ISO/IEC 5 인증의 불가피성의 27001단계. 우울증

변화에 대한 정서적 반응의 네 번째 단계는 우울증입니다. 이 기사에서는 ISO 27001 표준 준수를 달성하기 위해 회사의 비즈니스 프로세스를 변경하는 가장 길고 불쾌한 단계를 겪은 경험에 대해 설명합니다.

대기 중

인증 기관과 컨설턴트를 선택한 후 우리가 스스로에게 던진 첫 번째 질문은 필요한 모든 변경을 수행하는 데 실제로 얼마나 많은 시간이 필요한가였습니다.

초기 작업 계획은 3개월 이내에 완료해야 하는 방식으로 계획되었습니다.

모든 것이 단순해 보였습니다. 수십 개의 정책을 작성하고 내부 프로세스를 약간 변경해야 했습니다. 그런 다음 동료들에게 변경 사항에 대해 교육하고 3개월을 더 기다립니다(그래서 "기록", 즉 정책 기능의 증거가 나타남). 그게 전부인 것 같았고 인증서는 우리 주머니에있었습니다.

또한 우리는 처음부터 정책을 작성하지 않을 것입니다. 결국 우리에게는 "올바른" 템플릿을 모두 제공해야 한다고 생각한 컨설턴트가 있었기 때문입니다.

이러한 결론을 바탕으로 우리는 각 정책을 준비하는 데 3일을 할당했습니다.

기술적인 변경도 어려워 보이지 않았습니다. 이벤트 수집 및 저장을 설정하고, 백업이 우리가 작성한 정책을 준수하는지 확인하고, 필요한 경우 액세스 제어 시스템으로 사무실을 개조하는 등 몇 가지 작은 작업이 필요했습니다. .
인증에 필요한 모든 것을 준비하는 팀은 1,5명으로 구성됐다. 우리는 그들이 주요 업무와 병행하여 구현에 참여하도록 계획했으며, 이는 각자 하루에 최대 2-XNUMX시간이 소요될 것입니다.
요약하자면, 향후 작업 범위에 대한 우리의 견해는 매우 낙관적이었다고 말할 수 있습니다.

현실

실제로 모든 것이 자연스럽게 달랐습니다. 컨설턴트가 제공한 정책 템플릿은 대부분 우리 회사에 적용할 수 없는 것으로 나타났습니다. 인터넷에는 무엇을 어떻게 해야 하는지에 대한 명확한 정보가 거의 없었습니다. 상상할 수 있듯이 “3일에 하나의 정책을 작성”하려는 계획은 비참하게 실패했습니다. 그래서 우리는 거의 프로젝트 초기부터 마감일을 맞추는 것을 중단했고, 우리의 기분은 서서히 무너지기 시작했습니다.

팀의 전문 지식은 엄청나게 작았습니다. 너무 많아서 컨설턴트에게 올바른 질문을 하는 것조차 충분하지 않았습니다(그런데 컨설턴트는 많은 주도권을 보여주지 않았습니다). 구현이 시작된 지 3개월 후(즉, 모든 것이 준비되어야 하는 순간) 두 명의 주요 참가자 중 한 명이 팀을 떠났기 때문에 상황이 더욱 느리게 진행되기 시작했습니다. 그는 구현 프로세스를 신속하게 완료하고 기술적 관점에서 가장 필요한 모든 것을 정보 보안 관리 시스템에 제공해야 하는 새로운 IT 서비스 책임자로 교체되었습니다. 그 일은 어려워보였는데... 책임자들은 우울해지기 시작했어요.

또한 문제의 기술적 측면에도 '뉘앙스'가 있는 것으로 나타났습니다. 우리는 워크스테이션과 서버 장비 모두에서 글로벌 소프트웨어 현대화 작업에 직면해 있습니다. 이벤트(로그)를 수집하기 위해 시스템을 설정하는 동안 시스템의 정상적인 작동을 위한 하드웨어 리소스가 충분하지 않은 것으로 나타났습니다. 그리고 백업 소프트웨어에도 현대화가 필요했습니다.

스포일러: 그 결과 ISMS는 6개월 만에 영웅적으로 구현되었습니다. 그리고 아무도 죽지 않았습니다!

가장 많이 변한 것은 무엇입니까?

물론 표준을 시행하는 동안 회사의 프로세스에는 많은 작은 변화가 발생했습니다. 가장 중요한 변경 사항은 다음과 같습니다.

• 위험 평가 프로세스의 공식화

이전에는 회사에 공식적인 위험 평가 프로세스가 없었으며 전체 전략 계획의 일부로 통과만 수행되었습니다. 인증의 일부로 해결된 가장 중요한 작업 중 하나는 이 프로세스의 모든 단계와 각 단계의 책임자를 설명하는 회사의 위험 평가 정책을 구현하는 것이었습니다.

• 이동식 저장 매체 제어

비즈니스에 있어 가장 큰 위험 중 하나는 암호화되지 않은 USB 플래시 드라이브를 사용하는 것이었습니다. 실제로 모든 직원은 사용 가능한 모든 정보를 플래시 드라이브에 기록할 수 있으며 기껏해야 잃어버릴 수 있습니다. 인증의 일환으로 모든 직원의 워크스테이션에서 플래시 드라이브에 정보를 다운로드하는 기능이 비활성화되었습니다. 정보 기록은 IT 부서에 대한 애플리케이션을 통해서만 가능해졌습니다.

• 슈퍼 사용자 제어

주요 문제 중 하나는 모든 IT 부서 직원이 회사의 모든 시스템에 대해 절대적인 권리를 갖고 있다는 사실이었습니다. 그들은 모든 정보에 액세스할 수 있었습니다. 동시에 실제로 그들을 통제하는 사람은 아무도 없었습니다.

우리는 위험하고 비생산적인 활동을 분석, 차단 및 경고하는 직원의 행동을 모니터링하는 프로그램인 데이터 손실 방지(DLP) 시스템을 구현했습니다. 이제 IT 부서 직원의 활동에 대한 경고가 회사 운영 이사의 이메일 주소로 전송됩니다.

• 정보 인프라 구성에 대한 접근 방식

인증에는 글로벌 변화와 접근 방식이 필요했습니다. 네, 부하 증가로 인해 다수의 서버 장비를 업그레이드해야 했습니다. 특히, 이벤트 수집 시스템을 위한 별도의 전용 서버를 보유하고 있습니다. 서버에는 크고 빠른 SSD 드라이브가 장착되었습니다. 우리는 백업 소프트웨어를 포기하고 기본적으로 필요한 모든 기능을 갖춘 스토리지 시스템을 선택했습니다. 우리는 "코드형 인프라" 개념을 향해 몇 가지 큰 진전을 이루었습니다. 이를 통해 여러 서버의 백업을 제거하여 많은 디스크 공간을 절약할 수 있었습니다. 최단 시간(1주) 내에 워크스테이션의 모든 소프트웨어가 Win10으로 업그레이드되었습니다. 현대화를 통해 해결된 문제 중 하나는 암호화를 활성화하는 기능이었습니다(Pro 버전에서).

• 종이 문서 제어

회사는 종이 문서 사용과 관련하여 상당한 위험을 안고 있었습니다. 문서가 분실되거나, 잘못된 장소에 방치되거나, 부적절하게 파기될 수 있습니다. 이러한 위험을 최소화하기 위해 우리는 모든 종이 문서에 기밀 수준을 표시하고 다양한 유형의 문서를 파기하는 절차를 개발했습니다. 이제 직원은 폴더를 열거나 문서를 가져갈 때 이 정보가 어떤 범주에 속하는지, 어떻게 처리하는지 정확히 알 수 있습니다.

• 백업 데이터 센터 임대

이전에는 모든 회사 정보가 제XNUMX자 보안 데이터 센터에 위치한 서버에 저장되었습니다. 하지만 이 데이터센터에는 비상 절차가 마련되어 있지 않았습니다. 해결책은 백업 클라우드 데이터센터를 임대해 가장 중요한 정보를 그곳에 백업하는 것이었다. 현재 회사의 정보는 지리적으로 멀리 떨어진 두 개의 데이터 센터에 저장되어 있어 손실 위험이 최소화됩니다.

• 비즈니스 연속성 테스트

우리 회사는 다양한 부정적인 시나리오(사무실 접근권 상실, 전염병, 정전 등)에서 직원이 무엇을 해야 하는지 설명하는 비즈니스 연속성 정책(BCP)을 수년 동안 시행해 왔습니다. 그러나 우리는 연속성 테스트를 실시한 적이 없습니다. 즉, 이러한 각 상황에서 비즈니스를 복원하는 데 걸리는 시간을 측정한 적이 없습니다. 인증 감사를 준비하면서 우리는 이를 수행했을 뿐만 아니라 내년도 비즈니스 연속성 테스트 계획도 개발했습니다. XNUMX년 후 원격 근무로 완전히 전환해야 하는 상황에 직면했을 때 이 작업을 XNUMX일 만에 완료했다는 점은 주목할 가치가 있습니다.

주목하는 것이 중요합니다, 인증을 준비하는 모든 회사는 시작 조건이 다르기 때문에 귀하의 경우 완전히 다른 변경이 필요할 수 있습니다.

변화에 대한 직원의 반응

이상하게도 여기서 우리는 최악의 상황을 예상했지만 그다지 나쁘지 않은 것으로 나타났습니다. 동료들이 큰 열정으로 인증 소식을 받았다고 할 수는 없지만 다음은 분명했습니다.

• 모든 주요 직원은 이 이벤트의 중요성과 불가피성을 이해했습니다.
• 다른 모든 직원은 핵심 직원을 존경했습니다.

물론 우리 업계의 특성, 즉 회계 기능 아웃소싱이 우리에게 많은 도움이 되었습니다. 대다수의 직원은 러시아 법률의 지속적인 변화에 잘 대처하고 있습니다. 따라서 지금 준수해야 할 수십 가지의 새로운 규칙이 도입되는 것은 그들에게는 이상한 일이 아니었습니다.

우리는 모든 직원을 위한 새로운 필수 ISO 27001 교육 및 테스트를 준비했습니다. 모두가 모니터에서 비밀번호가 적힌 스티커 메모를 순종적으로 제거하고 문서로 뒤덮인 책상을 치웠습니다. 큰 불만은 발견되지 않았습니다. 일반적으로 우리는 직원들에게 매우 운이 좋았습니다.

따라서 우리는 비즈니스 프로세스 변화와 관련된 가장 고통스러운 단계인 "불황"을 통과했습니다. 힘들고 어려웠지만 결국 결과는 우리의 모든 기대를 뛰어 넘었습니다.

시리즈의 이전 자료를 읽어보세요.

ISO/IEC 5 인증의 불가피성의 27001단계. 거부: ISO 27001:2013 인증에 대한 오해, 인증서 획득 타당성.

ISO/IEC 5 인증의 불가피성의 27001단계. 분노: 어디서부터 시작해야 할까? 초기 데이터. 경비. 공급자 선택.

ISO/IEC 5 인증의 불가피성의 27001단계. 협상: 구현 계획 준비, 위험 평가, 정책 작성.

ISO/IEC 5 인증의 불가피성의 27001단계. 우울증.

ISO/IEC 5 인증의 불가피성의 27001단계. 양자.

출처 : habr.com