Aneks A, deo 10: A.6.1–6.4 — Pre i tokom zaposlenja

Deseti deo serije o Aneksu A, i prvi iz poglavlja A.6 — ljudske kontrole. Osam kontrola u ovom poglavlju su, u brojčanom smislu, najmanja grupa u celom Aneksu A, ali su u praksi često presudne — najveći broj propusta kroz ovaj blog došao je od ljudi, ne od tehnologije.

Šta ove kontrole traže

A.6.1 — Provera pre zapošljavanja. Pre nego što neko postane deo tima, treba sprovesti proveru — proporcionalnu poslovnim zahtevima, osetljivosti podataka kojima će ta osoba imati pristup, i proceni rizika. Ne traži se isti nivo provere za svaku poziciju.

A.6.2 — Uslovi zaposlenja. Ugovorni odnos treba eksplicitno da navede odgovornosti zaposlenog i firme u pogledu bezbednosti informacija — ne samo opis posla, nego i konkretnu bezbednosnu obavezu.

A.6.3 — Svest, edukacija i obuka o bezbednosti informacija. Zaposleni i relevantne zainteresovane strane treba da dobiju odgovarajuću svest, edukaciju i obuku, uz redovna ažuriranja. Ovo se značajno preklapa sa klauzulama 7.2 i 7.3 iz glavne serije — razlika je što ova kontrola eksplicitno naglašava redovnost, ne jednokratan događaj.

A.6.4 — Disciplinski proces. Treba da postoji formalizovan i komuniciran disciplinski proces za slučajeve kršenja politike bezbednosti informacija.

Zašto su ove kontrole bitne

Ove četiri kontrole prate zaposlenog od trenutka pre nego što uopšte postane deo tima, kroz ceo period zaposlenja. A.6.4 zaslužuje posebnu napomenu, jer lako može delovati u suprotnosti sa nečim što smo dosledno zagovarali kroz ceo ovaj blog — kulturom bez kažnjavanja, opisanom u vodiču za klauzulu 4.4. Nije. Kultura bez kažnjavanja odnosi se na poštene greške i dobronamernu prijavu problema — tačno ono što smo pratili kroz većinu primera na ovom blogu. Disciplinski proces odnosi se na nešto sasvim drugo: namerno ili ponovljeno kršenje pravila, uprkos jasnom upozorenju. Razlika između ta dva mora biti eksplicitno napisana i poznata timu, jer upravo ta jasnoća štiti kulturu bez kažnjavanja, umesto da je ugrožava — zaposleni koji zna tačno gde je granica lakše veruje da poštena greška neće biti tretirana isto kao namerno kršenje.

Primer iz prakse

A.6.1, provera proporcionalna riziku: knjigovodstvena agencija proverava reference i prethodno radno iskustvo za svakog kandidata koji će imati pristup finansijskim podacima klijenata — razgovor sa prethodnim poslodavcem, provera navedenih kvalifikacija. Za administrativnu poziciju bez pristupa klijentskim podacima, provera je jednostavnija. Nivo provere prati nivo pristupa, ne isti standard za svakoga.

A.6.2, obaveza koju ste već sretali kroz ovaj blog: ugovor o poverljivosti, pomenut više puta kroz seriju kao preduslov za dodelu naloga novom zaposlenom, jeste direktna primena ove kontrole — bezbednosna obaveza eksplicitno uneta u sam uslov zaposlenja, ne samo usmeno pomenuta na prvom danu.

A.6.3, redovnost kao ključna razlika: obuka o svesti, detaljno obrađena u klauzuli 7.3, i kompetentnost ključnih uloga iz klauzule 7.2 već postoje u agenciji. Ono što je A.6.3 dodala jeste eksplicitan raspored ažuriranja — obuka se ne ponavlja samo „kad se neko seti", nego po fiksnom godišnjem rasporedu, uz dodatne, kraće podsetnike svaki put kad se pojavi nova, relevantna pretnja, poput phishing obrasca opisanog u delu serije o odnosu sa vlastima i pretnjama.

A.6.4, gde prolazi prava granica: zamislimo situaciju različitu od bilo koje ranije opisane na ovom blogu — zaposleni koji je, uprkos završenoj obuci i eksplicitnom upozorenju, nastavio da deli svoju lozinku sa kolegom „da uštede vreme", i to čak i pošto mu je koordinatorka lično objasnila zašto je to protivno politici. Ovo nije poštena greška poput pogrešno poslatog mejla iz teksta o klauzuli 4.1 — to je svesno, ponovljeno zaobilaženje poznatog pravila. Upravo za ovakav slučaj, ne za poštene greške, postoji disciplinski proces agencije: prvo pismeno upozorenje uz jasno objašnjenje razlike između ovog slučaja i primera poštenih grešaka iz ranijih tekstova, sa ozbiljnijim merama predviđenim ako se ponašanje nastavi.

Gde se dokumentuje

A.6.1 dokumentuje se kroz kratku belešku o sprovedenoj proveri za svaku poziciju, srazmerno pristupu koji ta pozicija nosi. A.6.2 dokumentuje se kroz sam ugovor o radu ili angažovanju, uz prilog o bezbednosnim obavezama. A.6.3 dokumentuje se kroz plan obuka opisan u klauzuli 7.3, sa dodatim godišnjim rasporedom. A.6.4 dokumentuje se kroz kratak, pisan disciplinski proces — koji koraci slede, ko odlučuje, i, što je posebno bitno, jasno napisana razlika između poštene greške i namernog kršenja, tako da svako u firmi zna gde je ta granica pre nego što mu ikad zatreba.

Najčešća greška

Najčešća greška kod A.6.1 je isti nivo provere za svaku poziciju, bez obzira na stvarni pristup — što ili nepotrebno usporava zapošljavanje za pozicije niskog rizika, ili ostavlja nedovoljno proverene ljude na pozicijama visokog rizika. Kod A.6.2, greška je ugovor koji uopšte ne pominje bezbednosne obaveze, ostavljajući ih isključivo usmenoj komunikaciji koja se lako zaboravi. Kod A.6.3, najčešća greška je tretiranje obuke kao jednokratnog događaja pri zapošljavanju, bez ikad planiranog ažuriranja. Kod A.6.4, najozbiljnija greška — i razlog zašto smo ovoj kontroli posvetili posebnu pažnju — jeste nejasna ili nepostojeća granica između poštene greške i namernog kršenja, što vodi u dva podjednako loša ishoda: kažnjavanje ljudi za iskrene greške, što uništava kulturu prijavljivanja, ili potpuno odsustvo posledica za stvarno, ponovljeno kršenje pravila, što uništava kredibilitet sistema.

Šta sledi

Sledeći deo serije ide na kontrole A.6.5–6.8 — šta se dešava posle prestanka zaposlenja, poverljivost i rad na daljinu, čime se zatvara poglavlje A.6 i ljudske kontrole u celini.