ISO 27001 klauzula po klauzula: 6.2 — Ciljevi bezbednosti informacija i planiranje njihovog ostvarenja
U jednoj rečenici: klauzula 6.2 traži da se politika i rizici pretvore u konkretne, merljive ciljeve, sa jasnim planom ko radi šta, sa kojim resursima, do kada, i kako se meri uspeh.
Šta klauzula 6.2 traži
Firma treba da postavi ciljeve bezbednosti informacija na relevantnim nivoima i funkcijama — ne nužno samo jedan opšti cilj za celu firmu, nego, po potrebi, i ciljeve specifične za pojedine timove ili procese. Ti ciljevi moraju:
- biti usklađeni sa politikom iz 5.2
- biti merljivi, tamo gde je to praktično izvodljivo
- uzimati u obzir primenljive zahteve i rezultate procene i tretmana rizika iz 6.1
- biti praćeni
- biti komunicirani
- biti ažurirani po potrebi
- postojati kao pisano dokumentovano obaveštenje
Za svaki cilj, standard dodatno traži konkretan plan ostvarenja koji odgovara na pet pitanja: šta će se uraditi, koji resursi su potrebni, ko je odgovoran, do kada, i kako će se rezultati oceniti.
Zašto je ova klauzula bitna
Ovde se sve prethodno — politika, rizici, prilike, uloge — konačno pretvara u nešto što se stvarno može pratiti iz meseca u mesec. Bez konkretnih, merljivih ciljeva, „unapređenje sistema" ostaje uopštena namera bez načina da se proveri da li se zaista dešava. Na nadzornoj proveri auditor direktno pita: koji su vam bili ciljevi za ovu godinu, i gde stojite u odnosu na njih? Firma bez konkretnog odgovora na to pitanje, koliko god dobro imala napisanu ostalu dokumentaciju, ostavlja utisak sistema koji stoji u mestu.
Primer iz prakse
Vratimo se na knjigovodstvenu agenciju i rizik koji smo identifikovali još u tekstu o proceni rizika — zajednički administratorski nalog za bazu klijenata, ocenjen kao visok rizik. Klauzula 6.2 taj rizik pretvara u konkretan cilj:
Cilj: ukinuti korišćenje zajedničkog administratorskog naloga za bazu klijenata i uvesti individualne naloge sa dvofaktorskom autentifikacijom za sve zaposlene koji pristupaju bazi, do kraja drugog kvartala.
Plan ostvarenja:
- Šta će se uraditi: nabavka i podešavanje sistema individualnih naloga sa dvofaktorskom autentifikacijom, uz kratku obuku zaposlenih za novi način prijave.
- Potrebni resursi: budžet za eventualne licence, vreme spoljnog IT saradnika za podešavanje, vreme koordinatorke za organizaciju obuke.
- Odgovorna osoba: office menadžerka — ista osoba imenovana kao koordinatorka sistema bezbednosti informacija u tekstu o klauzuli 5.3.
- Rok: kraj drugog kvartala.
- Kako se ocenjuje uspeh: broj preostalih zajedničkih naloga (cilj: nula) i procenat zaposlenih koji aktivno koriste dvofaktorsku autentifikaciju (cilj: sto posto).
Primetite koliko ovaj jedan cilj povezuje gotovo sve prethodne tekstove u seriji: rizik identifikovan kroz proces iz 6.1.2, odgovorna osoba imenovana kroz 5.3, a napredak će se proveravati baš na redovnom pregledu menadžmenta opisanom u vodiču za klauzulu 4.4.
Gde se dokumentuje
Ciljevi se najčešće vode kao kratka tabela — cilj, plan ostvarenja, odgovorna osoba, rok, status — koja se ažurira na svakom pregledu menadžmenta. Za malu firmu je dovoljno nekoliko ciljeva godišnje, usmerenih na najveće rizike ili najveće prilike identifikovane kroz 6.1, a ne dugačka lista sitnih stavki koja se teško prati.
Najčešća greška
Najčešća greška su ciljevi napisani preopšteno da bi uopšte mogli da se izmere — „unaprediti bezbednost podataka" zvuči dobro, ali se ne može proveriti da li je ostvareno. Druga česta greška je postavljanje ciljeva nezavisno od rezultata procene rizika, umesto da direktno proizilaze iz onoga što je identifikovano kao najveći rizik ili najveća prilika. Treća, vrlo praktična greška, jeste postavljanje cilja bez jasno određene odgovorne osobe i roka — takav cilj, koliko god dobro zvučao na papiru, retko se stvarno ostvari, iz istog razloga zbog kog smo u tekstu o klauzuli 5.3 objasnili da odgovornost bez konkretnog nosioca ostaje odgovornost nikoga.
Šta sledi
Sledeći tekst u seriji ide na klauzulu 6.3 — planiranje promena, novododatu klauzulu u reviziji standarda iz 2022. godine, koja traži da se i same izmene sistema sprovode planski, ne stihijski.
Comments
Post a Comment