ISO 27001 klauzula po klauzula: 5.1 — Liderstvo i posvećenost

 Vraćamo se na glavnu seriju klauzula po klauzula, posle mini-serije od deset primera i praktičnog vodiča o primeni klauzule 4.4. Ulazimo u peto poglavlje standarda — liderstvo — klauzulom 5.1, koja direktno zahteva ono što je prethodni tekst opisao kao neophodno da bi sistem stvarno radio: vidljivo, aktivno učešće rukovodstva.

U jednoj rečenici: klauzula 5.1 traži da direktor ili vlasnik firme lično i vidljivo stoji iza sistema bezbednosti — ne da ga jednom odobri i potom prepusti nekom drugom.

Šta klauzula 5.1 traži

Standard nabraja nekoliko konkretnih načina na koje najviše rukovodstvo — za malu firmu, to je najčešće doslovno vlasnik ili direktor — treba da pokaže liderstvo i posvećenost sistemu:

• da obezbedi da politika i ciljevi bezbednosti informacija budu usklađeni sa opštim pravcem firme, a ne odvojena, paralelna priča
• da obezbedi da se zahtevi sistema integrišu u redovne poslovne procese, umesto da postoje kao dodatni, izolovan sloj birokratije
• da obezbedi potrebne resurse — vreme ljudi, budžet, alate
• da komunicira zaposlenima zašto je bezbednost informacija važna i zašto se zahtevi sistema moraju poštovati
• da obezbedi da sistem zaista postiže ono što je nameravano, ne samo da formalno postoji
• da usmerava i podržava ljude da doprinose efikasnosti sistema
• da podstiče stalno unapređenje
• da podržava i druge rukovodioce da pokažu liderstvo u okviru sopstvenih oblasti odgovornosti

Svedeno na jednu ideju: liderstvo ovde nije ceremonijalno potpisivanje dokumenta, nego niz konkretnih, ponovljivih akcija.

Zašto je ova klauzula bitna

Ovo je verovatno klauzula sa najvećim uticajem na to da li će ceo sistem stvarno raditi ili samo postojati na papiru. U prethodnom tekstu opisali smo šta je konkretno potrebno da bi klauzula 4.4 zaživela — redovan pregled menadžmenta, resursi za registar incidenata, kultura bez kažnjavanja. Sve to direktno zavisi od ovoga: ako direktor ne izdvoji vreme za pregled menadžmenta, ako ne odobri budžet za osnovne mere, ako zaposlenima ne poruči da je prijava greške poželjna, a ne kažnjiva — nijedan od tih elemenata neće postojati, koliko god dobro bili opisani u dokumentaciji.

Auditori ovo prepoznaju vrlo brzo. Jedno od prvih pitanja na auditu često je kratak razgovor direktno sa vlasnikom ili direktorom — ne da bi se proverilo poznavanje detalja standarda, nego da bi se videlo da li ta osoba stvarno razume šta sistem radi za firmu i zašto postoji. Uopšten, naučen odgovor je jasan signal da liderstvo postoji na papiru, a ne u praksi.

Primer iz prakse

Vratimo se na softversku agenciju iz mini-serije primera. Direktor je prvobitno posmatrao ISO 27001 projekat kao „IT stvar" — prepustio ga je DevOps inženjeru, potpisao inicijalnu politiku bez detaljnog čitanja, i dalje se nije uključivao.

Kada je konsultant angažovan za pripremu ukazao da ovakav pristup neće proći ni interni, a kamoli eksterni audit, direktor je promenio pristup na nekoliko konkretnih načina:

• Lično je učestvovao na prvom pregledu menadžmenta, umesto da pošalje DevOps inženjera da ga „predstavlja".
• Na sastanku celog tima eksplicitno je objasnio zašto agencija ulazi u sertifikaciju — ne kao formalnost, nego zato što klijenti iz finansijskog sektora to traže i zato što žele da izbegnu propuste poput onog sa pristupom bivšeg honorarnog developera, opisanog u tekstu o ovoj agenciji.
• Odobrio je budžet za formalnu offboarding proceduru i alat za upravljanje pristupom, umesto da to odlaže „za kad bude vremena".
• Eksplicitno je rekao timu, na istom sastanku, da je cilj prijave grešaka popravka sistema, ne traženje krivca — rečenicu koju je kasnije ponovio kad se desio sledeći, manji incident.

Ništa od ovoga nije zahtevalo da direktor postane ekspert za ISO 27001. Zahtevalo je da vidljivo i ponovljeno pokaže da mu je ovo stvarno stalo — što je suština klauzule 5.1.

Gde se dokumentuje

Za razliku od 4.1–4.3, liderstvo se ne dokazuje jednim dokumentom, nego tragovima kroz celu ISMS dokumentaciju: zapisnicima sa pregleda menadžmenta na kojima je rukovodstvo prisutno i aktivno učestvuje, odobrenim budžetima za bezbednosne mere, internom komunikacijom u kojoj rukovodstvo eksplicitno govori o važnosti sistema. Auditor ne traži poseban „dokument o liderstvu" — traži dokaze liderstva razbacane kroz ostatak sistema.

Najčešća greška

Najčešća greška male firme je potpuno delegiranje ISMS-a jednoj osobi — najčešće nekome iz IT sektora — dok vlasnik ili direktor ostaje po strani, osim formalnog potpisa na politici. Ovo se gotovo uvek otkrije na auditu, jer razgovor sa rukovodstvom brzo pokaže razliku između osobe koja stvarno razume zašto sistem postoji i osobe koja ponavlja naučene fraze. Druga česta greška je posmatranje resursa za bezbednost kao troška koji se odobrava tek kad se apsolutno mora, umesto kao redovne budžetske stavke — što direktno usporava sve procese opisane u prethodnom tekstu.

Šta sledi

Sledeći tekst u seriji ide na klauzulu 5.2 — politiku bezbednosti informacija, dokument u kome se liderstvo iz 5.1 prvi put formalno pretače u pisanu izjavu o tome šta firma očekuje od sebe kad je reč o bezbednosti.