ISO 27001 klauzula po klauzula: 4.3 — Određivanje obima sistema upravljanja bezbednošću informacija

 Nastavljamo seriju klauzula po klauzula. Klauzula 4.3 je tačka gde se kontekst iz 4.1 i očekivanja zainteresovanih strana iz 4.2 konačno pretvaraju u nešto sasvim konkretno — pisanu granicu koja određuje šta tačno piše na vašem sertifikatu.

U jednoj rečenici: klauzula 4.3 traži da pismeno, precizno odredite koji delovi firme, koje lokacije i koji sistemi ulaze u sertifikaciju — a koji ne, i zašto.

Šta klauzula 4.3 traži

Na osnovu svega prikupljenog u prethodne dve klauzule, firma mora da odredi granice i primenljivost svog sistema bezbednosti — drugim rečima, da napiše obim. Standard traži da se pri određivanju obima uzmu u obzir tri stvari:

1. Spoljni i unutrašnji faktori identifikovani u 4.1.
2. Zahtevi zainteresovanih strana identifikovani u 4.2.
3. Interfejsi i zavisnosti između aktivnosti koje firma sama obavlja i aktivnosti koje obavljaju druge organizacije — na primer, spoljni IT saradnik, cloud provajder, outsourcovana usluga obračuna zarada. Čak i kad te treće strane nisu direktno deo sertifikacije, standard traži da se ta zavisnost prepozna i da se objasni kako se njome upravlja.

Rezultat mora postojati kao pisano dokumentovano obaveštenje — najčešće kratka, jasna izjava o obimu, koja se, važno je znati, doslovno pojavljuje na samom sertifikatu koji dobijate. Klijenti i komisije na tenderima čitaju baš tu rečenicu, ne samo naslov „ISO 27001 sertifikat".

Zašto je ova klauzula bitna

Ovo je verovatno klauzula sa najvećim direktnim uticajem na trošak i na to koliko će sertifikat stvarno vredeti u očima onih koji ga gledaju — tema koju smo dotakli još u tekstu o troškovima implementacije. Obim direktno određuje broj audit-dana, dakle i cenu audita, i količinu posla koji je potrebno uložiti.

Ovde postoje dve suprotne greške, podjednako skupe:

• Preširok obim — sertifikovati celu firmu kad je stvarni rizik koncentrisan u jednom delu poslovanja, što nepotrebno diže cenu i trud bez stvarne koristi.
• Preuzak ili pogrešno postavljen obim — isključiti baš onaj deo poslovanja gde se nalazi stvarni rizik, da bi se izbegao trud ili trošak. Ovo stvara sertifikat koji na papiru postoji, ali ne pokriva ono što klijenta zapravo zanima — a pažljiviji klijenti i komisije na tenderima to primete kad pročitaju tačan tekst obima na sertifikatu, što šteti poverenju više nego da sertifikat uopšte ne postoji.

Primer iz prakse

Vratimo se knjigovodstvenoj agenciji iz prethodna dva teksta — dvanaest zaposlenih, jedna kancelarija, vođenje knjiga za osamdesetak klijenata kroz cloud softver, uz spoljnog IT saradnika koji održava mrežu i računare.

Agencija, pored osnovne delatnosti, povremeno organizuje i kratke edukativne radionice o finansijskoj pismenosti za preduzetnike — aktivnost koja ne uključuje obradu podataka klijenata iz knjigovodstvenog posla. Kod određivanja obima, vlasnica agencije razmatra dve opcije: sertifikovati baš sve što firma radi, ili jasno razdvojiti osnovnu delatnost (koja nosi stvarni rizik — finansijski i lični podaci klijenata) od sporedne aktivnosti koja taj rizik uopšte ne nosi.

Pošto radionice ne uključuju nikakve osetljive podatke klijenata, razumna odluka je da se isključe iz obima — ne zato što se „štedi" na trudu, nego zato što tamo realno nema relevantnog rizika koji standard traži da se pokrije.

Ovako bi izgledala kratka, konkretna izjava o obimu za ovu agenciju:

Obim sistema upravljanja bezbednošću informacija pokriva sve aktivnosti vezane za pružanje knjigovodstvenih usluga klijentima agencije, uključujući obradu i čuvanje finansijskih i ličnih podataka klijenata, u glavnoj kancelariji u [grad]. Iz obima su isključene edukativne radionice o finansijskoj pismenosti, jer ne uključuju obradu podataka klijenata iz osnovne delatnosti. Zavisnost od cloud platforme za knjigovodstvo i od spoljnog IT saradnika upravlja se kroz ugovore o nivou usluge i obradi podataka; ove treće strane same nisu deo sertifikacije.

Primetite poslednju rečenicu — to je direktna primena trećeg zahteva klauzule 4.3, o interfejsima i zavisnostima. Cloud platforma i IT saradnik nisu unutar obima, ali su prepoznati i objašnjeno je kako se ta zavisnost kontroliše, umesto da se jednostavno prećute.

Gde se dokumentuje

Izjava o obimu je kratak, samostalan dokument, često spojen sa dokumentima iz 4.1 i 4.2 u jedan „Kontekst i obim" dokument. Ono što je posebno bitno kod ove klauzule — tačan tekst obima prenosi se na sam sertifikat, pa formulacija nije samo interna stvar, već nešto što će spoljni čitalac sertifikata direktno videti. Vredi ga preispitati kad god se poslovanje značajno promeni — nova lokacija, nova usluga, obustavljena aktivnost.

Najčešća greška

Osim već pomenutog preširokog ili pogrešno postavljenog obima, čest je i problem nejasne, uopštene formulacije — obim napisan toliko nejasno da ni sertifikaciono telo na auditu nije sigurno šta tačno treba da proveri, što vodi u zabune i kašnjenja. Druga česta greška je potpuno zaboravljanje trećeg dela zahteva — zavisnosti od trećih strana. Firme koje outsourcuju hosting, platnu listu ili IT podršku, a to nigde ne pomenu u obimu, ostavljaju rupu koju auditor, ili gore, stvarni bezbednosni incident kod te treće strane, kasnije otkrije.

Šta sledi

Sledeći tekst u seriji zatvara poglavlje 4 klauzulom 4.4 — sistemom upravljanja bezbednošću informacija kao celinom, kratkom ali važnom klauzulom koja povezuje sve prethodne korake u jedinstven, funkcionalan sistem, pre nego što u petom poglavlju standarda pređemo na liderstvo i odgovornost menadžmenta.