Det fjĂ€rde steget i den emotionella reaktionen pĂ„ förĂ€ndringar Ă€r depression. I denna artikel kommer vi att berĂ€tta om vĂ„r erfarenhet av att genomgĂ„ det mest utdragna och obehagliga steget â förĂ€ndringarna i företagets affĂ€rsprocesser för att uppnĂ„ överensstĂ€mmelse med ISO 27001-standarden.
FörvÀntningar
Den första frĂ„gan vi stĂ€llde oss efter att ha valt certifieringsorgan och konsulter var â hur mycket tid kommer vi faktiskt att behöva för alla nödvĂ€ndiga förĂ€ndringar?
Den ursprungliga arbetsplanen var utarbetad sÄ att vi skulle klara det pÄ 3 mÄnader.
Allt verkade enkelt: det var nödvÀndigt att skriva ett par dussin policyer och göra nÄgra mindre förÀndringar i vÄra interna processer; sedan utbilda kollegorna om förÀndringarna och vÀnta ytterligare 3 mÄnader (för att fÄ fram 'register', det vill sÀga bevis pÄ att policyerna fungerar). Det verkade som om vi skulle ha certifikatet i hand.
Dessutom planerade vi inte att skriva policyerna frÄn grunden - vi hade ju en konsult som vi trodde skulle ge oss alla 'rÀtta' mallar.
Som ett resultat av dessa övervÀganden berÀknade vi 3 dagar för att förbereda varje policy.
De tekniska förÀndringarna verkade inte heller skrÀmmande: vi behövde stÀlla in insamlingen och lagringen av hÀndelser, kontrollera om sÀkerhetskopiorna överensstÀmde med den policy vi hade skrivit, uppgradera dÀr det var nödvÀndigt och nÄgot mer av smÄsaker.
Teamet som förberedde allt som behövdes för certifieringen bestod av tvÄ personer. Vi planerade att de skulle arbeta med genomförandet parallellt med sina huvudsakliga uppgifter, och att vardera skulle ta max 1,5-2 timmar per dag.
Sammanfattningsvis kan man sÀga att vÄr syn pÄ den kommande arbetsmÀngden var ganska optimistisk.
Verklighet
I verkligheten var allt förstÄs annorlunda: mallarna för policyerna som tillhandahölls av konsulten visade sig huvudsakligen vara icke tillÀmpliga för vÄrt företag; det fanns nÀstan ingen begriplig information pÄ nÀtet om vad och hur man skulle göra. Som ni förstÄr, kollapsade planen 'att skriva en policy pÄ 3 dagar' fullstÀndigt. SÄ vi började misslyckas med tidsramarna nÀstan frÄn projektets början, och stÀmningen började lÄngsamt försÀmras.
Expertisen i teamet var katastrofalt lĂ„g â sĂ„ lĂ„g att den inte ens rĂ€ckte till för att stĂ€lla rĂ€tt frĂ„gor till konsulten (som för övrigt inte visade mycket initiativ). Arbetet blev Ă€nnu lĂ„ngsammare, eftersom en av de tvĂ„ nyckelpersonerna lĂ€mnade teamet tre mĂ„nader efter projektstarten (vid den tidpunkt dĂ„ allt borde ha varit klart). En ny IT-chef tog över, och som skulle slutföra implementeringsprocessen pĂ„ kort tid och se till att informationssĂ€kerhetssystemet fick allt nödvĂ€ndigt ur teknisk synvinkel. Uppdraget sĂ„g ut att vara utmanande⊠De ansvariga började kĂ€nna sig nedstĂ€mda.
Dessutom visade den tekniska sidan av frĂ„gan sig ocksĂ„ ha 'nyanser'. Vi stod inför uppgiften att globalt modernisera mjukvaran bĂ„de pĂ„ arbetsstationerna och pĂ„ serverutrustningen. Under konfigurationen av systemet för insamling av hĂ€ndelser (loggar) upptĂ€ckte vi att vi saknade hĂ„rdvaruresurser för att systemet skulle fungera normalt. Ăven mjukvaran för sĂ€kerhetskopiering behövde uppgraderas.
Spoiler: Till slut blev informationssÀkerhetssystemet framgÄngsrikt implementerat pÄ 6 mÄnader. Och ingen dog ens!
Vad förÀndrades mest?
Utan tvekan skedde en mÀngd smÄ förÀndringar under implementeringen av standarden i företagets processer. Vi har identifierat de mest betydelsefulla förÀndringarna för er:
- Formaliseringen av riskbedömningsprocessen
Tidigare fanns det ingen formell procedur för riskbedömning pĂ„ företaget â det gjordes bara som en del av den övergripande strategiska planeringen. En av de viktigaste uppgifterna som löstes under certifieringen var implementeringen av företagets riskbedömningspolicy, som beskriver alla steg i denna process och de ansvariga för varje steg.
- Kontroll över bÀrbara informationslagringsmedia
En av de betydande riskerna för verksamheten var anvĂ€ndningen av oskyddade USB-minnen: i praktiken kunde vilken anstĂ€lld som helst spela in vilken information som helst pĂ„ ett minne och i bĂ€sta fall förlora det. Under certifieringen stĂ€ngdes möjligheten att ladda ner information till minnen pĂ„ alla anstĂ€lldas arbetsstationer â registrering av information blev möjlig endast genom en begĂ€ran till IT-avdelningen.
- Ăvervakning av superanvĂ€ndare
En av de största problemen var att alla medarbetare inom IT-avdelningen hade absoluta rĂ€ttigheter i alla företagets system â de hade tillgĂ„ng till all information. Ingen övervakade dem ordentligt.
Vi har implementerat ett system för Data Loss Prevention (DLP) â ett program för att övervaka medarbetares aktiviteter som analyserar, blockerar och skickar aviseringar om farlig och oproduktiv verksamhet. Nu fĂ„r företagets operativa direktör aviseringar om IT-avdelningens Ă„tgĂ€rder via e-post.
- TillvÀgagÄngssÀtt för organisering av informationsinfrastruktur
Certifieringen krÀvde globala förÀndringar och tillvÀgagÄngssÀtt. Ja, vi var tvungna att modernisera en del av serverutrustningen pÄ grund av den ökade belastningen. I synnerhet har vi avsatt en separat server för insamlingssystem. Servern var utrustad med stora och snabba SSD-lagringar. Vi övergav backup-programvaran och valde lagringssystem som har all nödvÀndig funktionalitet "out of the box". Vi har tagit flera stora steg mot konceptet "infrastruktur som kod", vilket har sparat mycket diskutrymme genom att avstÄ frÄn backup av flera servrar. Inom kort tid (1 vecka) uppgraderades all programvara pÄ arbetsstationer till Win10. En av frÄgorna som moderniseringen löste var möjligheten att aktivera kryptering (i Pro-versionen).
- Ăvervakning av pappersdokument
Företaget hade betydande risker kopplade till anvÀndningen av pappersdokument: de kunde förloras, lÀmnas pÄ olÀmpliga platser eller förstöras felaktigt. För att minimera sÄdana risker har vi mÀrkt alla pappersdokument efter konfidentialitetsgrad och utvecklat en procedur för destruktion av olika typer av dokument. Nu, nÀr en medarbetare öppnar en mapp eller tar ett dokument, vet de exakt vilken kategori informationen tillhör och hur den ska hanteras.
- Hyra av en reserv datacenter
Tidigare lagrades all företagsinformation pÄ servrar belÀgna i ett externt skyddat datacenter. Det fanns dock inga rutiner för nödsituationer i detta datacenter. Lösningen blev att hyra ett reservmoln datacenter och sÀkerhetskopiera den mest viktiga informationen dit. Nu lagras företagets information i tvÄ geografiskt Ätskilda datacenter, vilket minimerar risken för förlust.
- Test av verksamhetens kontinuitet
I vĂ„rt företag har vi under flera Ă„r haft en Policy för verksamhetens kontinuitet (BCP) som beskriver de anstĂ€lldas handlingssĂ€tt vid olika negativa scenarier (förlust av tillgĂ„ng till kontoret, epidemi, strömavbrott osv.). Vi har dock aldrig genomfört nĂ„got kontinuitetstest â det vill sĂ€ga, vi har aldrig mĂ€tt hur lĂ„ng tid det skulle ta att Ă„terstĂ€lla verksamheten i var och en av dessa situationer. Som förberedelse inför certifieringsauditen har vi inte bara genomfört detta, utan Ă€ven utvecklat en plan för kontinuitetstestning för det kommande Ă„ret. Det Ă€r vĂ€rt att notera att efter ett Ă„r, nĂ€r vi stĂ€lldes inför behovet av en fullstĂ€ndig övergĂ„ng till distansarbete, klarade vi av detta pĂ„ tre dagar.
Det Ă€r viktigt att notera, att alla företag som förbereder sig för certifiering har olika startförhĂ„llanden â sĂ„ i ditt fall kan helt andra förĂ€ndringar vara nödvĂ€ndiga.
Reaktionen hos de anstÀllda pÄ förÀndringar
Konstigt nog â hĂ€r förvĂ€ntade vi oss det sĂ€msta â gick det inte sĂ„ illa. Man kan inte sĂ€ga att kollegorna tog nyheten om certifieringen med stort entusiasm, men det var uppenbart följande:
- Alla nyckelpersoner förstod vikten och oundvikligheten av denna ÄtgÀrd;
- Alla andra anstÀllda sÄg upp till nyckelpersonerna.
SjĂ€lvklart hjĂ€lpte det oss mycket att vĂ„r bransch â outsourcingen av bokföringsfunktioner. Den absoluta majoriteten av vĂ„ra anstĂ€llda klarar av de stĂ€ndiga förĂ€ndringarna i rysk lagstiftning. DĂ€rmed blev införandet av nĂ„gra dussin nya regler som nu mĂ„ste följas inget sĂ€rskilt extraordinĂ€rt för dem.
Vi har förberett en ny obligatorisk utbildning om ISO 27001 och tester för alla vÄra anstÀllda. Alla tog snÀllt bort klisterlappar med lösenord frÄn sina skÀrmar och rensade sina bord som var överfulla med dokument. Ingen högljudd missnöje har observerats - generellt sett har vi haft tur med vÄra anstÀllda.
SĂ„ledes har vi passerat den mest smĂ€rtsamma fasen â "depression" â relaterad till förĂ€ndringarna i vĂ„ra affĂ€rsprocesser. Det var tufft och utmanande, men resultatet övertrĂ€ffade vĂ„ra vildaste förvĂ€ntningar.
LÀs tidigare material frÄn serien:
5 faser av oundviklighet i antagandet av ISO/IEC 27001-certifiering. Depression.
5 faser av oundviklighet i antagandet av ISO/IEC 27001-certifiering. Acceptans.
KĂ€lla: habr.com
