ISO 27001 klauzula po klauzula: 6.1 — Radnje za rešavanje rizika i prilika

Nastavljamo glavnu seriju klauzula po klauzula. Ulazimo u šesto poglavlje standarda — planiranje — klauzulom 6.1, koja ima tri dela: 6.1.1 (opšte), 6.1.2 (procena rizika) i 6.1.3 (tretman rizika). Pošto smo proceni i tretmanu rizika već posvetili poseban, detaljan tekst korak po korak, ovaj tekst se fokusira na deo koji tamo nismo pokrili — opšti zahtev iz 6.1.1, i posebno na nešto što se često zaboravlja: prilike, ne samo rizike.

U jednoj rečenici: klauzula 6.1 traži da firma, na osnovu konteksta i očekivanja zainteresovanih strana koje je već utvrdila, planski odredi ne samo rizike koje treba da adresira, nego i prilike koje sistem bezbednosti može doneti — i da unapred isplanira kako će se te radnje sprovesti i proveriti da li zaista rade.

Šta klauzula 6.1 traži

6.1.1 — Opšte. Prilikom planiranja sistema, firma treba da uzme u obzir faktore iz 4.1 i zahteve iz 4.2, i da na osnovu njih odredi rizike i prilike koje treba adresirati — sve to radi tri stvari: da sistem zaista ostvari ono što se od njega očekuje, da se spreče ili smanje neželjeni efekti, i da se omogući stalno unapređenje. Firma zatim treba da isplanira same radnje, kao i način na koji će se te radnje integrisati u redovne procese sistema i kako će se proceniti da li su bile efikasne.

6.1.2 — Procena rizika informacione bezbednosti. Ovo je tačno ono čime smo se detaljno bavili u tekstu o prvoj proceni rizika — definisanje metodologije, popis sredstava, identifikacija rizika, procena verovatnoće i uticaja. Ko još nije pročitao taj tekst, tamo je pun, praktičan vodič korak po korak.

6.1.3 — Tretman rizika informacione bezbednosti. Takođe pokriveno u istom tekstu — biranje između smanjenja, izbegavanja, prenosa i prihvatanja rizika, uz plan tretmana. Ono što tada nismo precizno naglasili jeste da baš ova klauzula formalno zahteva i Izjavu o primenljivosti — dokument koji lista sve kontrole iz Aneksa A standarda, uz obrazloženje da li se svaka od njih primenjuje na firmu, zašto, i da li je već sprovedena. Pominjali smo je ranije, u tekstu o zabludama i u vodiču za poglavlje 4, ali ovo je tačno mesto gde je standard formalno traži kao izlaz procesa.

Zašto je ova klauzula bitna

Ovde se sve što smo do sada radili — kontekst, zainteresovane strane, liderstvo, uloge — konačno pretvara u konkretan plan akcije. Ali deo koji firme najčešće preskoče jeste „prilike". Standard eksplicitno traži da se razmotri i šta firma dobija, ne samo šta rizikuje da izgubi. To nije samo formalnost — prilike su, u praksi, često najjači argument za sam projekat, tema kojom smo se bavili još u prvom tekstu na ovom blogu, o poslovnim razlozima za sertifikaciju.

Primer iz prakse

U ranijem tekstu o proceni rizika, knjigovodstvena agencija je identifikovala rizik vezan za deljeni administratorski nalog za bazu klijenata. Taj isti proces, primenjen kroz klauzulu 6.1, otvara i pitanje prilika, ne samo rizika:

• Prilika: klijenti iz finansijskog sektora sve češće traže dokaz bezbednosti pre potpisivanja ugovora — sertifikacija agenciji otvara vrata ka većim, zahtevnijim klijentima koje ranije nije mogla ni da targetira.
• Prilika: rešavanje rizika deljenog naloga, uvođenjem individualnih naloga i evidencije pristupa, usput poboljšava i internu efikasnost — manje vremena se gubi na razjašnjavanje ko je šta uradio kad nastane nejasnoća, jer sad postoji jasan trag.
• Prilika: bolje uređen sistem dokumentacije, uveden prvenstveno radi bezbednosti, olakšava i svakodnevni knjigovodstveni rad, ne samo usklađenost sa standardom.

Ovaj primer pokazuje nešto važno: prilike retko dolaze kao potpuno odvojena stavka. Najčešće se pojavljuju kao nusprodukt rešavanja rizika — a upravo ta veza je razlog zašto standard traži da se razmatraju zajedno, u istoj klauzuli, ne odvojeno.

Gde se dokumentuje

Procena i tretman rizika dokumentuju se onako kako je opisano u posvećenom tekstu — registar rizika i plan tretmana. Prilike se, za malu firmu, najčešće ne moraju dokumentovati jednako formalno; dovoljna je kratka beleška uz plan tretmana koja objašnjava kakvu korist firma očekuje od svake veće mere, čime se lakše opravdava ulaganje pred rukovodstvom i timom. Izjava o primenljivosti vodi se kao poseban, imenovan dokument, obično u tabličnom obliku — svaka kontrola iz Aneksa A, primenljiva ili ne, uz obrazloženje i status.

Najčešća greška

Najčešća greška je potpuno fokusiranje na rizike, uz potpuno zanemarivanje prilika, iako ih standard eksplicitno traži — a to je često i najjači argument za sam projekat pred timom i rukovodstvom. Druga česta greška je rađenje procene i tretmana rizika kao izolovanog projekta, otrgnutog od konteksta i zainteresovanih strana iz 4.1 i 4.2, čime se vraćamo na ranije pominjanu grešku generičnosti. Treća, vrlo praktična greška, jeste da firma implicitno „zna" koje kontrole primenjuje, ali to nikad formalno ne zapiše kao Izjavu o primenljivosti — dokument koji auditor eksplicitno traži da vidi, i koji ne postoji dok nije napisan.

Šta sledi

Sledeći tekst u seriji ide na klauzulu 6.2 — ciljeve bezbednosti informacija i planiranje za njihovo ostvarenje, gde se prilike i namere iz 6.1 pretvaraju u merljive, konkretne ciljeve.