5 фази на неизбежноста на ISO/IEC 27001 сертификатот. Депресија

Четвртата фаза на емоционален одговор на промените е депресијата. Во оваа статија ќе ви кажеме за нашето искуство од минување низ најдолготрајната и непријатна фаза - за промените во деловните процеси на компанијата со цел да се постигне нивната усогласеност со стандардот ISO 27001.

Чекање

Првото прашање што си го поставивме по изборот на телото за сертификација и консултант беше колку време навистина ќе ни треба за да ги направиме сите потребни промени?

Првичниот план за работа беше така планиран што требаше да го завршиме во рок од 3 месеци.

Сè изгледаше едноставно: беше неопходно да се напишат неколку десетици политики и малку да се сменат нашите внатрешни процеси; потоа обучете ги колегите за промените и почекајте уште 3 месеци (за да се појават „записи“, односно докази за функционирањето на политиките). Се чинеше дека тоа е сè - а сертификатот ни беше во џебот.

Покрај тоа, немаше да пишуваме политики од нула - на крајот на краиштата, имавме консултант кој, како што мислевме, требаше да ни ги даде сите „точни“ шаблони.

Како резултат на овие заклучоци, одвоивме 3 дена за подготовка на секоја политика.

Техничките промени, исто така, не изгледаа застрашувачки: беше неопходно да се постави собирање и складирање на настани, да се провери дали резервните копии се усогласени со политиката што ја напишавме, да се доградат канцелариите со системи за контрола на пристап каде што е потребно и неколку други мали нешта .
Тимот што подготвуваше се што е потребно за сертификација се состоеше од две лица. Планиравме дека тие ќе бидат вклучени во имплементацијата паралелно со нивните главни обврски, а за тоа на секој од нив ќе му требаат максимум 1,5-2 часа дневно.
Сумирајќи, можеме да кажеме дека нашиот поглед на претстојниот обем на работа беше доста оптимистички.

Реалност

Во реалноста, сè беше природно поинаку: шаблоните за политики обезбедени од консултантот се покажаа главно неприменливи за нашата компанија; На интернет речиси и да немаше јасни информации што и како да се прави. Како што можете да замислите, планот „да се напише една политика за 3 дена“ очајно пропадна. Така, речиси од самиот почеток на проектот престанавме да ги исполнуваме роковите и нашето расположение полека почна да паѓа.

Експертизата на тимот беше катастрофално мала - толку многу што не беше доволно ни да му се постават вистинските прашања на консултантот (кој, патем, не покажа многу иницијатива). Работите почнаа да се движат уште побавно, бидејќи 3 месеци по почетокот на имплементацијата (односно во моментот кога сè требаше да биде подготвено), еден од двајцата клучни учесници го напушти тимот. Тој беше заменет со нов шеф на ИТ службата, кој мораше брзо да го заврши процесот на имплементација и да му обезбеди на системот за управување со безбедноста на информациите сè што е најпотребно од техничка гледна точка. Задачата изгледаше тешка... Одговорните почнаа да стануваат депресивни.

Покрај тоа, техничката страна на проблемот, исто така, се покажа дека има „нијанси“. Соочени сме со задачата за глобална модернизација на софтверот и на работните станици и на серверската опрема. При поставувањето на системот за собирање настани (логови), се покажа дека немаме доволно хардверски ресурси за нормално функционирање на системот. И на резервниот софтвер, исто така, му беше потребна модернизација.

Спојлер: Како резултат на тоа, ISMS беше херојски спроведен за 6 месеци. И никој не умре!

Што се промени најмногу?

Се разбира, за време на имплементацијата на стандардот, се случија голем број мали промени во процесите на компанијата. Ги истакнавме најзначајните промени за вас:

• Формализација на процесот на проценка на ризикот

Претходно, компанијата немаше формален процес на проценка на ризикот - тоа беше направено само на минимум како дел од целокупното стратешко планирање. Една од најважните задачи решени како дел од сертификацијата беше имплементацијата на Политиката за проценка на ризикот на компанијата, која ги опишува сите фази од овој процес и лицата одговорни за секоја фаза.

• Контрола на пренослив медиум за складирање

Еден од значајните ризици за бизнисот беше употребата на нешифрирани USB флеш драјвови: всушност, секој вработен може да напише каква било информација што му е достапна на флеш-драјвот и, во најдобар случај, да ја изгуби. Како дел од сертификацијата, можноста за преземање на какви било информации на флеш драјвови беше оневозможена на сите работни станици на вработените - снимањето информации стана можно само преку апликација до одделот за ИТ.

• Супер корисничка контрола

Еден од главните проблеми беше фактот што сите вработени во ИТ одделот имаа апсолутни права во сите системи на компанијата - тие имаа пристап до сите информации. Во исто време, никој навистина не ги контролираше.

Имплементиравме систем за спречување на загуба на податоци (DLP) - програма за следење на активностите на вработените што анализира, блокира и предупредува за опасни и непродуктивни активности. Сега предупредувањата за постапките на вработените во ИТ одделот се испраќаат на адресата на е-пошта на оперативниот директор на компанијата.

• Пристап кон организирање на информациската инфраструктура

Сертификацијата бараше глобални промени и пристапи. Да, моравме да надградиме голем број серверска опрема поради зголеменото оптоварување. Особено, ние посветивме посебен сервер за системите за собирање настани. Серверот беше опремен со големи и брзи SSD-дискови. Го напуштивме софтверот за резервни копии и избравме системи за складирање кои ја имаат целата потребна функционалност надвор од кутијата. Направивме неколку големи чекори кон концептот „инфраструктура како код“, што ни овозможи да заштедиме многу простор на дискот со елиминирање на резервната копија на голем број сервери. Во најкус можен рок (1 недела), целиот софтвер на работните станици беше надграден на Win10. Едно од проблемите што го реши модернизацијата беше можноста да се овозможи шифрирање (во верзијата Pro).

• Контрола на хартиени документи

Компанијата имаше значителни ризици поврзани со употребата на хартиени документи: тие може да бидат изгубени, оставени на погрешно место или неправилно уништени. За да го минимизираме овој ризик, ги означивме сите хартиени документи според нивото на доверливост и развивме постапка за уништување на различни видови документи. Сега, кога вработен ќе отвори папка или ќе земе документ, тој точно знае во која категорија спаѓаат овие информации и како да се справи со нив.

• Изнајмување резервен центар за податоци

Претходно, сите информации за компанијата беа зачувани на сервери лоцирани во безбеден центар за податоци од трета страна. Сепак, немаше воведени процедури за итни случаи во овој центар за податоци. Решението беше да се изнајми резервен центар за податоци во облак и таму да се направи резервна копија на најважните информации. Во моментов, информациите на компанијата се чуваат во два географски оддалечени центри за податоци, што го минимизира ризикот од нејзина загуба.

• Тестирање за континуитет на бизнисот

Нашата компанија веќе неколку години има Политика за континуитет на бизнисот (BCP), која опишува што треба да прават вработените во различни негативни сценарија (губење на пристап до канцеларијата, епидемија, прекин на струја итн.). Сепак, никогаш не сме спроведоа тестирање за континуитет - односно, никогаш не сме измериле колку време би било потребно за да се врати бизнисот во секоја од овие ситуации. Како подготовка за ревизијата за сертификација, не само што го направивме ова, туку развивме и план за тестирање на континуитет на бизнисот за следната година. Вреди да се напомене дека една година подоцна, кога се соочивме со потребата целосно да се префрлиме на работа на далечина, оваа задача ја завршивме за три дена.

Важно е да се забележи, дека сите компании кои се подготвуваат за сертификација имаат различни почетни услови - затоа, во вашиот случај, може да бидат потребни сосема различни промени.

Реакциите на вработените на промените

Доволно чудно - овде го очекувавме најлошото - се покажа не толку лошо. Не може да се каже дека колегите ја примија веста за сертификација со голем ентузијазам, но следново беше јасно:

• Сите клучни вработени ја сфатија важноста и неизбежноста на овој настан;
• Сите други вработени гледаа на клучните вработени.

Се разбира, многу ни помогнаа спецификите на нашата индустрија - аутсорсинг на сметководствени функции. Огромното мнозинство од нашите вработени добро се справуваат со постојаните промени во руското законодавство. Според тоа, воведувањето на неколку десетици нови правила кои сега мора да се почитуваат не беше нешто невообичаено за нив.

Подготвивме нова задолжителна ISO 27001 обука и тестирање за сите наши вработени. Сите послушно ги отстранија лепливите белешки со лозинки од нивните монитори и ги исчистија клупите преполни со документи. Не беше забележано гласно незадоволство - генерално, имавме многу среќа со нашите вработени.

Така, ја поминавме најболната фаза - „депресија“ - поврзана со промените во нашите деловни процеси. Беше тешко и тешко, но резултатот на крајот ги надмина сите наши најлуди очекувања.

Прочитајте ги претходните материјали од серијата:

5 фази на неизбежноста на ISO/IEC 27001 сертификатот. Негирање: заблуди за сертификатот ISO 27001:2013, препорачливоста за добивање сертификат.

5 фази на неизбежноста на ISO/IEC 27001 сертификатот. Лутина: Од каде да почнам? Почетни податоци. Трошоци. Избор на провајдер.

5 фази на неизбежноста на ISO/IEC 27001 сертификатот. Договарање: подготовка на план за имплементација, проценка на ризик, пишување политики.

5 фази на неизбежноста на ISO/IEC 27001 сертификатот. Депресија.

5 фази на неизбежноста на ISO/IEC 27001 сертификатот. Посвојување.

Извор: www.habr.com