Czwarty etap emocjonalnego reagowania na zmiany to depresja. W tym artykule podzielimy się naszym doświadczeniem związanym z przechodzeniem przez najdłuższy i najmniej przyjemny etap – zmiany procesów biznesowych w firmie w celu dostosowania ich do standardu ISO 27001.
Oczekiwanie
Pierwsze pytanie, które zadaliśmy sobie po wyborze organu certyfikującego i konsultanta, brzmiało – ile czasu tak naprawdę będziemy potrzebować na wszystkie niezbędne zmiany?
Początkowy plan prac był tak rozpisany, że powinniśmy zmieścić się w 3 miesiącach.
Wszystko wydawało się proste: trzeba było napisać kilka dziesiątków polityk i nieznacznie zmienić nasze wewnętrzne procesy; następnie przeszkolić współpracowników w związku z tymi zmianami i poczekać jeszcze 3 miesiące (aby pojawiły się „zapisy”, czyli dowody funkcjonowania polityk). Wydawało się, że na tym koniec – certyfikat będzie w naszym zasięgu.
Dodatkowo nie zamierzaliśmy pisać polityk od podstaw – mieliśmy przecież konsultanta, który, jak sądziliśmy, dostarczy nam wszystkie „właściwe” szablony.
W wyniku tych rozważań założyliśmy, że na przygotowanie każdej polityki przeznaczymy po 3 dni.
Zmiany techniczne także nie wyglądały na przerażające: trzeba było skonfigurować zbieranie i przechowywanie zdarzeń, sprawdzić, czy kopie zapasowe odpowiadają polityce, którą napisaliśmy, doposażyć w razie potrzeby pomieszczenia SED i jeszcze trochę innych drobiazgów.
Zespół odpowiedzialny za przygotowanie wszystkiego do certyfikacji składał się z dwóch osób. Planowaliśmy, że będą zajmować się wdrożeniem równolegle z ich głównymi obowiązkami, a każdemu zajmie to maksymalnie 1,5-2 godziny dziennie.
Podsumowując, można powiedzieć, że nasza ocena przewidywanego zakresu prac była dość optymistyczna.
Rzeczywistość
W rzeczywistości wszystko, oczywiście, wyglądało inaczej: szablony polityk dostarczone przez konsultanta okazały się głównie nieprzydatne dla naszej firmy; w Internecie prawie nie było zrozumiałych informacji na temat tego, co i jak należy robić. Jak można się domyślić, plan „napisania jednej polityki w 3 dni” zakończył się fiaskiem. Tak więc przestaliśmy mieścić się w terminach praktycznie od samego początku projektu, a nastrój zaczął powoli opadać.
Eksperckości zespołu było katastrofalnie mało – tak bardzo, że brakowało go nawet na zadawanie właściwych pytań konsultantowi (który, swoją drogą, nie wykazywał zbyt wiele inicjatywy). Sprawy zaczęły postępować jeszcze wolniej, ponieważ trzy miesiące po rozpoczęciu wdrożenia (czyli w momencie, gdy wszystko powinno być już gotowe), zespół opuścił jeden z dwóch kluczowych członków. Na jego miejsce przyszedł nowy kierownik działu IT, który miał za zadanie w krótkim czasie zakończyć proces wdrożenia i zapewnić systemowi zarządzania bezpieczeństwem informacji wszystko, co niezbędne z technicznego punktu widzenia. Zadanie wydawało się trudne… Odpowiedzialni zaczęli wpadać w depresję.
Dodatkowo, kwestia techniczna również okazała się mieć "niuanse". Stanęliśmy przed zadaniem globalnej modernizacji oprogramowania zarówno na stacjach roboczych, jak i na sprzęcie serwerowym. W trakcie konfiguracji systemu do zbierania zdarzeń (logów) okazało się, że brakuje nam zasobów sprzętowych do prawidłowego funkcjonowania systemu. A oprogramowanie do tworzenia kopii zapasowych również potrzebowało modernizacji.
Spoiler: Ostatecznie system zarządzania bezpieczeństwem informacji został heroicznie wdrożony w ciągu 6 miesięcy. I nikt nawet nie umarł!
Co zmieniło się najbardziej?
Bez wątpienia podczas wdrażania standardu w procesach firmy zaszło wiele drobnych zmian. Dla Was wyodrębniliśmy najważniejsze zmiany:
- Formalizacja procesu oceny ryzyk
Wcześniej w firmie nie istniała żadna sformalizowana procedura oceny ryzyk – odbywało się to jedynie mimochodem w ramach ogólnego planowania strategicznego. Jednym z najważniejszych zadań, które zostały rozwiązane w ramach certyfikacji, było wdrożenie Polityki oceny ryzyk firmy, opisującej wszystkie etapy tego procesu i odpowiedzialne osoby za każdy z etapów.
- Kontrola nad wymiennymi nośnikami informacji
Jednym z istotnych ryzyk dla biznesu było korzystanie z nieszyfrowanych pamięci USB: właściwie każdy pracownik mógł zapisać dowolne dostępne informacje na pendrive'a i w najlepszym wypadku go zgubić. W ramach certyfikacji na wszystkich stacjach roboczych pracowników wyłączono możliwość zapisywania jakichkolwiek informacji na pendrive'y – zapis informacji stał się możliwy tylko poprzez zgłoszenie w dziale IT.
- Kontrola nad superużytkownikami
Jednym z głównych problemów było to, że wszyscy pracownicy działu IT posiadali pełne uprawnienia w wszystkich systemach firmy — mieli dostęp do wszystkich informacji. Nikt ich przy tym skutecznie nie kontrolował.
Wdrożyliśmy system Data Loss Prevention (DLP) — program do monitorowania działań pracowników, który analizuje, blokuje i informuje o niebezpiecznej oraz nieproduktywnej działalności. Obecnie powiadomienia o działaniach pracowników działu IT trafiają na skrzynkę e-mail Operacyjnego Dyrektora firmy.
- Podejście do organizacji infrastruktury informacyjnej
Certyfikacja wymagała globalnych zmian i podejść. Tak, musieliśmy zmodernizować część sprzętu serwerowego w związku z rosnącym obciążeniem. W szczególności wydzieliliśmy osobny serwer do systemów zbierania zdarzeń. Serwer został wyposażony w pojemne i szybkie dyski SSD. Zrezygnowaliśmy z oprogramowania do tworzenia kopii zapasowych na rzecz systemów magazynowania, które „z pudełka” mają wszystkie niezbędne funkcjonalności. Zrobiliśmy kilka dużych kroków w stronę koncepcji „infrastruktura jako kod”, co pozwoliło zaoszczędzić dużo miejsca na dysku, rezygnując z tworzenia kopii zapasowych dla niektórych serwerów. W ciągu tygodnia zaktualizowano całe oprogramowanie na stacjach roboczych do Win10. Jednym z problemów, które rozwiązała modernizacja, była możliwość włączenia szyfrowania (w wersji Pro).
- Kontrola dokumentów papierowych
Firma miała poważne ryzyko związane z wykorzystaniem dokumentów papierowych: można je było zgubić, pozostawić w niewłaściwym miejscu lub niewłaściwie zniszczyć. Aby zminimalizować to ryzyko, oznakowaliśmy wszystkie dokumenty papierowe według stopnia poufności i opracowaliśmy procedurę zniszczenia różnych typów dokumentów. Teraz, gdy pracownik otwiera teczkę lub bierze dokument, dokładnie wie, do jakiej kategorii należy ta informacja i jak należy się z nią obchodzić.
- Wynajem rezerwowego centrum danych
Wcześniej wszystkie informacje firmy były przechowywane na serwerach znajdujących się w zewnętrznym, zabezpieczonym centrum danych. Nie były jednak przewidziane procedury na wypadek awarii w tym centrum danych. Rozwiązaniem stał się wynajem zapasowego chmurowego centrum danych oraz tworzenie kopii zapasowych najważniejszych informacji. Aktualnie informacje firmy są przechowywane w dwóch geograficznie oddalonych centrach danych, co pozwala zminimalizować ryzyko ich utraty.
- Testowanie ciągłości biznesowej
W naszej firmie przez kilka lat obowiązywała Polityka ciągłości biznesowej (BCP), opisująca zasady działania pracowników w różnych negatywnych scenariuszach (utrata dostępu do biura, epidemia, przerwy w dostawie prądu itd.). Jednak nigdy nie przeprowadzaliśmy testów ciągłości – to znaczy nigdy nie mierzyliśmy, ile czasu zajmie przywrócenie działalności w każdej z tych sytuacji. W ramach przygotowań do audytu certyfikacyjnego nie tylko to zrobiliśmy, ale także opracowaliśmy plan testowania ciągłości biznesowej na najbliższy rok. Warto zauważyć, że po roku, kiedy stanęliśmy przed koniecznością pełnego przejścia na tryb pracy zdalnej, poradziliśmy sobie z tym zadaniem w trzy dni.
Ważne jest, aby zauważyć, że wszystkie firmy przygotowujące się do certyfikacji mają różne warunki wyjściowe – dlatego w Twoim przypadku mogą być potrzebne zupełnie inne zmiany.
Reakcja pracowników na zmiany
Jak dziwne by to nie było – tutaj spodziewaliśmy się najgorszego – wyszło nie tak źle. Nie można powiedzieć, że koledzy przyjęli wiadomość o certyfikacji z ogromnym entuzjazmem, ale było jasne jedno:
- Wszyscy kluczowi pracownicy rozumieli znaczenie i nieuniknioność tej inicjatywy;
- Wszyscy inni pracownicy równały się do kluczowych pracowników.
Oczywiście, bardzo pomogła nam specyfika naszej branży – outsourcing funkcji księgowych. Absolutna większość naszych pracowników doskonale radzi sobie z ciągłymi zmianami w prawodawstwie Federacji Rosyjskiej. W związku z tym wdrożenie paru dziesiątek nowych zasad, które teraz trzeba przestrzegać, nie stało się dla nich niczym nadzwyczajnym.
Przygotowaliśmy nowy obowiązkowy trening dotyczący ISO 27001 oraz testowania dla wszystkich naszych pracowników. Wszyscy posłusznie zdjęli ze swoich monitorów naklejki z hasłami i uporządkowali zasypane dokumentami biurka. Nie zauważono żadnych głośnych niezadowoleń – ogólnie rzecz biorąc, mamy szczęście w kwestii pracowników.
W ten sposób przeszliśmy najtrudniejszy etap – „depresję” – związaną ze zmianami naszych procesów biznesowych. Było to trudne i skomplikowane, ale ostateczny wynik przewyższył wszystkie najśmielsze oczekiwania.
Przeczytaj poprzednie materiały z cyklu:
5 etapów nieuchronności przyjęcia certyfikacji ISO/IEC 27001. Depresja.
5 etapów nieuchronności przyjęcia certyfikacji ISO/IEC 27001. Akceptacja.
Źródło: habr.com
