Aneks A, deo 2: A.5.5–5.7 — Odnos sa vlastima i pretnje spolja

Drugi deo serije o Aneksu A. Ove tri kontrole pomeraju fokus sa unutrašnjeg uređenja firme, koje smo pokrili u prvom delu, na nešto što male firme skoro nikad unapred ne pripreme — vezu sa spoljnim svetom kad zatreba pomoć ili informacija.

Šta ove kontrole traže

A.5.5 — Odnos sa vlastima

Firma treba da uspostavi i održava kontakt sa relevantnim nadležnim organima — regulatorima, telima za zaštitu podataka, organima za sprovođenje zakona, i sličnim institucijama. Cilj nije formalno članstvo ili stalna komunikacija, nego jednostavno znanje: ko se kontaktira, kada, i kako, pre nego što se to zaista zatraži pod pritiskom.

A.5.6 — Odnos sa interesnim grupama

Firma treba da održava kontakt sa strukovnim udruženjima, bezbednosnim forumima ili sličnim grupama relevantnim za njenu delatnost. Ovo je izvor ranih upozorenja, dobre prakse i, često, besplatnih saveta — mnogo pristupačnije malim firmama nego što zvuči.

A.5.7 — Obaveštajni podaci o pretnjama

Firma treba da prikuplja i analizira informacije o pretnjama bezbednosti informacija kako bi proizvela upotrebljivo znanje o tome šta joj konkretno preti. Za veliku korporaciju ovo može značiti posebnu službu ili plaćenu pretplatu na komercijalne izvore; za malu firmu, dovoljno je redovno pratiti relevantna upozorenja i preneti ih u konkretnu akciju, umesto da ostanu nepročitana u nekom mejlu.

Zašto su ove kontrole bitne

Ove tri kontrole rešavaju problem koji retko ko primeti dok se ne pojavi: kad se nešto ozbiljno desi, prvo pitanje glasi „koga sad zovemo?" — a odgovor se, bez pripreme, traži usred krize, ne pre nje. Isto važi i za pretnje: firma koja nikad ne prati šta se dešava van sopstvenih zidova prvi put sazna za novu vrstu prevare tek kad je sama žrtva, umesto da je na vreme upozorena i pripremljena.

Primer iz prakse

Kad je knjigovodstvena agencija uvodila sistem, koordinatorka je sastavila kratak referentni spisak, direktno primenjujući A.5.5: RATEL i Nacionalni CERT za bezbednosne incidente vezane za IKT sisteme, Poverenik za informacije od javnog značaja i zaštitu podataka o ličnosti za obaveze prijave u slučaju curenja ličnih podataka, i nadležna organizaciona jedinica policije za visokotehnološki kriminal. Spisak je kratak — samo naziv institucije, kad se kontaktira, i osnovni kontakt podaci — ali dovoljan da ne mora da se traži usred krize.

Ovaj spisak se prvi put pokazao korisnim, mada indirektno, tokom situacije opisane u tekstu o klauzuli 7.3 — sumnjivog telefonskog poziva koji se predstavljao kao banka klijenta. Poziv se ispostavio kao pokušaj bez stvarnih posledica, pa nijedan spoljni organ nije morao da bude kontaktiran. Ali koordinatorka je, tokom te situacije, znala tačno šta bi sledeći korak bio da je poziv bio uspešan — što joj je, po sopstvenim rečima, značajno smanjilo stres tokom same situacije, bez obzira na ishod.

Za A.5.6, koordinatorka se pridružila onlajn zajednici posvećenoj bezbednosti informacija u malim firmama i pretplatila se na upozorenja Nacionalnog CERT-a. Kroz baš taj kanal, primenjujući A.5.7, dobila je upozorenje o novoj vrsti phishing prevare koja se specifično predstavlja kao poreska uprava i traži finansijske podatke klijenata — obrazac koji direktno pogađa knjigovodstvene agencije. Umesto da čeka da se ista prevara dogodi njenoj firmi, odmah je ažurirala narednu rundu obuke tima, tačno onim primerom, pre nego što se iko od zaposlenih ikad susreo sa takvim pokušajem.

Gde se dokumentuje

Za A.5.5, dovoljan je kratak, jedan-dokument spisak nadležnih organa sa osnovnim kontakt podacima, koji se povremeno proverava da li su podaci još uvek tačni. Za A.5.6, dovoljno je zabeležiti kojim grupama ili izvorima firma prati — ime izvora, ko ga prati, koliko često. A.5.7 se najbolje dokumentuje kroz kratku belešku svaki put kad neko upozorenje rezultuje konkretnom akcijom, poput izmene obuke u primeru iznad — ne kroz opsežan izveštaj, nego kroz trag da se upozorenje zaista pretvorilo u nešto korisno.

Najčešća greška

Najčešća greška kod A.5.5 je potpuno odsustvo pripreme — firma prvi put traži kontakt nadležnog organa tek kad joj zaista zatreba, u trenutku kad je najmanje sposobna da mirno istražuje. Kod A.5.6, česta greška je posmatranje ovoga kao nepotrebnog dodatka za malu firmu — u stvarnosti, većina relevantnih izvora (CERT upozorenja, besplatne zajednice) ne košta ništa, samo zahteva da se neko pretplati i povremeno pročita šta stigne. Kod A.5.7, najveća greška je prikupljanje informacija bez ikakve akcije — upozorenja koja stignu, ali ih niko ne poveže sa sopstvenom obukom ili kontrolama, čime cela kontrola postaje formalnost bez stvarne koristi.

Šta sledi

Sledeći deo serije ide na kontrole A.5.8–5.13 — bezbednost u projektima i upravljanje sredstvima, gde se vraćamo unutar firme, na to kako se bezbednost ugrađuje u nove projekte od samog početka, i kako se vodi evidencija o tome šta firma uopšte poseduje i treba da štiti.