Aneks A, deo 11: A.6.5–6.8 — Posle zaposlenja, poverljivost i rad na daljinu

Jedanaesti deo serije o Aneksu A, i poslednji iz poglavlja A.6 — ljudske kontrole. Ove četiri kontrole zatvaraju krug koji je A.6.1 otvorio: šta se dešava kad zaposleni ode, kakva obaveza poverljivosti ostaje i posle toga, i kako se bezbednost održava kad rad izađe iz kancelarije.

Šta ove kontrole traže

A.6.5 — Odgovornosti posle prestanka ili promene zaposlenja. Bezbednosne odgovornosti koje ostaju na snazi i posle prestanka zaposlenja treba da budu definisane, sprovedene i komunicirane relevantnim ljudima.

A.6.6 — Ugovori o poverljivosti. Sporazumi o poverljivosti koji odražavaju potrebe firme za zaštitom informacija treba da budu identifikovani, dokumentovani, redovno preispitivani i potpisani od strane zaposlenih i drugih relevantnih strana.

A.6.7 — Rad na daljinu. Bezbednosne mere treba primeniti kad zaposleni rade na daljinu, kako bi se zaštitile informacije kojima pristupaju, koje obrađuju ili čuvaju van prostorija firme.

A.6.8 — Prijava bezbednosnih događaja. Firma treba da obezbedi mehanizam kroz koji zaposleni mogu blagovremeno da prijave uočene ili sumnjive bezbednosne događaje. Ovo se u potpunosti preklapa sa onim što smo detaljno obradili u vodiču za klauzulu 4.4 i u delu serije o upravljanju incidentima — ako ste taj sistem već uspostavili, ova kontrola je već ispunjena.

Zašto su ove kontrole bitne

A.6.1–6.4 pratile su zaposlenog pre i tokom zaposlenja. Ove četiri kontrole pokrivaju ono što ostaje posle — obavezu koja ne prestaje samog dana kad neko ode, i uslove pod kojima se rad uopšte odvija kad se pomeri van kancelarije, gde je najveći deo dosadašnje kontrole prirodno slabiji.

Primer iz prakse

A.6.5, obaveza koja preživljava odlazak: knjigovodstvena agencija je jednom imala situaciju u kojoj je bivši zaposleni, mesecima posle odlaska, u neformalnom razgovoru sa poznanikom slučajno pomenuo detalj o jednom klijentu — poznanik je, ispostavilo se, radio za konkurentsku agenciju. Ništa ozbiljno se nije desilo, ali je otkrilo da razumevanje trajne obaveze poverljivosti nije bilo dovoljno jasno komunicirano pri odlasku — offboarding procedura, proširena u ranijem delu serije na fizička sredstva, do tada nije uključivala i eksplicitan podsetnik da obaveza poverljivosti ne prestaje sa poslednjim danom rada. Agencija je uvela kratak, formalan razgovor pri odlasku svakog zaposlenog, uz pisani podsetnik poslat nedelju dana kasnije.

A.6.6, ugovor koji smo pominjali, sada detaljnije: ugovor o poverljivosti, pomenut kroz čitav ovaj blog kao preduslov za dodelu pristupa, ne primenjuje se samo na stalno zaposlene. Agencija ga je proširila i na honorarne saradnike koje povremeno angažuje — ista logika koju smo videli kod marketinške agencije iz mini-serije primera, gde je nedostatak baš ovakvog jasnog sporazuma sa honorarcem doveo do produženog pristupa posle završetka saradnje.

A.6.7, pravila za rad koji izlazi iz kancelarije: za razliku od vanrednog rada od kuće opisanog u delu serije o kontinuitetu poslovanja, koji je bio odgovor na poremećaj, agencija dozvoljava i redovan, planiran rad od kuće za administrativne zadatke koji ne uključuju pristup najosetljivijim klijentskim podacima. Pravila su konkretna: rad na klijentskim podacima nikad preko javnog wifi-ja, obavezno zaključavanje ekrana čak i kod kuće kad se laptop ostavlja bez nadzora, i korišćenje iste bezbedne konekcije kao i iz kancelarije, ne bilo koje dostupne mreže.

A.6.8, sistem koji ste već izgradili: kanal za prijavu, opisan u vodiču za klauzulu 4.4, i primenjen kroz primer sumnjivog telefonskog poziva u tekstu o klauzuli 7.3, direktna je i potpuna primena ove kontrole. Nema potrebe za bilo čim dodatnim ako je taj sistem već uspostavljen.

Gde se dokumentuje

A.6.5 dokumentuje se kroz dodatak offboarding proceduri — kratak podsetnik o trajnoj obavezi poverljivosti, uz zapis da je taj razgovor zaista obavljen za svakog ko napusti firmu. A.6.6 dokumentuje se kroz sam potpisan ugovor o poverljivosti, uz spisak svih potpisnika, uključujući honorarne saradnike. A.6.7 dokumentuje se kao kratka tematska politika o radu na daljinu, slična ostalim tematskim politikama opisanim ranije u seriji. A.6.8 se ne dokumentuje posebno — prati isti registar incidenata opisan u vodiču za klauzulu 4.4.

Najčešća greška

Najčešća greška kod A.6.5 je pretpostavka da obaveza poverljivosti automatski nastavlja da postoji u svesti bivšeg zaposlenog bez ijednog eksplicitnog podsetnika — kao što primer iznad pokazuje, to nije uvek slučaj, ne iz zlobe, nego iz jednostavnog zaborava. Kod A.6.6, česta greška je ograničavanje ugovora o poverljivosti samo na stalno zaposlene, dok honorarni saradnici i spoljni partneri ostaju van tog kruga, iako često imaju sličan ili istovetan pristup podacima. Kod A.6.7, greška je dozvoljavanje rada na daljinu bez ijednog jasnog pravila, oslanjajući se isključivo na zdrav razum svakog pojedinca. Kod A.6.8, najčešća greška je ono što smo već detaljno obradili — kanal koji postoji na papiru, ali koji niko u firmi zapravo ne zna ili se ne oseća slobodno da koristi.

Šta sledi

Ovim se zatvara poglavlje A.6 — ljudske kontrole. Sledeći deo serije prelazi na poglavlje A.7 — fizičke kontrole, počevši od fizičkog perimetra i kontrole ulaska, teme koju smo kroz ceo blog pominjali usput, ali nikad detaljno obradili.