W przypadku podejmowania jakiejkolwiek strategicznie ważnej decyzji dla firmy, pracownicy przechodzą podstawowy mechanizm ochronny, znany jako 5 stadiów reakcji na zmiany (autor E. Kubler-Ross). Wybitny psycholog opisała kiedyś emocjonalne reakcje, wyróżniając 5 kluczowych stadiów reakcji emocjonalnej: zaprzeczenie, gniew, targowanie się, depresja i w końcu, akceptacja. Przygotowaliśmy cykl artykułów poświęconych certyfikacji według ISO 27001, w których omówimy każde ze stadiów. Dziś opowiemy o pierwszym z nich – zaprzeczeniu.
Uzyskanie certyfikatu ISO 27001 „dla niepoznaki” to dość wątpliwa przyjemność, wymaga bowiem długiego i kosztownego przygotowania. Jak pokazuje , ten standard na terytorium RF jest niezwykle mało popularny: do dziś tylko 70 firm przeszło certyfikację na zgodność. Tymczasem za granicą jest to jeden z najbardziej poszukiwanych standardów, odpowiadający rosnącym wymaganiom biznesu w zakresie bezpieczeństwa informacji.
Nasza firma oferuje pełen zakres usług outsourcingowych funkcji księgowych: księgowość i podatki, obliczanie wynagrodzeń oraz administracja kadrowa. Zajmujemy jedną z wiodących pozycji na rynku, szczególnie dlatego, że zagraniczne firmy, posiadające oddziały na terenie Rosji, powierzają nam swoje informacje poufne. Dotyczy to nie tylko procesów finansowych naszych klientów, ale także danych osobowych, z którymi pracujemy na co dzień. W związku z tym kwestia bezpieczeństwa informacji jest jednym z naszych priorytetów.
Często wszystkie procesy biznesowe rosyjskich oddziałów są kontrolowane i deklarowane przez główne biura zagranicznych firm, co oznacza, że muszą one spełniać wewnętrzne ogólne standardy grupowe. Ostatnio niektórzy z naszych kluczowych klientów zaczęli przeglądać swoje polityki bezpieczeństwa w kierunku ich zaostrzenia. Oczywiście jest to związane z ogólnoświatowymi trendami wzrostu liczby cyberataków oraz strat związanych z incydentami naruszenia bezpieczeństwa informacji. W przypadku konieczności wdrożenia środków ochrony, polityk i procedur mających na celu zwiększenie bezpieczeństwa informacji w firmie, można obejść się bez certyfikacji ISO/IEC 27001, oszczędzając w ten sposób mnóstwo pieniędzy, czasu i nerwów.
Dziś w przetargach zagranicznych zamawiających zaczęły pojawiać się wymagania dotyczące istniejącego bezpieczeństwa informacji w firmie. Niektórzy, aby uprościć sobie kontrolę i zunifikować podejście, ustanawiają jako obligatoryjny kryterium oceny – posiadanie certyfikacji ISO/IEC 27001.
Mieliśmy tak: jeden z kluczowych międzynarodowych klientów, certyfikowany zgodnie z tym standardem, najwyraźniej poważnie wzmocnił swoją globalną drużynę ds. bezpieczeństwa informacji. Jak się o tym dowiedzieliśmy? Postanowili przeprowadzić audyt naszego systemu zarządzania bezpieczeństwem informacji, ponieważ świadczymy im usługi księgowe oraz administrację kadrową – a zatem bezpieczeństwo naszych systemów informacyjnych jest dla nich niezwykle ważne. Poprzedni audyt miał miejsce 3 lata temu – wówczas wszystko przebiegło stosunkowo bezboleśnie.
Podczas tej audycji zespół hinduski rzucił się na nas, sprytnie odkrywając kilka dziesiątków niedociągnięć w naszym systemie zarządzania bezpieczeństwem. Proces audytu przypominał koło Samsary – wydawało się, że w ogóle nie mieli celu, by dotrzeć do jakiegoś zakończenia w ramach inspekcji. To była niekończąca się seria pytań, uwag, naszych komentarzy oraz dowodów ich rzeczywistości, konferencyjnych połączeń i długich filozoficznych rozmów w próbie rozpoznania akcentu zespołu ds. bezpieczeństwa IT klienta. A tak przy okazji, audyt trwa do dziś w różnym nasileniu – z czasem zaczęliśmy się z tym godzić. W ten sposób potrzeba certyfikacji stała się sama w sobie oczywista.
Może obejdziemy się bez ISO 9001?
Wszyscy ci, którzy są mniej więcej zaznajomieni z kwestią certyfikacji według jakiegokolwiek standardu ISO, rozumieją, że fundamentem każdego z nich jest certyfikat ISO 9001 'System zarządzania jakością'. To chyba najbardziej popularny obecnie certyfikat z całej gamy standardów ISO. Nie mieliśmy go – i postanowiliśmy go nie zdobywać. Było kilka powodów:
- wątpliwa efektywność ekonomiczna posiadania tego certyfikatu przez firmę;
- nasze wewnętrzne procesy w większości już były dostosowane do tego standardu;
- uzyskanie tego certyfikatu wymagałoby dodatkowego czasu i pieniędzy.
W związku z tym postanowiliśmy od razu wdrożyć ISO 27001, nie zaczynając od 'łatwiejszego' 9001.
A może jednak nie warto?
Wróciliśmy do pytania o sens jego uzyskania wiele razy. Zaczęliśmy badać sprawę ze wszystkich stron, ponieważ nie mieliśmy absolutnie żadnej wiedzy ekspertów. I oto błędne przekonania, które skłoniły nas do ponownego zastanowienia się nad tym pytaniem.
Błędne przekonanie nr 1.
Mieliśmy nadzieję, że standard dostarczy nam szczegółową listę kontrolną, zestaw polityk i innych dokumentów statutowych. W rzeczywistości okazało się, że ISO/IEC 27001 to zbiór wymagań dla samego systemu zarządzania bezpieczeństwem informacji i budowanego procesu. Na ich podstawie konieczne było samodzielne zdecydowanie, co napisać / wdrożyć w naszej firmie dla przestrzegania wymogów standardu.
Błędne przekonanie nr 2.
Szczerze wierzyliśmy, że wystarczy nam zapoznać się z jednym dokumentem i wdrożyć go w stosunkowo krótkim czasie samodzielnie. W rzeczywistości, czytając dokument, zdaliśmy sobie sprawę, ile powiązanych standardów „łączy się” z naszym standardem, z którymi standardami trzeba się zapoznać (przynajmniej powierzchownie). „Wisienką na torcie” było brak aktualnych tekstów standardów w otwartym dostępie – trzeba je było kupić na oficjalnej stronie ISO.
Mit nr 3.
Byliśmy pewni, że znajdziemy wszystko, co potrzebne do przygotowania do certyfikacji w otwartych źródłach. Rzeczywiście było wiele materiałów dotyczących ISO 27001 w Internecie, jednak brakowało w nich konkretów. Praktycznie nie było zrozumiałych instrukcji krok po kroku dotyczących przygotowania do certyfikacji oraz rzeczywistych przypadków firm, które wdrożyły ten standard.
Mit nr 4.
Napiszemy polityki, a one nie będą działać! No prawda, w naszej firmie już jest za dużo zasad, nikt nie będzie przestrzegał kolejnych 30 nowych polityk. W rzeczywistości, na szczęście, nasi pracownicy odpowiedzialnie podeszli do zadania zapoznania się z nowymi zasadami i pomyślnie przeszli test z wiedzy na temat dokumentów systemu zarządzania bezpieczeństwem informacji.
Mit nr 5.
W tamtym czasie nie mogliśmy dokładnie ocenić, jakie korzyści przyniesie nam nasza praca. Wówczas liczba zapytań o posiadanie tego certyfikatu nie była zbyt duża, a kluczowy i najbardziej wymagający klient pojawił się u nas długo przed certyfikacją. Doświadczenie pokazało, że poradziliśmy sobie i bez standardu.
W pewnym momencie zrozumieliśmy, że w chaotyczny sposób zamykamy różne luki dzięki wymaganiom klienta. Za każdym razem wymyślaliśmy nowe polityki lub rozwiązania. I w końcu sami doszliśmy do wniosku, że znacznie łatwiej będzie usystematyzować proces, co w przyszłości zaoszczędzi nam dużo pracy. Standard miał na celu uprościć to zadanie.
Obecnie, po dwóch latach, widzimy tendencję wzrostu liczby zapytań i zainteresowania tym tematem ze strony największych międzynarodowych klientów.
Ostateczna decyzja.
Na koniec chcemy powiedzieć, że liderzy naszej branży uzyskali certyfikat ISO/IEC 27001, co zmusiło wszystkich innych dużych dostawców (w tym nas) do przemyślenia tej kwestii. Niewątpliwie, ładny wpis w materiałach marketingowych firmy – na stronie internetowej, w mediach społecznościowych, w reklamowych broszurach itd. – można uznać za miły dodatek, ale czy warto za to tracić tyle zasobów? My sami ustaliliśmy, że dla nas to więcej niż tylko ładny wpis, i zaangażowaliśmy się w ten projekt.
Źródło: habr.com
