ISO 27001 klauzula po klauzula: 5.2 — Politika bezbednosti informacija

Nastavljamo glavnu seriju klauzula po klauzula. Klauzula 5.2 je prvi trenutak u standardu gde se liderstvo iz 5.1 pretvara u konkretan, pisan i potpisan dokument.

U jednoj rečenici: klauzula 5.2 traži kratku, konkretnu, pisanu izjavu rukovodstva o tome šta firma obećava sebi i drugima kad je reč o bezbednosti informacija — ne detaljan tehnički priručnik, nego okvir iz kog sve ostalo proizilazi.

Šta klauzula 5.2 traži

Standard traži da politika:

• bude prilagođena svrsi i stvarnoj prirodi firme, ne generička
• sadrži ciljeve bezbednosti informacija, ili barem okvir za njihovo postavljanje (detaljnije u klauzuli 6.2)
• sadrži jasnu obavezu ispunjavanja primenljivih zahteva vezanih za bezbednost informacija — zakonskih, ugovornih, regulatornih — koji proizilaze direktno iz onoga što je identifikovano u klauzuli 4.2
• sadrži jasnu obavezu stalnog unapređenja sistema, u direktnoj vezi sa klauzulom 4.4

Dodatno, politika mora:

• postojati kao pisano dokumentovano obaveštenje
• biti komunicirana unutar firme — svi zaposleni treba da znaju da postoji i, bar u osnovnim crtama, šta kaže
• biti dostupna zainteresovanim stranama tamo gde je to relevantno, na primer klijentima na zahtev

Bitno je razumeti šta ova politika nije: nije detaljan tehnički priručnik sa uputstvima korak po korak. To su posebne, tematske politike i procedure — o kontroli pristupa, o korišćenju uređaja, i slično — koje se prave kasnije, na osnovu kontrola izabranih kroz Izjavu o primenljivosti. Politika iz klauzule 5.2 je kratka, opšta, potpisana izjava namere i obaveze, obično jedna strana, ponekad i manje.

Zašto je ova klauzula bitna

Ovde se liderstvo iz 5.1 prvi put pretvara u nešto opipljivo. Politika postavlja ton za sve što sledi — ako je generička i bezlična, cela dokumentacija izgrađena na njoj rizikuje da bude ista takva, o čemu smo pisali još u tekstu o zabludama oko ISO 27001. Dobro napisana politika, s druge strane, daje zaposlenima jasan, kratak odgovor na pitanje „zašto sve ovo radimo" — nešto na šta se mogu osloniti kad naiđu na sivu zonu koju nijedna konkretna procedura ne pokriva.

Politika je često i prvi dokument koji klijent ili partner traži da vidi, čak i pre nego što zatraži pun sertifikat, pa njena jasnoća direktno utiče na prvi utisak o firmi.

Primer iz prakse

Vratimo se na knjigovodstvenu agenciju iz prve tri klauzule ove serije. Loše napisana politika za tu agenciju izgledala bi otprilike ovako — generički, moglo bi da važi za bilo koju firmu na svetu:

Naša firma posvećena je najvišim standardima bezbednosti informacija i trudi se da zaštiti podatke svih zainteresovanih strana koristeći najbolje prakse iz industrije.

Ovo tehnički „ispunjava" formu, ali ne govori ništa stvarno o agenciji. Realnija verzija, usklađena sa kontekstom i zainteresovanim stranama već identifikovanim u 4.1 i 4.2, izgledala bi bliže ovome:

Agencija se obavezuje da štiti poverljivost finansijskih i ličnih podataka klijenata koje obrađuje u okviru knjigovodstvenih usluga, u skladu sa Zakonom o zaštiti podataka o ličnosti i ugovornim obavezama prema klijentima. Svaki zaposleni odgovoran je za poštovanje ove politike u svakodnevnom radu. Rukovodstvo se obavezuje da obezbedi resurse potrebne za sprovođenje sistema upravljanja bezbednošću informacija i da sistem redovno preispituje i unapređuje.

Druga verzija direktno referencira ono što je firma već utvrdila kroz prethodne klauzule — konkretnu vrstu podataka, konkretan zakon, konkretne zainteresovane strane — umesto uopštenih fraza koje ne nose stvarnu informaciju.

Gde se dokumentuje i komunicira

Politika je kratak, samostalan dokument, potpisan od strane najvišeg rukovodstva. Za malu firmu dovoljno je da se podeli sa svim zaposlenima prilikom uvođenja i pri onboardingu novih, okači na vidno mesto — fizičko ili digitalno — i po potrebi podeli sa klijentima koji je zatraže. Mnoge firme je javno objavljuju na sajtu kao kratku izjavu; to nije obavezno, ali je čest i koristan način da se ispuni zahtev o dostupnosti zainteresovanim stranama.

Najčešća greška

Najčešća greška je preuzimanje generičkog šablona politike sa interneta bez ijedne izmene — rezultat je dokument koji formalno postoji, ali ne govori ništa specifično o firmi, a zaposleni ga retko zaista pročitaju jer u njemu ne prepoznaju sopstveni posao. Druga česta greška je mešanje ove politike sa detaljnim tehničkim procedurama — pokušaj da se u dokument od dve strane strpa i visok nivo namere i svaki tehnički detalj o lozinkama i backupu, što na kraju ne funkcioniše dobro ni kao jedno ni kao drugo.

Šta sledi

Sledeći tekst u seriji ide na klauzulu 5.3 — organizacione uloge, odgovornosti i ovlašćenja, gde se pitanje ko je tačno zadužen za šta u sistemu bezbednosti konačno formalno raspoređuje.