5 najčešćih zabluda o ISO 27001 koje male firme imaju

 Četvrti tekst na blogu InfoSec bez stresa. Posle tri teksta o tome šta je standard, koliko košta i kako se sprovodi, vreme je da se pozabavimo mitovima koji najčešće plaše ili zbunjuju vlasnike malih firmi — pre nego što uopšte stignu do prave informacije.

Najveći deo straha i konfuzije oko ISO 27001 ne dolazi od samog standarda, nego od pogrešnih pretpostavki koje kruže po firmama, forumima i, nažalost, ponekad i po ponudama konsultanata kojima odgovara da klijent ostane zbunjen. Evo pet zabluda na koje najčešće nailazimo u razgovoru sa vlasnicima malih i srednjih firmi.

Zabluda #1: „ISO 27001 je stvar IT sektora, mene se to ne tiče"

Ovo je verovatno najraširenija zabluda, i razumljiva je — ime standarda zvuči tehnički, a reč „bezbednost" se automatski povezuje sa firewallovima i antivirusom.

Realnost: ISO 27001 podjednako se bavi ljudima, procesima i fizičkim prostorom koliko i tehnologijom. Ugovor o poverljivosti sa novozaposlenim, procedura za offboarding kad neko napusti firmu, način na koji se čuvaju fizički dokumenti, ko ima ključ od servera sobe, kako se bira i nadzire dobavljač koji ima pristup vašim podacima — sve su to jednako važni delovi standarda kao i lozinke i backup. U praksi, direktor, HR menadžer, osoba zadužena za nabavku i office menadžer su podjednako uključeni u ISMS koliko i IT administrator, samo u drugim segmentima.

Šta ovo znači za vas: ako u firmi razmišljate „ovo je IT projekat, prosledićemo ga sistem administratoru", krenuli ste pogrešnim putem. ISMS je vlasništvo menadžmenta firme, a IT je samo jedan od učesnika.

Zabluda #2: „Kad dobijemo sertifikat, posao je gotov"

Ova zabluda je opasna jer dovodi do stvarnog razočaranja — firma uloži energiju, prođe audit, dobije sertifikat, i onda smatra da je „ISO 27001 tema" zatvorena.

Realnost: sertifikat nije završna linija, nego početak trogodišnjeg ciklusa. Sistem upravljanja bezbednošću informacija je, po definiciji, nešto što se stalno preispituje: redovna procena rizika, interni auditi, sastanci menadžmenta na kojima se pregleda kako sistem funkcioniše, i — što firme najčešće zaborave da ubace u budžet — godišnje nadzorne provere sertifikacionog tela u drugoj i trećoj godini. Ako se sistem posle sertifikacije „zamrzne" i niko ga više ne ažurira, to se na sledećoj proveri vidi vrlo brzo, i može dovesti do gubitka sertifikata.

Šta ovo znači za vas: pre nego što krenete u sertifikaciju, unapred odredite ko će unutar firme dugoročno „vlasnički" voditi sistem — ne samo kroz pripremu, nego i posle dobijanja sertifikata.

Zabluda #3: „Moramo da primenimo baš svih devedeset i nešto kontrola iz standarda"

Ovo je zabluda koja često nepotrebno uplaši male firme još pre nego što uopšte krenu — 93 kontrole iz Aneksa A standarda zvuče kao ogroman i skup poduhvat za firmu od petnaestak ljudi.

Realnost: standard ne traži da primenite svaku kontrolu bez razlike. Nakon procene rizika, firma pravi takozvanu Izjavu o primenljivosti (Statement of Applicability), u kojoj se za svaku kontrolu eksplicitno obrazlaže da li se primenjuje na tu konkretnu firmu, i zašto — ili zašto ne. Mala firma bez fizičkih poslovnica u više gradova, na primer, jednostavno neće imati primenljive kontrole vezane za upravljanje sa više lokacija istog tipa. Cilj nije primeniti sve, nego primeniti ono što je relevantno za vaš stvarni rizik, i to jasno obrazložiti.

Šta ovo znači za vas: ako vam neko od početka priča o „sve 93 kontrole" kao o obavezi, to je znak da ili pojednostavljuje temu, ili ne razume dobro standard. Realan razgovor uvek počinje od procene rizika, a ne od liste kontrola.

Zabluda #4: „Sertifikat znači da nas niko ne može hakovati"

Ovo je zabluda koja ide u oba pravca — firme koje je imaju ponekad postanu preterano opuštene, a firme koje razmišljaju o sertifikaciji je ponekad odbijaju misleći da im „sto posto zaštite" ionako niko ne može garantovati (i u pravu su, ali ne iz razloga koji misle).

Realnost: ISO 27001 je sistem upravljanja rizikom, ne garancija imuniteta. Cilj standarda je da rizik svede na prihvatljiv, dokumentovan i praćen nivo — ne da ga eliminiše u potpunosti, što ni teorijski nije moguće. Sertifikovane firme i dalje mogu biti mete uspešnih napada; razlika je u tome da sertifikovana firma ima dokumentovan proces za prepoznavanje incidenta, jasnu odgovornost ko reaguje i unapred pripremljen plan oporavka — dok firma bez ikakvog sistema u istoj situaciji improvizuje u haosu, obično uz veću štetu i duži zastoj.

Šta ovo znači za vas: sertifikat ne kupujete kao „osiguranje od hakovanja", nego kao dokaz da imate ozbiljan, proveren sistem za upravljanje tim rizikom — što je i ono što klijenti i partneri zapravo žele da vide.

Zabluda #5: „To je za velike firme, mi smo premali i to nam je prejeftino"

Ova zabluda često sprečava male firme da uopšte razmotre opciju, iako bi im, iz poslovnih razloga opisanih u prvom tekstu na ovom blogu, mogla realno koristiti.

Realnost: sam sistem sertifikacije je po prirodi skalabilan prema veličini firme — broj dana audita, koji je glavni deo troška sertifikata, računa se prema broju zaposlenih obuhvaćenih obimom, tako da manja firma sa dobro definisanim, uskim obimom plaća srazmerno manje nego velika korporacija, ne isti fiksni iznos za sve. Dodatno, danas ISO 27001 sve češće traže i srednji, ne samo veliki klijenti i tenderi — banke, osiguravajuće kuće i sve više domaćih i regionalnih kompanija uvode ovo kao standardni deo provere dobavljača, bez obzira na to koliko je dobavljač velik.

Šta ovo znači za vas: „premali smo za ovo" često znači samo da niko još nije napravio realan proračun prilagođen vašoj veličini firme — a upravo to je tema kojom smo se bavili u tekstu o troškovima na ovom blogu.

Zajednički imenilac svih pet zabluda

Sve ove zablude, na ovaj ili onaj način, dolaze iz iste greške: posmatranja ISO 27001 kao jednokratnog, tehničkog, sve-ili-ništa poduhvata, umesto kao postepenog, poslovno opravdanog procesa koji se prilagođava veličini i stvarnim rizicima vaše firme. Kad se ta pretpostavka ukloni, ostatak odluke — da li, kada i kako — postaje mnogo jednostavniji.

Šta sledi

U narednom tekstu konačno ulazimo u konkretan korak koji smo najavljivali u prethodna dva teksta: kako izgleda prva procena rizika za malu firmu, u praksi, korak po korak — tačka od koje realno kreće ceo proces, bez obzira da li ga radite sami, uz konsultanta ili uz softver.