ISO 27001 klauzula po klauzula: 4.1 — Razumevanje organizacije i njenog konteksta

 Ovim tekstom počinje nova serija na blogu InfoSec bez stresa. Umesto da gledamo na ISO 27001 kao na jednu veliku, nejasnu celinu, prolazimo kroz standard klauzulu po klauzulu — šta svaka od njih zapravo traži, i kako to izgleda kad se primeni na malu firmu. Svaki tekst u seriji prati isti format: šta klauzula traži, zašto je bitna, i konkretan primer iz prakse. Počinjemo od početka — klauzule 4.1.

U jednoj rečenici: pre nego što bilo šta drugo uradite po ISO 27001, standard traži da jasno sagledate u kakvom okruženju vaša firma zapravo posluje — spolja i iznutra.

Šta klauzula 4.1 traži

Klauzula 4.1 je prva stvarna obaveza u standardu (klauzule 1–3 su uvodne i ne nose konkretne zahteve), i logično — pre nego što firma počne da procenjuje rizike ili gradi politike, standard traži da se prvo razume kontekst u kome firma posluje. Konkretno, od firme se traži da identifikuje spoljne i unutrašnje faktore koji su relevantni za njenu delatnost i koji utiču na to da li će sistem upravljanja bezbednošću informacija zaista ostvariti svoju svrhu.

To se u praksi svodi na dve liste:

Spoljni faktori — stvari van kontrole firme koje ipak utiču na nju: zakonska regulativa (npr. Zakon o zaštiti podataka o ličnosti, propisi specifični za vašu delatnost), tržišni uslovi i konkurencija, očekivanja klijenata, tehnološki trendovi (prelazak na cloud, rad na daljinu), pa i širi bezbednosni pejzaž — koliko su firme vaše veličine i branše meta napada.

Unutrašnji faktori — stvari unutar same firme: organizaciona kultura i način rada, struktura i veličina tima, dostupni resursi (budžet, ljudi, znanje), postojeći sistemi i ugovori, i, često podcenjeno, ranija iskustva — da li je firma već imala neki incident ili blisku situaciju koja govori nešto o stvarnim slabim tačkama.

Standard namerno ne propisuje tačnu formu ovog dokumenta — ne traži se poseban obrazac, samo da rezultat postoji, da je promišljen i da se može pokazati.

Zašto je ova klauzula bitna, a ne samo formalnost

Ovo je lako otpisati kao „papirologiju pre pravog posla", ali klauzula 4.1 direktno oblikuje sve što dolazi posle nje. Obim sertifikacije (klauzula 4.3) zavisi od toga šta ste ovde prepoznali kao relevantno. Procena rizika, o kojoj smo pisali u prethodnom tekstu, dobija svoj kontekst upravo odavde — rizici male knjigovodstvene agencije i rizici IT firme koja razvija softver za banke izgledaju potpuno drugačije, iako obe rade po istom standardu. Ako se ovaj korak preskoči ili uradi površno, ceo sistem koji se gradi na njemu ispada generički — a to je tačno ono što auditori najbrže prepoznaju.

Primer iz prakse

Da bismo ovo učinili konkretnim, zamislimo knjigovodstvenu agenciju sa dvanaest zaposlenih, koja vodi finansijske knjige za osamdesetak malih i srednjih klijenata.

Spoljni faktori koje bi ova firma prepoznala:

• Zakonska obaveza čuvanja finansijske dokumentacije određeni broj godina, uz sve strože zahteve Zakona o zaštiti podataka o ličnosti u vezi sa ličnim podacima koje obrađuju za klijente.
• Sve više klijenata, pre potpisivanja ugovora, direktno pita kako agencija čuva njihove finansijske podatke.
• Prelazak celog tržišta sa lokalnih desktop programa na cloud knjigovodstvene platforme, što donosi udobnost, ali i nove rizike vezane za pristup podacima na daljinu.
• Konkurentske agencije u regionu počele su da ističu bezbednost podataka kao prodajni argument klijentima.

Unutrašnji faktori koje bi ova firma prepoznala:

• Mali, neformalan tim u kome je deljenje zajedničkih naloga i lozinki dosad bilo uobičajena, nesporna praksa.
• Nema zaposlene osobe zadužene za IT ili bezbednost — sve se oslanja na spoljnog IT saradnika koji dolazi po pozivu.
• Kombinacija cloud softvera za većinu klijenata i lokalnih Excel fajlova za nekoliko starijih klijenata koji još nisu prebačeni.
• Pre dve godine dogodila se situacija u kojoj je zaposleni greškom poslao finansijski izveštaj pogrešnom klijentu mejlom — incident koji nikad nije formalno analiziran, ali koji jasno govori nešto o stvarnom riziku u firmi.

Primetite da ova lista nije apstraktna — svaka stavka bi mogla direktno da se prepozna u nekoj konkretnoj situaciji unutar te firme, i svaka od njih će se kasnije pojaviti, u ovom ili onom obliku, u proceni rizika.

Gde se ovo dokumentuje

Za malu firmu, ovo ne treba da bude opsežan dokument — najčešće je dovoljna jedna do dve strane, često spojene u istom dokumentu sa klauzulom 4.2 (zainteresovane strane), o kojoj pišemo u sledećem tekstu. Bitno je da se dokument periodično preispituje — bar jednom godišnje, ili kad se nešto značajno promeni (nov veći klijent, promena tehnologije, izmena zakona relevantnog za delatnost) — a ne da se napiše jednom prilikom pripreme za sertifikaciju i potom zaboravi.

Najčešća greška

Najčešća greška kod malih firmi je pisanje potpuno generičkog konteksta koji bi mogao da važi za bilo koju firmu na svetu — rečenice tipa „poslujemo u dinamičnom i konkurentnom okruženju" koje zvuče ozbiljno, ali ne govore ništa stvarno o toj konkretnoj firmi. Dobar test: ako bi neko ko ne poznaje vašu firmu, čitajući ovaj dokument, mogao da pogodi čime se firma tačno bavi i sa kakvim se stvarnim situacijama suočava — dokument radi svoj posao. Ako ne bi, vratite se i budite konkretniji.

Šta sledi

Sledeći tekst u seriji ide na klauzulu 4.2 — razumevanje potreba i očekivanja zainteresovanih strana. Prirodno se nastavlja na ovaj tekst, jer spoljni faktori koje ste upravo identifikovali skoro uvek uključuju ljude i organizacije čija očekivanja klauzula 4.2 traži da formalizujete.