ISO 27001 klauzula po klauzula: 10.1 — Stalno unapređenje

Ulazimo u deseto, poslednje poglavlje standarda — unapređenje. Klauzula 10.1 imenuje kao samostalan zahtev nešto što se, kao ideja, provlačilo kroz gotovo svaki prethodni tekst u ovoj seriji.

U jednoj rečenici: klauzula 10.1 traži ono što smo pominjali kroz gotovo svaki prethodni tekst u ovoj seriji — da firma stalno unapređuje sistem, ne samo da ga održava u istom stanju iz godine u godinu.

Šta klauzula 10.1 traži

Tekst klauzule je, poput nekoliko drugih koje smo sreli, samo jedna rečenica: firma treba stalno da unapređuje adekvatnost, dovoljnost i efikasnost sistema upravljanja bezbednošću informacija.

Vredi primetiti jednu promenu iz revizije standarda 2022. godine: u prethodnoj verziji, redosled u desetom poglavlju bio je obrnut — prvo neusaglašenosti i korektivne mere, pa tek onda stalno unapređenje. U novoj verziji, stalno unapređenje je stavljeno prvo. Ova naizgled sitna izmena nosi jasnu poruku: unapređenje ne treba da bude nešto što se dešava samo kao reakcija na problem, nego kontinuirana, proaktivna aktivnost, sa reagovanjem na konkretne propuste kao dodatnim, a ne jedinim pokretačem.

Zašto je ova klauzula bitna

Ako ste pratili ovu seriju od teksta o klauzuli 4.4, znate da se ideja stalnog unapređenja provlačila kroz čitav sistem — ugrađena je u sam opis šta sistem treba da radi (4.4), u obavezu rukovodstva (5.1 i 5.2), u planiranje (6.1), u obezbeđivanje resursa (7.1). Klauzula 10.1 postoji da bi ovu stalno prisutnu nit konačno imenovala kao samostalan zahtev — dokaz da unapređenje nije uzgredna posledica ostatka sistema, nego nešto što standard eksplicitno traži kao svoj cilj.

Primer iz prakse

Da bismo pokazali šta „stalno" zaista znači, hajde da pogledamo tri godine iz istorije knjigovodstvene agencije koju smo pratili kroz čitavu ovu seriju.

Prva godina obeležena je uspostavljanjem sistema i rešavanjem prvog, najvećeg identifikovanog rizika — zajedničkog administratorskog naloga za bazu klijenata, pretvorenog u konkretan cilj u tekstu o klauzuli 6.2 i sprovedenog do kraja u 8.3. Unapređenje ovde je bilo reaktivno, usmereno na najveći poznat rizik.

Druga godina, pred prvu nadzornu proveru, donela je nalaz internog audita iz teksta o klauzuli 9.2 — propuštena obuka za dvoje novozaposlenih. Agencija je uvela korektivnu meru i, kroz pregled menadžmenta opisan u tekstu o klauzuli 9.3, postavila nov pokazatelj i nov cilj za narednu godinu. I ovo unapređenje je, u suštini, bilo reaktivno — odgovor na konkretno pronađen propust.

Treća godina izgledala je drugačije. Bez ijednog novog nalaza koji bi to zahtevao, agencija je sama uvela redovne, kratke simulacije phishing napada za sve zaposlene — meru koju nije predložio ni auditor ni nijedan incident, nego sopstvena procena da bi to dodatno ojačalo svest opisanu u klauzuli 7.3, čak i bez konkretnog povoda.

Razlika između druge i treće godine je upravo suština klauzule 10.1: prelazak sa unapređenja koje se dešava zato što je nešto pošlo naopako, na unapređenje koje se dešava zato što firma sama traži način da bude bolja, iako trenutno ništa nije „pokvareno".

Gde se dokumentuje

Stalno unapređenje se ne dokazuje jednim posebnim dokumentom, nego tragom kroz vreme — nizom zapisa sa pregleda menadžmenta, ciljeva iz godine u godinu, i promena uvedenih kroz klauzulu 6.3. Auditor na nadzornoj proveri često upoređuje dokumentaciju iz prethodne godine sa trenutnom, tražeći upravo taj trag napretka — ne da bude drastičan, nego da postoji.

Najčešća greška

Najčešća greška je zaustavljanje na održavanju, umesto unapređenju — sistem koji iz godine u godinu izgleda identično, bez ijedne nove mere, bez ijednog novog cilja, čak i kad nema očiglednih propusta. Ovakav sistem tehnički može da prođe nadzornu proveru, ali odaje utisak firme koja radi minimum da zadrži sertifikat, ne firme koja stvarno koristi sistem da postane bezbednija. Druga česta greška je čekanje na problem pre bilo kakvog unapređenja — pristup koji je razumljiv u prvim godinama, ali koji standard, kroz promenu redosleda u reviziji 2022, eksplicitno podstiče firme da nadrastu.

Šta sledi

Sledeći, poslednji tekst u ovoj seriji ide na klauzulu 10.2 — neusaglašenost i korektivne mere, gde se formalno propisuje kako firma treba da reaguje kad, i pored svega opisanog kroz ove tekstove, nešto ipak krene naopako.