ISO 27001 klauzula po klauzula: 4.2 — Razumevanje potreba i očekivanja zainteresovanih strana

 Nastavljamo seriju klauzula po klauzula. Posle 4.1, koja je tražila da razumete kontekst u kom firma posluje, klauzula 4.2 traži da taj kontekst pretvorite u konkretnu listu ljudi i organizacija čija očekivanja firma mora da uzme u obzir.

U jednoj rečenici: standard traži da tačno znate ko sve zavisi od bezbednosti vaših podataka ili utiče na nju, šta ta strana od vas očekuje, i da svesno odlučite da li ćete to očekivanje rešavati kroz vaš sistem bezbednosti ili na neki drugi način.

Šta klauzula 4.2 traži

Klauzula 4.2 traži tri konkretne stvari, redom:

1. Identifikujte zainteresovane strane relevantne za vaš sistem upravljanja bezbednošću informacija — ljude, organizacije ili institucije koje utiču na firmu ili na koje firma utiče kad je reč o bezbednosti podataka.
2. Utvrdite šta svaka od njih očekuje — konkretan zahtev ili očekivanje te strane, koliko god formalno ili neformalno ono bilo.
3. Odlučite koje od tih očekivanja će zaista biti pokriveno kroz sistem bezbednosti, a koje se možda rešava na neki drugi način (na primer, kroz ugovor, kroz drugi interni proces, ili jednostavno nije nešto što ISMS treba da adresira).

Ova treća tačka je često zanemarena, a upravo je ona ono što razlikuje dobru primenu klauzule od proste liste. Standard ne traži da rešite baš svako očekivanje svake strane kroz bezbednosni sistem — traži da svesno odlučite šta jeste, a šta nije njegov posao.

Tipične zainteresovane strane za malu firmu:

• Interne: zaposleni, vlasnici/menadžment.
• Eksterne: klijenti, dobavljači i podizvođači, regulatorna tela, sertifikaciono telo, osiguravajuće kuće, banke i poslovni partneri.

Zašto je ova klauzula bitna

Bez ovog koraka, sistem bezbednosti se lako gradi oko onoga što IT sektor smatra važnim, a ne oko onoga što je stvarno važno za ljude i organizacije koje zavise od firme. Očekivanja koja ovde identifikujete kasnije direktno hrane obim sertifikacije (klauzula 4.3) i procenu rizika — zahtev klijenta za poverljivošću podataka, na primer, postaje konkretan kriterijum po kome se meri da li je neki rizik prihvatljiv ili ne. Firma koja preskoči ovaj korak često na kraju otkrije, tek na auditu ili gore — kod stvarnog klijenta, da je promašila nešto što je za tu stranu bilo očigledno važno.

Primer iz prakse

Nastavimo sa knjigovodstvenom agencijom iz prethodnog teksta — dvanaest zaposlenih, vodi knjige za osamdesetak klijenata. Evo kako bi izgledala njena lista zainteresovanih strana:

Zainteresovana strana	Šta očekuje	Rešava li se kroz ISMS
Klijenti	Poverljivost finansijskih i ličnih podataka, dokaz o ozbiljnim bezbednosnim merama pre potpisivanja ugovora	Da
Zaposleni	Jasna, razumljiva pravila koja ne usporavaju svakodnevni rad više nego što je neophodno	Da
Poreska uprava / regulator	Zakonski propisano čuvanje i tačnost finansijske dokumentacije	Delimično — pravnu usklađenost prati knjigovodstveni/pravni proces, ISMS pokriva bezbednosni deo čuvanja tih podataka
Dobavljač cloud knjigovodstvenog softvera	Poštovanje ugovora o obradi podataka i uslova korišćenja platforme	Da
Osiguravajuća kuća (profesionalno osiguranje od odgovornosti)	Dokaz o postojanju bezbednosnih mera radi povoljnije premije	Da, indirektno

Primetite treću kolonu — ona je tu upravo zbog trećeg dela zahteva iz klauzule 4.2. Zakonska usklađenost prema poreskoj upravi, na primer, nije nešto što ISMS u potpunosti „rešava" sam — to je posao knjigovodstvenog i pravnog procesa. ISMS pokriva samo bezbednosni segment te priče (kako se ti podaci čuvaju i štite), ne i samu tačnost poreskih prijava. Ova razlika je upravo ono što treća tačka klauzule traži da eksplicitno naznačite, umesto da pretpostavite da ISMS automatski pokriva sve.

Gde se dokumentuje

Kao i kod klauzule 4.1, ne treba poseban, obiman dokument — tabela slična ovoj iznad, često u istom dokumentu sa kontekstom organizacije, sasvim je dovoljna za malu firmu. Vredi je preispitati kad god se nešto promeni — nov veći klijent sa specifičnim zahtevima, nov dobavljač, izmena propisa — a ne samo jednom, pred sertifikaciju.

Najčešća greška

Dve greške se ovde najčešće ponavljaju. Prva je praviti preterano dugačku, enciklopedijsku listu svih zamislivih strana, uključujući one čije očekivanje realno ni na koji način ne utiče na bezbednosne odluke firme — to samo razvodnjava dokument. Druga, češća greška je zaustaviti se na prve dve tačke — identifikovati strane i njihova očekivanja — a preskočiti treću: eksplicitnu odluku o tome šta od toga ISMS zaista pokriva. Bez te odluke, lista ostaje samo spisak želja, a ne osnova za dalji rad.

Šta sledi

Sledeći tekst u seriji ide na klauzulu 4.3 — određivanje obima sistema upravljanja bezbednošću informacija. Ovo je tačka gde se kontekst iz 4.1 i zainteresovane strane iz 4.2 konačno pretvaraju u konkretnu, napisanu granicu: šta tačno ulazi u sertifikaciju, a šta ne.