Vid beslut om alla strategiskt viktiga frĂ„gor för företaget gĂ„r anstĂ€llda igenom en grundlĂ€ggande försvarsmekanism som Ă€r vĂ€lkĂ€nd under namnet 5 steg av reaktion pĂ„ förĂ€ndringar (författare E. KĂŒbler-Ross). Den framstĂ„ende psykologen beskrev en gĂ„ng de emotionella reaktionerna och identifierade 5 nyckelstadier av emotionell respons: förnekelse, ilska, förhandling, depression och till slut, acceptans. Vi har förberett en artikelserie om certifiering enligt ISO 27001, dĂ€r vi kommer att diskutera varje av stadierna. Idag kommer vi att berĂ€tta om den första av dem â förnekelse.
Att fÄ ISO 27001-certifikatet "bara för syns skull" Àr en tveksam njutning, eftersom det krÀver lÄng och kostsam förberedelse. Dessutom visar , att denna standard Àr mycket ovanlig i Ryssland: hittills har endast 70 företag genomgÄtt certifiering för överensstÀmmelse. DÀremot Àr det utomlands en av de mest efterfrÄgade standarderna som svarar mot de vÀxande behoven hos företag inom informationssÀkerhet.
VÄrt företag erbjuder ett fullstÀndigt utbud av outsourcingtjÀnster för redovisningsfunktioner: bokföring och skatteredovisning, löneberÀkning och personaladministration. Vi tar en av de ledande positionerna pÄ marknaden, delvis för att utlÀndska företag med enheter i Ryssland litar pÄ att hantera sin konfidentiella information. Detta gÀller inte bara vÄra kunders finansiella processer utan Àven de personuppgifter vi arbetar med dagligen. DÀrför Àr frÄgan om informationssÀkerhet en av vÄra högsta prioriteringar.
Ofta styrs och deklareras alla affÀrsprocesser i ryska avdelningar av huvudkontoren för utlÀndska företag, vilket innebÀr att de mÄste följa interna gemensamma standarder. PÄ senare tid har nÄgra av vÄra nyckelkunder börjat ompröva sina sÀkerhetspolicies för att strama Ät dem. Detta Àr utan tvekan kopplat till de globala trenderna kring ökande antal cyberattacker och förluster relaterade till incidenter av informationssÀkerhetsbrott. Vid behov av införande av skyddsÄtgÀrder, policies och procedurer för att öka företagets informationssÀkerhet kan man klara sig utan ISO/IEC 27001-certifiering och dÀrigenom spara bÄde pengar, tid och oro.
Idag har krav pÄ befintlig informationssÀkerhet i företaget börjat dyka upp i utlÀndska bestÀllares anbud. Vissa, för att förenkla sin granskning och standardisera sin strategi, gör ISO/IEC 27001-certifiering till ett obligatoriskt bedömningskriterium.
Vi har haft det sĂ„ hĂ€r: en av vĂ„ra nyckelkunder, certifierade enligt denna standard, har uppenbarligen allvarligt stĂ€rkt sitt globala team för informationssĂ€kerhet. Hur fick vi reda pĂ„ detta? De beslutade att göra en revision av vĂ„rt system för informationssĂ€kerhet, eftersom vi erbjuder dem redovisningstjĂ€nster och personaladministration â och dĂ€rmed Ă€r skyddet av vĂ„ra informationssystem avgörande för dem. Den senaste revisionen genomfördes för tre Ă„r sedan â den gĂ„ngen gick allt relativt smidigt.
Den hĂ€r gĂ„ngen blev vi överrumplade av ett sammansvetsat team av indier som snabbt upptĂ€ckte ett flertal brister i vĂ„rt sĂ€kerhetsledningssystem. Auditprocessen pĂ„minde om samsara-hjulet â det verkade som om de överhuvudtaget inte hade nĂ„got mĂ„l att nĂ„ en slutpunkt i sin granskning. Det var en oĂ€ndlig rad av frĂ„gor, kommentarer, vĂ„ra svar och bevis pĂ„ deras verklighet, konferenssamtal och lĂ„nga filosofiska diskussioner i ett försök att förstĂ„ IT-sĂ€kerhetsteamets accent. Förresten, auditprocessen pĂ„gĂ„r fortfarande med varierande intensitet Ă€n idag â sĂ„ smĂ„ningom har vi lĂ€rt oss att acceptera det. SĂ„ledes blev behovet av certifiering oundvikligt.
Kanske klarar vi oss med ISO 9001?
Alla som Ă€r mer eller mindre insatta i frĂ„gan om certifiering enligt nĂ„gon ISO-standard förstĂ„r att grunden för var och en av dem Ă€r certifikatet ISO 9001 "Kvalitetsledningssystem". Det Ă€r troligtvis det mest populĂ€ra certifikatet just nu bland alla ISO-standarder. Vi hade det inte â och vi beslutade oss för att inte skaffa det. Det fanns flera skĂ€l till detta:
- den tveksamma ekonomiska effektiviteten av att ha denna certifiering för företaget;
- vÄra interna processer var redan i stor utstrÀckning anpassade till denna standard;
- att fÄ detta certifikat skulle krÀva extra tid och pengar.
DÀrför beslutade vi att direkt implementera ISO 27001, utan att börja med den "lÀttare" 9001.
Eller kanske Àr det ÀndÄ inte nödvÀndigt?
För att gÄ framÄt, har vi flera gÄnger Äterkommit till frÄgan om det Àr vettigt att skaffa det. Vi började studera Àmnet ur alla perspektiv, eftersom vi inte hade nÄgon som helst expertis. HÀr Àr missuppfattningarna som fick oss att fundera en gÄng till.
Missuppfattning nummer 1.
Vi hoppades att standarden skulle ge oss en detaljerad checklista, en lista över policys och andra stadgar. I verkligheten visade det sig att ISO/IEC 27001 Àr en uppsÀttning krav pÄ sjÀlva informationssÀkerhetsledningssystemet och de processer som ska uppbyggas. Baserat pÄ dessa var vi tvungna att sjÀlvstÀndigt avgöra vad vi skulle skriva eller införa i vÄrt företag för att uppfylla standardens krav.
Missuppfattning nummer 2.
Vi trodde uppriktigt att det skulle rĂ€cka med att studera ett dokument och genomföra det pĂ„ relativt kort tid sjĂ€lva. I verkligheten insĂ„g vi, nĂ€r vi lĂ€ste dokumentet, hur mĂ„nga angrĂ€nsande standarder vĂ„r standard hĂ€nger ihop med och hur mĂ„nga standarder vi behövde bekanta oss med (Ă„tminstone ytligt). "KörsbĂ€ret pĂ„ toppen av tĂ„rtan" var bristen pĂ„ aktuella standardtexter i öppen tillgĂ„ng â de behövde köpas frĂ„n den officiella ISO-webbplatsen.
Missuppfattning â3.
Vi var övertygade om att vi skulle hitta allt som behövdes för att förbereda oss för certifieringen i offentliga kÀllor. Det fanns verkligen mycket material om ISO 27001 pÄ internet, men det var ganska lite konkret information. NÀstan inga lÀttförstÄeliga steg-för-steg-instruktioner för att förbereda sig för certifieringen fanns, liksom verkliga fall av företag som implementerat denna standard.
Missuppfattning â4.
Vi kommer att skriva riktlinjer, men de kommer inte att fungera! Visst, vÄrt företag har redan för mÄnga regler, ingen kommer att följa ytterligare tre dussin nya riktlinjer. I verkligheten, tack och lov, tog vÄra anstÀllda sitt uppdrag pÄ allvar för att förstÄ de nya reglerna och genomförde med framgÄng testerna pÄ sin kunskap om informationssÀkerhetssystemets dokument.
Missuppfattning â5.
Vid den tiden kunde vi inte tydligt bedöma vilken nytta vi skulle fÄ av vÄrt arbete. DÄ var efterfrÄgan pÄ detta certifikat inte sÄ stor och vÄr nyckelkund, som stÀller de högsta krav, dök upp lÄngt innan certifieringen. Erfarenheten visade att vi klarade oss Àven utan standarden.
Vid en tidpunkt insÄg vi att vi i en kaotisk ordning stÀngde de olika luckorna tack vare kundens krav. Varje gÄng uppfann vi nya riktlinjer eller lösningar. Och vi kom Àntligen fram till att det skulle vara mycket enklare att systematisera processen, vilket i framtiden skulle spara oss mycket arbetskraft. Standarden syftade till att förenkla denna uppgift.
Nu, tvÄ Är senare, ser vi en trend med ökande efterfrÄgan och intresse för denna frÄga frÄn de största internationella kunderna.
Slutligt beslut.
Avslutningsvis vill vi sĂ€ga att branschledarna har fĂ„tt ISO/IEC 27001-certifikatet, vilket har fĂ„tt andra stora leverantörer (inklusive oss) att tĂ€nka efter kring denna frĂ„ga. SjĂ€lvklart kan en vacker rad i företagets marknadsföringsmaterial â pĂ„ webbplatsen, i sociala medier, i reklambroschyrer osv. â betraktas som en trevlig bonus, men Ă€r det vĂ€rt att spendera sĂ„ mycket resurser pĂ„ den? Vi har kommit fram till att det för oss Ă€r mer Ă€n bara en vacker rad, och vi har gett oss in i detta projekt.
KĂ€lla: habr.com
