Aneks A, deo 3: A.5.8–5.13 — Bezbednost u projektima i upravljanje sredstvima

Treći deo serije o Aneksu A. Vraćamo se unutar firme — na to kako se bezbednost ugrađuje u nove projekte od samog početka, i kako se vodi evidencija o tome šta firma uopšte poseduje, ko sme da to koristi, i šta se dešava kad neko ode.

Šta ove kontrole traže

A.5.8 — Bezbednost informacija u upravljanju projektima. Bezbednost informacija treba da bude ugrađena u svaki projekat firme od samog početka, ne dodata naknadno kad neko primeti propust. Ovo je bliska rođaka klauzule 6.3, koju smo obradili u glavnoj seriji, samo primenjena specifično na projekte — nove sisteme, veće promene, nove usluge.

A.5.9 — Popis informacija i pridruženih sredstava. Firma treba da vodi i održava popis informacionih sredstava, sa jasno određenim vlasnicima za svako. Ovo smo već detaljno obradili kao drugi korak u samostalnom tekstu o proceni rizika — ova kontrola je mesto gde taj popis formalno pripada u Aneksu A.

A.5.10 — Prihvatljiva upotreba informacija i sredstava. Treba da postoje jasna pravila o tome kako se sredstva firme — uređaji, sistemi, podaci — smeju koristiti, i procedure za rukovanje njima. Ovo je ono što se u praksi obično zove politika prihvatljive upotrebe.

A.5.11 — Povraćaj sredstava. Kad neko napusti firmu ili prestane saradnja, sva sredstva firme u njegovom posedu — fizička i digitalna — moraju biti vraćena. Ovo je direktan nastavak propusta koji se, u ovoj ili onoj varijanti, pojavio u gotovo svakom primeru kroz čitav blog: pristup koji ostaje aktivan predugo posle odlaska. A.5.11 dodaje sloj koji do sada nismo eksplicitno pokrili — fizička sredstva, ne samo digitalni pristup.

A.5.12 i A.5.13 — Klasifikacija i označavanje informacija. Informacije treba klasifikovati prema tome koliko su osetljive, a zatim i označiti u skladu sa tom klasifikacijom, kako bi svako ko na njih naiđe znao kako treba da ih tretira.

Zašto su ove kontrole bitne

Ove šest kontrola prate ceo životni ciklus jednog sredstva — od trenutka kad uđe u firmu (A.5.9), preko toga ko sme da ga koristi i kako (A.5.10), do trenutka kad ga treba vratiti (A.5.11), uz dosledno označavanje koliko je osetljivo tokom celog tog puta (A.5.12, A.5.13). A.5.8 dodaje da se ista logika primenjuje i kad firma pokreće nešto novo, ne samo kad upravlja postojećim.

Primer iz prakse

A.5.8, na projektu koji već poznajete: migracija preostalih klijenata sa lokalnih Excel fajlova na cloud platformu, opisana u tekstu o klauzuli 6.3, jeste tačno primer A.5.8 na delu — bezbednost je bila ugrađena u projekat od početka (ažurirana procena rizika pre migracije, testiranje na jednom klijentu), a ne dodata naknadno.

A.5.9, popis koji već imate: popis sredstava iz samostalnog teksta o proceni rizika — baza podataka klijenata, laptopovi, nalozi na cloud platformi, svaki sa svojim vlasnikom — jeste direktna primena ove kontrole.

A.5.10, prihvatljiva upotreba: setite se knjigovođe iz teksta o klauzuli 8.1, koji je počeo da koristi lični servis za deljenje fajlova jer mu postojeći sistem nije odgovarao. Agencija je taj konkretan slučaj iskoristila kao povod da napiše kratku politiku prihvatljive upotrebe — jasno navodeći da se klijentski podaci čuvaju isključivo u odobrenim sistemima, uz spisak tih sistema, i da lični nalozi i uređaji za privatne svrhe nisu dozvoljeni za rad sa klijentskim podacima. Politika je nastala kao odgovor na stvaran slučaj, ne kao apstraktno pravilo unapred.

A.5.11, povraćaj sredstava: offboarding procedura, prvi put pomenuta u vodiču za klauzulu 4.4 i praćena kroz pokazatelj u klauzuli 9.1, do sada je pokrivala samo ukidanje digitalnog pristupa. Kroz A.5.11, agencija je proceduru proširila dodatnom stavkom sa kratkom listom: povraćaj službenog laptopa, ključa ili kartice za ulazak u kancelariju, i bilo kakve štampane klijentske dokumentacije koju je osoba mogla poneti kući. Ista procedura, isti pokazatelj vremena, samo sada pokriva i fizičku, ne samo digitalnu stranu.

A.5.12 i A.5.13, klasifikacija i označavanje: agencija je usvojila jednostavnu, četvorostepenu klasifikaciju — javno, interno, poverljivo, strogo poverljivo. Marketinški materijali su javni; interne procedure su interne; finansijski podaci klijenata su poverljivi; a nekoliko posebno osetljivih predmeta, poput spora oko nasledstva jednog klijenta, označeno je kao strogo poverljivo, sa pristupom ograničenim na samo dve osobe. Označavanje je jednostavno — folderi na deljenom disku nose prefiks klasifikacije u nazivu, a dokumenti koji se šalju mejlom imaju kratku napomenu u zaglavlju.

Gde se dokumentuje

A.5.8 se ne dokumentuje posebno — dokazuje se kroz to da planovi projekata (poput plana promene iz klauzule 6.3) sadrže i bezbednosni deo. A.5.9 se vodi kao popis sredstava, već opisan u tekstu o proceni rizika. A.5.10 i A.5.11 vode se kao kratke, samostalne politike i checkliste. A.5.12 i A.5.13 dokumentuju se kroz jednostavnu shemu klasifikacije, objavljenu i komuniciranu timu, i kroz primere kako označavanje izgleda u praksi — dovoljno je nekoliko konkretnih primera, ne opsežan priručnik.

Najčešća greška

Najčešća greška kod A.5.8 je tretiranje bezbednosti kao poslednjeg koraka projekta, ne prvog — dodaje se kad je već skoro sve gotovo, kad je mnogo skuplje i teže bilo šta menjati. Kod A.5.9, česta greška je popis napravljen jednom i nikad ažuriran. Kod A.5.10, najčešća greška je pravilo napisano tek posle problema, umesto unapred — mada je, kao u primeru iznad, i naknadno napisano pravilo bolje nego nikakvo. Kod A.5.11, greška koju smo već detaljno obradili je fokus isključivo na digitalni pristup, uz potpuno zanemarivanje fizičkih sredstava. Kod A.5.12 i A.5.13, najčešća greška je preterano komplikovana shema klasifikacije sa previše nivoa, koju niko u praksi ne prati dosledno — jednostavna shema koja se stvarno koristi vredi više od detaljne koja se ignoriše.

Šta sledi

Sledeći deo serije ide na kontrole A.5.14–5.18 — prenos informacija i kontrola pristupa, gde ulazimo u ono što je verovatno najčešće pominjana tema kroz čitav ovaj blog, sada konačno detaljno obrađeno kao samostalna grupa kontrola.