ISO/IEC 5 인증의 불가피성의 27001단계. 부정

회사에 전략적으로 중요한 결정을 내릴 때 직원은 변화에 대응하는 5단계(E. Kübler-Ross 저)로 잘 알려진 기본 방어 메커니즘을 거칩니다. 저명한 심리학자는 정서적 반응을 설명하면서 정서적 반응의 5가지 주요 단계를 강조했습니다. 거부, 분노, 교섭, 우울증 그리고 마지막으로, 채택. 우리는 ISO 27001 인증에 관한 일련의 기사를 준비했으며 각 단계를 살펴볼 것입니다. 오늘 우리는 그 중 첫 번째인 거부에 대해 이야기하겠습니다.

"전시용" ISO 27001 인증서를 획득하는 것은 길고 비용이 많이 드는 준비가 필요하기 때문에 매우 모호한 즐거움입니다. 게다가, 보여주듯이 통계, 이 표준은 러시아 연방에서 매우 인기가 없습니다. 현재까지 70개 회사만이 준수 인증을 받았습니다. 동시에 이는 해외에서 가장 널리 사용되는 표준 중 하나이며 정보 보안 분야에서 증가하는 비즈니스 요구를 충족합니다.

우리 회사는 회계 및 세무 회계, 급여 및 인사 관리 등 회계 기능에 대한 광범위한 아웃소싱 서비스를 제공합니다. 우리는 특히 러시아에 지사를 두고 있는 외국 기업이 기밀 정보를 우리에게 신뢰한다는 사실 때문에 시장 선두 위치 중 하나를 차지하고 있습니다. 이는 고객의 금융 프로세스뿐만 아니라 우리가 일상적으로 처리하는 개인 데이터에도 적용됩니다. 이와 관련하여 정보 보안 문제는 우리의 우선 순위 중 하나입니다.

일반적으로 러시아 사업부의 모든 비즈니스 프로세스는 외국 기업의 본사에 의해 통제 및 선언되므로 그룹 내부 표준을 준수해야 합니다. 최근 일부 주요 고객은 보안 정책을 강화하는 방향으로 보안 정책을 수정하기 시작했습니다. 물론 이는 정보 보안 위반 사고와 관련된 사이버 공격 및 손실이 증가하는 글로벌 추세에 따른 것입니다. 회사의 정보 보안을 강화하기 위한 보호 조치, 정책 및 절차를 구현해야 하는 경우 ISO 없이도 가능합니다. /IEC 27001 인증을 획득하여 많은 비용, 시간 및 신경을 절약할 수 있습니다.

오늘날 회사의 기존 정보 보안에 대한 요구 사항이 외국 고객의 입찰에 나타나기 시작했습니다. 일부는 검증을 단순화하고 접근 방식을 통합하기 위해 필수 평가 기준, 즉 ISO/IEC 27001 인증을 설정했습니다.

우리가 본 내용은 다음과 같습니다. 이 표준에 인증된 주요 국제 고객 중 한 곳은 글로벌 정보 보안 팀을 크게 강화한 것으로 보입니다. 우리는 이것에 대해 어떻게 알았습니까? 그들은 우리가 회계 서비스와 인사 관리를 제공하고 따라서 정보 시스템의 보안이 그들에게 매우 중요하기 때문에 우리의 정보 보안 관리 시스템을 감사하기로 결정했습니다. 이전 감사는 3년 전에 이루어졌습니다. 그 당시에는 모든 것이 아주 순조롭게 진행되었습니다.

이번에는 친절한 인디언 팀이 우리를 공격하여 우리 보안 관리 시스템의 수십 가지 단점을 교묘하게 찾아냈습니다. 감사 프로세스는 Samsara의 바퀴와 유사했습니다. 원칙적으로 감사의 일부로 최종 지점에 도달하려는 목표가 없는 것 같았습니다. 그것은 고객의 IT 보안 팀의 억양을 인식하기 위한 끊임없는 일련의 질문, 의견, 우리의 의견 및 현실에 대한 증거, 전화 회의 및 긴 철학적 대화였습니다. 그건 그렇고, 감사는 오늘날까지 다양한 강도로 계속되고 있습니다. 시간이 지남에 따라 우리는 이에 동의하게 되었습니다. 따라서 인증의 필요성이 저절로 발생했습니다.

어쩌면 우리는 ISO 9001로 할 수 있을까요?

ISO 표준에 따른 인증 문제에 대해 어느 정도 정통한 사람은 각 표준의 기초가 ISO 9001 "품질 경영 시스템"인증서라는 것을 이해합니다. 이는 아마도 현재 ISO 표준 전체 라인에서 가장 널리 사용되는 인증서일 것입니다. 우리는 그것을 가지고 있지 않았고 그것을 얻지 않기로 결정했습니다. 여기에는 몇 가지 이유가 있었습니다.

• 이 인증서를 보유한 회사의 경제적 효율성이 의심스럽습니다.
• 우리의 내부 프로세스는 대부분 이미 이 표준에 근접했습니다.
• 이 인증서를 얻으려면 추가 시간과 비용이 필요합니다.

이에 따라 우리는 "더 가벼운" 27001부터 시작하지 않고 즉시 ISO 9001을 구현하기로 결정했습니다.

아니면 여전히 필요하지 않습니까?

앞으로 우리는 그것을 얻는 것이 바람직한지 여부에 대한 질문으로 여러 번 돌아 왔습니다. 우리는 전문 지식이 전혀 없었기 때문에 모든 측면에서 문제를 연구하기 시작했습니다. 그리고 여기에 우리가 이 문제에 대해 다시 한 번 생각하게 만든 오해가 있습니다.

오해 #1.
우리는 이 표준이 상세한 체크리스트, 정책 목록 및 기타 법적 문서를 제공하기를 바랐습니다. 실제로 ISO/IEC 27001은 정보보안 관리시스템 자체와 구축되는 프로세스에 대한 요구사항 집합인 것으로 드러났다. 이를 바탕으로 우리 회사에서 표준 요구 사항을 준수하기 위해 무엇을 작성/구현할지 독립적으로 결정하는 것이 필요했습니다.

오해 #2.
우리는 하나의 문서를 연구하고 비교적 짧은 시간 내에 스스로 구현하는 것만으로도 충분할 것이라고 진심으로 믿었습니다. 실제로 문서를 읽으면서 우리는 얼마나 많은 관련 표준을 우리 표준에 '고착'하는지, 얼마나 많은 표준에 익숙해져야 하는지(적어도 표면적으로는) 깨달았습니다. 케이크의 "체리"는 공개 도메인에 현재 표준 텍스트가 부족하다는 점이었습니다. 공식 ISO 웹 사이트에서 구입해야 했습니다.

오해 #3.
우리는 인증을 준비하는 데 필요한 모든 것을 오픈 소스에서 찾을 수 있을 것이라고 확신했습니다. 실제로 ISO 27001에 관한 자료는 인터넷에 꽤 많이 올라왔지만 구체적인 내용은 오히려 부족한 편이었습니다. 실제로 이해하기 쉬운 인증 준비 단계별 지침이 없었고, 이 표준을 구현한 기업의 실제 사례도 없었습니다.

오해 #4.
우리는 정책을 작성하겠지만 효과가 없을 것입니다! 글쎄요, 사실입니다. 우리 회사에는 이미 너무 많은 규칙이 있어서 누구도 3개의 새로운 정책을 따르지 않을 것입니다. 다행히도 우리 직원들은 책임감 있게 새로운 규칙을 숙지하고 정보 보안 관리 시스템 문서에 대한 지식 테스트를 성공적으로 통과했습니다.

오해 #5.
그 당시 우리는 우리의 노력으로 어떤 혜택을 얻을 수 있는지 명확하게 평가할 수 없었습니다. 당시에는 이 인증서에 대한 요청 수가 그리 많지 않았으며 인증 훨씬 전에 우리의 핵심과 가장 까다로운 클라이언트가 있었습니다. 경험에 따르면 우리는 표준 없이 관리했습니다.

어느 시점에서 우리는 고객의 요구 사항으로 인해 하나 또는 또 다른 새로운 격차를 무질서하게 좁히고 있다는 것을 깨달았습니다. 매번 우리는 새로운 정책이나 해결책을 내놓았습니다. 그리고 마침내 우리는 프로세스를 체계화하는 것이 훨씬 쉬울 것이고, 그러면 앞으로 인건비도 많이 절약될 것이라는 결론에 독립적으로 도달했습니다. 표준은 이 작업을 단순화하기 위해 만들어졌습니다.

XNUMX년이 지난 지금, 주요 국제 고객으로부터 이 문제에 대한 요청과 관심이 증가하는 추세를 볼 수 있습니다.

최종 결정.

결론적으로, 우리 업계 리더들이 ISO/IEC 27001 인증을 받았고, 이로 인해 우리를 포함한 다른 모든 주요 공급업체가 이 문제에 대해 고민하게 되었다고 말하고 싶습니다. 의심할 여지 없이 회사의 마케팅 자료(웹 사이트, 소셜 네트워크, 광고 브로셔 등)에 아름다운 라인이 있습니다. – 즐거운 보너스로 간주될 수 있지만 이를 위해 그렇게 많은 리소스를 소비할 가치가 있습니까? 우리는 이것이 단지 아름다운 라인 그 이상이라고 스스로 판단하고 이 프로젝트에 참여하게 되었습니다.

출처 : habr.com