ISO 27001 klauzula po klauzula: 5.3 — Organizacione uloge, odgovornosti i ovlašćenja

 Nastavljamo glavnu seriju klauzula po klauzula. Klauzula 5.3 zatvara peto poglavlje standarda i rešava pitanje koje se, u ovom ili onom obliku, provlačilo kroz gotovo svaki primer u dosadašnjoj seriji — ko je tačno zadužen za šta.

U jednoj rečenici: klauzula 5.3 traži da se jasno odredi i svima saopšti ko je tačno zadužen za šta u sistemu bezbednosti, uz stvarno ovlašćenje da tu odgovornost i sprovede, ne samo formalnu titulu.

Šta klauzula 5.3 traži

Standard traži da najviše rukovodstvo obezbedi da su odgovornosti i ovlašćenja za uloge relevantne za bezbednost informacija jasno dodeljene i komunicirane unutar firme. Konkretno, dve odgovornosti moraju biti eksplicitno dodeljene nekome:

a) osoba ili uloga koja obezbeđuje da sistem bezbednosti informacija bude usaglašen sa zahtevima standarda, b) osoba ili uloga koja izveštava najviše rukovodstvo o učinku sistema.

Za malu firmu ovo najčešće ne znači zapošljavanje nove osobe — znači jasno dodeljivanje ovih odgovornosti nekome ko već radi u firmi, uz jasnu komunikaciju ostatku tima ko je ta osoba. Bitno je i da odgovornost prati stvarno ovlašćenje: osoba zadužena za sistem mora imati realnu moć da traži poštovanje pravila i pristup rukovodstvu kad je to potrebno, ne samo formalnu titulu bez ikakvog uticaja.

Ovo se ne odnosi samo na jednu centralnu ulogu. Standard, posebno u novijoj reviziji, podrazumeva raspodeljenu odgovornost kroz firmu — vlasnici pojedinačnih informacionih sredstava iz procene rizika, osoba zadužena za trijažu incidenata iz prethodnog teksta, svako od njih nosi deo iste ideje: jasno definisano ko je za šta zadužen.

Zašto je ova klauzula bitna

Bez ove klauzule, „bezbednost je odgovornost svih" lako postane, u praksi, odgovornost nikoga. Ako niko konkretno nije zadužen da proveri da li se procena rizika ažurira, da li se incidenti stvarno prijavljuju, da li se dokumentacija održava — sve to zavisi od slučajne inicijative pojedinaca, umesto od jasnog sistema. Ovo direktno objašnjava zašto se u prethodnim tekstovima toliko puta pojavio propust tipa „niko nije bio formalno zadužen da..." — to nije slučajnost, nego tačno ono što klauzula 5.3 pokušava da spreči.

Primer iz prakse

U knjigovodstvenoj agenciji iz prethodnih tekstova, prvi pokušaj da se ovo reši izgledao je ovako: na sastanku je rečeno da je „bezbednost podataka odgovornost svih zaposlenih" — tačna, ali beskorisna rečenica, jer niko konkretno nije bio zadužen da prati da li se bilo šta zaista dešava.

Posle uočenog propusta, vlasnica agencije je jasno dodelila uloge:

• Office menadžerka postala je formalna koordinatorka sistema bezbednosti informacija — zadužena da prati usklađenost sa standardom i da jednom u dva meseca izveštava vlasnicu o statusu, tačno uloge a) i b) iz standarda. Uz ovu odgovornost, vlasnica joj je eksplicitno dala ovlašćenje da traži od bilo kog zaposlenog, uključujući senior knjigovođe, da ispoštuje bezbednosna pravila — bez tog ovlašćenja, titula bi ostala prazna.
• Svaki senior knjigovođa postao je „vlasnik" pristupa za portfolio klijenata za koji je zadužen — odgovoran da prijavi ako neko van tog kruga ima pristup podacima tih klijenata bez razloga.
• Spoljni IT saradnik dobio je jasno definisanu ulogu tehničke podrške bezbednosnim merama, ali ne i formalnu ISMS odgovornost — pošto nije zaposlen u firmi, odgovornost za sistem ostaje unutar agencije, dok on pomaže u sprovođenju tehničkih mera.

Ova jasna podela je razlog zašto je sledeći nadzorni audit prošao bez ijedne primedbe na temu odgovornosti — dok je prva, neformalna verzija „svi su odgovorni" izazvala baš tu primedbu godinu dana ranije.

Gde se dokumentuje

Uloge i odgovornosti obično se dokumentuju kroz kratku tabelu ili organizacionu šemu — ko je zadužen za šta, kome odgovara, i koje ovlašćenje ima. Često se ovo pridodaje politici iz klauzule 5.2 ili vodi kao poseban, kratak dokument. Bitno je da bude dostupan i poznat celom timu, ne samo osobama koje su direktno imenovane.

Najčešća greška

Najčešća greška je upravo ono što se prvo desilo u primeru iznad — deklarativno „svi su odgovorni", bez ijedne konkretne osobe koja stvarno prati da li se stvari dešavaju. Druga česta greška je dodela odgovornosti bez pratećeg ovlašćenja — osoba je „zadužena za bezbednost", ali nema stvarnu podršku rukovodstva da traži poštovanje pravila od kolega na višoj poziciji, pa uloga ostaje simbolična. Treća, ređe pominjana greška je koncentrisanje svega u jednoj osobi bez ikakvog plana šta se dešava ako ta osoba ode iz firme — rizik vrlo sličan onom koji smo više puta videli u mini-seriji primera, samo ovog puta vezan za samu ulogu, ne za tehnički pristup.

Šta sledi

Ovim se zatvara peto poglavlje standarda. Sledeći tekst u seriji prelazi u šesto poglavlje — planiranje — klauzulom 6.1, gde standard formalno povezuje sve što smo do sada radili sa konkretnim radnjama usmerenim na rizike i prilike, uključujući i procenu rizika kojom smo se ranije bavili u posebnom, samostalnom tekstu.