Aneks A, deo 1: A.5.1–5.4 — Politike, uloge i odgovornosti

Prvi pravi deo serije o Aneksu A. Prve četiri organizacione kontrole nadovezuju se direktno na ono što smo već obradili u glavnoj seriji — politiku iz klauzule 5.2 i uloge iz klauzule 5.3 — samo sada idemo dublje, u ono što Aneks A dodatno traži preko tih osnova.

Šta ove kontrole traže

A.5.1 — Politike za bezbednost informacija

Klauzula 5.2, koju smo obradili u glavnoj seriji, traži jednu kratku, opštu politiku koju potpisuje rukovodstvo. A.5.1 ide korak dalje: pored te opšte politike, firma treba i tematske politike za konkretne oblasti — kontrolu pristupa, korišćenje uređaja, rezervne kopije, odnose sa dobavljačima, i slično. Svaka tematska politika treba da bude odobrena od rukovodstva, objavljena, komunicirana relevantnim ljudima koji treba da je i potvrde da su pročitali, i redovno preispitivana.

A.5.2 — Uloge i odgovornosti za bezbednost informacija

Klauzula 5.3 iz glavne serije tražila je da budu jasno dodeljene samo dve konkretne odgovornosti — ko obezbeđuje usaglašenost sistema i ko izveštava rukovodstvo. A.5.2 širi ovo na ceo raspon uloga koje sistem stvarno zahteva: vlasnike informacionih sredstava, osobu zaduženu za trijažu incidenata, osobe odgovorne za pojedine tehničke kontrole. Cilj je da za svaki deo sistema postoji jasno imenovana osoba, ne samo za dve centralne uloge.

A.5.3 — Razdvajanje dužnosti

Ovo je koncept koji do sada nismo pominjali: sukobljene dužnosti i oblasti odgovornosti treba razdvojiti. Klasičan primer izvan bezbednosti informacija je finansijska kontrola — ista osoba ne bi trebalo i da odobrava i da izvršava plaćanje. U kontekstu bezbednosti informacija, isti princip znači, na primer, da osoba koja dodeljuje pristup sistemima ne bi trebalo da bude i jedina osoba koja proverava da li je taj pristup ispravno dodeljen — jer bi u suprotnom, u praksi, proveravala sopstveni rad.

A.5.4 — Odgovornosti rukovodstva

Klauzula 5.1 iz glavne serije govorila je o liderstvu najvišeg rukovodstva — vlasnika ili direktora. A.5.4 širi ovu obavezu na sve nivoe rukovodstva: svaki rukovodilac, ne samo vlasnik, treba aktivno da traži od svojih ljudi da primenjuju politiku i procedure bezbednosti informacija u svakodnevnom radu. Bezbednost tako prestaje da bude nešto što dolazi „odozgo", jednom godišnje, i postaje deo svakodnevnog nadzora na svakom nivou.

Zašto su ove kontrole bitne

Ove četiri kontrole čine osnovni skelet na kome počiva sve ostalo u Aneksu A — bez jasnih politika, uloga, razdvojenih odgovornosti i rukovodilaca koji to stvarno sprovode, ni najbolje tehničke kontrole u poglavljima A.7 i A.8 neće biti dosledno primenjene. Ako ste pratili glavnu seriju, primetićete da smo temelje za sve četiri već postavili — ova serija ih sada dovodi do nivoa detalja koji standard stvarno očekuje.

Primer iz prakse

Vratimo se, poslednji put u ovoj seriji na direktan način, na knjigovodstvenu agenciju iz glavne serije, da pokažemo kako ove četiri kontrole izgledaju primenjene zajedno.

Tematske politike (A.5.1): pored opšte politike bezbednosti informacija iz klauzule 5.2, agencija je postepeno napisala kratke, tematske politike: politiku kontrole pristupa (ko dobija pristup čemu i kako se on ukida), politiku o korišćenju uređaja, i politiku o odnosima sa dobavljačima. Svaka je kraća od jedne strane, i svaka se odnosi na konkretnu, prepoznatljivu situaciju iz svakodnevnog rada agencije — ne generičke fraze. O nekoliko ovih tema, poput odnosa sa dobavljačima i rezervnih kopija, pisaćemo detaljnije kasnije u ovoj seriji.

Proširene uloge (A.5.2): pored koordinatorke sistema, imenovane u klauzuli 5.3, i senior knjigovođa kao vlasnika pristupa za svoj portfolio klijenata, agencija je dodala i eksplicitnu ulogu za onoga ko odobrava izmene tematskih politika — u ovom slučaju, vlasnica agencije lično, kako bi se izbeglo da politike menja bilo ko bez nadzora.

Razdvajanje dužnosti (A.5.3): ovde je agencija otkrila stvaran problem. Koordinatorka je, prema procesu opisanom u klauzuli 8.1, i odobravala zahteve za pristup i, prema klauzuli 9.1, sprovodila mesečnu proveru da li su svi aktivni nalozi ispravno dodeljeni — u suštini, proveravala je sopstvenu odluku. Rešenje nije bilo dodavanje nove osobe u firmu, nego preraspodela: vlasnica agencije, nezavisno, jednom u dva meseca nasumično proverava tri do četiri odobrena zahteva iz tog perioda, kao dodatnu, nezavisnu proveru pored koordinatorkine redovne mesečne kontrole.

Odgovornosti rukovodstva (A.5.4): senior knjigovođe, iako nemaju formalnu rukovodeću titulu, svakodnevno nadgledaju rad mlađih kolega. Kad je jedna od njih primetila da mlađi knjigovođa priprema da pošalje izveštaj bez provere primaoca — tačno onu vrstu greške koja je izazvala originalni incident opisan u tekstu o klauzuli 4.1 — zaustavila ga je na licu mesta i podsetila na proceduru, umesto da se osloni isključivo na to da će se zaposleni setiti obuke od pre šest meseci. Ovo je A.5.4 na delu: rukovodstvo koje aktivno traži primenu pravila, ne samo ono koje ih jednom odobri.

Gde se dokumentuje

Tematske politike vode se kao kratki, pojedinačni dokumenti, kontrolisani na način opisan u klauzuli 7.5 — sa verzijom, datumom i odobrenjem. Proširene uloge i razdvajanje dužnosti najčešće se dodaju istoj tabeli uloga i odgovornosti uspostavljenoj još u klauzuli 5.3, samo sa više redova. Za A.5.4 nema posebnog dokumenta — dokazuje se kroz primere poput onog iznad, zapisane, na primer, kao kratka beleška u registru incidenata ili posmatranja.

Najčešća greška

Najčešća greška kod A.5.1 je kopiranje generičkih tematskih politika sa interneta bez prilagođavanja — isti problem koji smo opisali za opštu politiku u klauzuli 5.2, samo umnožen na svaku pojedinačnu temu. Kod A.5.2, česta greška je zaustavljanje na dve uloge koje klauzula 5.3 eksplicitno traži, bez proširenja na ostatak sistema koji Aneks A očekuje. Kod A.5.3, najčešća greška je uopšte ne razmišljati o razdvajanju dužnosti u maloj firmi, uz opravdanje da „nas je premalo za to" — kao što primer iznad pokazuje, rešenje retko zahteva novo zapošljavanje, samo drugačiju raspodelu postojećih ljudi. Kod A.5.4, najčešća greška je posmatranje bezbednosti kao teme koju pokriva isključivo vlasnik ili koordinator, dok ostali rukovodioci i iskusniji članovi tima ostaju potpuno po strani od svakodnevnog sprovođenja.

Šta sledi

Sledeći deo serije ide na kontrole A.5.5–5.7 — odnos sa vlastima i pretnje spolja, gde standard traži da firma ima jasan način komunikacije sa nadležnim institucijama i da prati pretnje relevantne za sopstvenu delatnost, umesto da bezbednost posmatra isključivo kao unutrašnje pitanje.