სტანდარტების ტექსტების ნაკლებობა - ისინი უნდა შეძენილიყო ოფიციალურ ISO ვებსაიტზე.

მცდარი წარმოდგენა #3.
ჩვენ დარწმუნებული ვიყავით, რომ ვიპოვით ყველაფერს, რაც გვჭირდებოდა სერტიფიცირებისთვის ღია წყაროებში მოსამზადებლად. ინტერნეტში მართლაც იყო საკმაოდ ბევრი მასალა ISO 27001-ზე, მაგრამ მათ საკმაოდ მოკლებული იყო სპეციფიკა. პრაქტიკულად არ არსებობდა ადვილად გასაგები ნაბიჯ-ნაბიჯ ინსტრუქციები სერტიფიცირებისთვის მომზადებისთვის, ისევე როგორც კომპანიების რეალური შემთხვევები, რომლებმაც განახორციელეს ეს სტანდარტი.

მცდარი წარმოდგენა #4.
ჩვენ დავწერთ პოლიტიკას, მაგრამ ისინი არ იმუშავებენ! მართალია, ჩვენს კომპანიას უკვე ძალიან ბევრი წესი აქვს, კიდევ 3 ათეულ ახალ პოლიტიკას არავინ შეასრულებს. რეალურად, საბედნიეროდ, ჩვენმა თანამშრომლებმა პასუხისმგებლობით აიღეს ახალი წესების დაუფლება და წარმატებით ჩააბარეს ტესტირება ინფორმაციული უსაფრთხოების მართვის სისტემის დოკუმენტების ცოდნის შესახებ.

მცდარი წარმოდგენა #5.
მაშინ ნათლად ვერ შევაფასებდით, რა სარგებელს მივიღებდით ჩვენი ძალისხმევით. იმ დროს ამ სერტიფიკატზე მოთხოვნის რაოდენობა არც თუ ისე დიდი იყო და ჩვენი მთავარი და ყველაზე მომთხოვნი კლიენტი გვყავდა სერტიფიცირებამდე დიდი ხნით ადრე. გამოცდილებამ აჩვენა, რომ სტანდარტის გარეშე მოვახერხეთ.

რაღაც მომენტში მივხვდით, რომ კლიენტის მოთხოვნებიდან გამომდინარე ქაოტურად ვხურავდით ამა თუ იმ გაჩენილ ხარვეზს. ყოველ ჯერზე, ჩვენ გამოვდით ახალ პოლიტიკას ან გადაწყვეტილებებს. და ბოლოს დამოუკიდებლად მივედით დასკვნამდე, რომ პროცესის სისტემატიზაცია ბევრად უფრო ადვილი იქნებოდა, რაც მომავალში დიდ შრომით ხარჯებსაც კი დაგვიზოგავს. სტანდარტი მიზნად ისახავდა ამ ამოცანის გამარტივებას.

ახლა, ორი წლის შემდეგ, ჩვენ ვხედავთ მსხვილი საერთაშორისო კლიენტების მხრიდან ამ საკითხის მიმართ მოთხოვნისა და ინტერესის მზარდ ტენდენციას.

Საბოლოო გადაწყვეტილება.

დასასრულს, გვინდა ვთქვათ, რომ ჩვენმა ინდუსტრიის ლიდერებმა მიიღეს ISO/IEC 27001 სერთიფიკატი, რამაც აიძულა ყველა სხვა მსხვილი პროვაიდერი (მათ შორის ჩვენც) დაფიქრებულიყო ამ საკითხზე. ეჭვგარეშეა, მშვენიერი ხაზი კომპანიის მარკეტინგულ მასალებში - ვებსაიტზე, სოციალურ ქსელებში, სარეკლამო ბროშურებში და ა.შ. – შეიძლება ჩაითვალოს სასიამოვნო ბონუსად, მაგრამ ღირს ამისთვის ამდენი რესურსის დახარჯვა? ჩვენ თვითონ გადავწყვიტეთ, რომ ჩვენთვის ეს უფრო მეტია, ვიდრე უბრალოდ ლამაზი ხაზი და ჩავერთეთ ამ პროექტში.

წყარო: www.habr.com