5 фази на неизбежноста на ISO/IEC 27001 сертификатот. Негација

При донесување на која било стратешки важна одлука за компанијата, вработените поминуваат низ основен одбранбен механизам, добро познат како 5 фази на одговор на промените (од Е. Кублер-Рос). Еден угледен психолог еднаш ги опиша емоционалните реакции, истакнувајќи 5 клучни фази на емоционален одговор: негирање, лутина, зделка, депресија и, конечно, Посвојување. Подготвивме серија написи посветени на ISO 27001 сертификатот, каде што ќе ја разгледаме секоја од фазите. Денес ќе зборуваме за првиот од нив - негирањето.

Добивањето сертификат ISO 27001 „за шоу“ е многу сомнително задоволство, бидејќи бара долга и скапа подготовка. Покрај тоа, како што покажува статистика, овој стандард е крајно непопуларен во Руската Федерација: до денес, само 70 компании се сертифицирани за усогласеност. Во исто време, ова е еден од најпопуларните стандарди во странство, кој ги задоволува растечките барања на бизнисот во областа на информациската безбедност.

Нашата компанија обезбедува целосен опсег на аутсорсинг услуги за сметководствени функции: сметководство и даночно сметководство, платен список и администрација на персоналот. Ние заземаме една од водечките пазарни позиции, особено поради фактот што странските компании со филијали во Русија ни веруваат во нивните доверливи информации. Ова се однесува не само на финансиските процеси на нашите клиенти, туку и на личните податоци со кои работиме секојдневно. Во оваа насока, прашањето за безбедноста на информациите е еден од нашите приоритети.

Често, сите деловни процеси на руските поделби се контролирани и декларирани од седиштата на странски компании, и затоа тие мора да се усогласат со внатрешните стандарди на целата групација. Неодамна, некои од нашите клучни клиенти почнаа да ги ревидираат своите безбедносни политики во насока на нивно заострување. Се разбира, ова се должи на светските трендови во зголемениот број на сајбер напади и загуби поврзани со инциденти со нарушување на безбедноста на информациите. /IEC 27001 сертификат, заштедувајќи на тој начин многу пари, време и нерви.

Денес, барањата за постоечка безбедност на информациите во компанијата почнаа да се појавуваат на тендери од странски клиенти. Некои, со цел да ја поедностават нивната верификација и да го унифицираат пристапот, поставија задолжителен критериум за евалуација - присуство на ISO/IEC 27001 сертификат.

Еве што видовме: Еден од нашите клучни меѓународни клиенти сертифициран според овој стандард се чини дека значително го зајакна својот тим за глобална безбедност на информациите. Како знаевме за ова? Тие решија да го ревидираат нашиот систем за управување со безбедноста на информациите, бидејќи ние им обезбедуваме сметководствени услуги и администрација на персоналот - и, соодветно, безбедноста на нашите информациски системи е критично важна за нив. Претходната ревизија се случи пред 3 години - тогаш сè помина прилично безболно.

Овој пат, пријателски тим од Индијанци не нападна, вешто откопувајќи неколку десетици недостатоци во нашиот систем за управување со безбедноста. Процесот на ревизија наликуваше на тркалото на Самсара - се чинеше дека во принцип немаа цел да стигнат до крајна точка како дел од ревизијата. Тоа беше бескрајна низа прашања, коментари, наши коментари и докази за нивната реалност, конференциски повици и долги филозофски разговори во обидите да се препознае акцентот на тимот за ИТ безбедност на клиентот. Патем, ревизијата продолжува со различен интензитет до ден-денес - со текот на времето се помиривме со ова. Така, потребата за сертификација се појави сама по себе.

Можеби можеме да се задоволиме со ISO 9001?

Секој кој е повеќе или помалку умешен во прашањето за сертификација според кој било од ISO стандардите разбира дека основата за секој од нив е сертификатот ISO 9001 „Систем за управување со квалитет“. Ова е можеби најпопуларниот сертификат во моментов во целата линија на ISO стандарди. Го немавме - и решивме да не го добиеме. Имаше неколку причини за ова:

• сомнителната економска ефикасност на компанијата што го има овој сертификат;
• нашите внатрешни процеси, во најголем дел, веќе беа блиску до овој стандард;
• Добивањето на овој сертификат ќе бара дополнително време и пари.

Соодветно на тоа, решивме веднаш да го имплементираме ISO 27001, без да започнеме со „полесниот“ 9001.

Или можеби сè уште не е потребно?

Гледајќи напред, многупати се навраќавме на прашањето дали е препорачливо да се добие. Почнавме да го проучуваме прашањето од сите страни, бидејќи немавме апсолутно никаква стручност. И еве кои заблуди не натераа уште еднаш да размислиме за ова прашање.

Заблуда број 1.
Се надевавме дека стандардот ќе ни обезбеди детална листа за проверка, листа на политики и други законски документи. Во реалноста, се покажа дека ISO/IEC 27001 е збир на барања за самиот систем за управување со безбедноста на информациите и процесот што се гради. Врз основа на нив, неопходно беше самостојно да се одлучи што да пишува/имплементира во нашата компанија за да се усогласат со барањата на стандардот.

Заблуда број 2.
Искрено верувавме дека ќе ни биде доволно сами да проучиме еден документ и да го спроведеме за релативно кратко време. Во реалноста, додека го читавме документот, сфативме до колку сродни стандарди „се прилепува“ нашиот стандард, со колку стандарди треба да се запознаеме (барем површно). „Црешата“ на тортата беше недостатокот на тековни текстови за стандарди во јавниот домен - тие мораа да се купат на официјалната веб-страница на ISO.

Заблуда број 3.
Бевме уверени дека ќе најдеме се што ни е потребно за да се подготвиме за сертификација во отворени извори. Навистина имаше доста материјали за ISO 27001 на Интернет, но тие беа прилично без специфики. Практично немаше лесно разбирливи чекор-по-чекор инструкции за подготовка за сертификација, како и реални случаи на компании кои го имплементирале овој стандард.

Заблуда број 4.
Ќе пишуваме политики, но нема да функционираат! Па, вистина е, нашата компанија веќе има премногу правила, никој нема да се усогласи со уште 3 дузина нови политики. Во реалноста, за среќа, нашите вработени ја презедоа задачата одговорно да ги совладаат новите правила и успешно го поминаа тестирањето за познавање на документите на системот за управување со безбедноста на информациите.

Заблуда број 5.
Во тоа време, не можевме јасно да процениме какви придобивки ќе добиеме од нашите напори. Во тоа време, бројот на барања за овој сертификат не беше толку голем, а го имавме нашиот клучен и најпребирлив клиент долго пред сертификацијата. Искуството покажа дека се снаоѓавме без стандард.

Во одреден момент, сфативме дека хаотично ја затвораме оваа или друга празнина што се појавува поради барањата на клиентот. Секој пат кога доаѓавме до некои нови политики или решенија. И конечно самостојно дојдовме до заклучок дека ќе биде многу полесно да се систематизира процесот, што дури и ќе ни заштеди многу трошоци за работна сила во иднина. Стандардот имаше за цел да ја поедностави оваа задача.

Сега, две години подоцна, гледаме тренд на зголемување на бројот на барања и интерес за ова прашање од големи меѓународни клиенти.

Конечна одлука.

Како заклучок, би сакале да кажеме дека нашите лидери во индустријата добија сертификат ISO/IEC 27001, што ги принуди сите други големи провајдери (вклучувајќи и нас) да размислуваат за ова прашање. Несомнено, убава линија во маркетинг материјалите на компанијата - на веб-страницата, на социјалните мрежи, во рекламните брошури итн. – може да се смета за пријатен бонус, но дали вреди да се трошат толку многу ресурси за тоа? Сами решивме дека за нас ова е повеќе од само убава линија и се вклучивме во овој проект.

Извор: www.habr.com