ISO 27001 klauzula po klauzula: 7.1 — Resursi

Ulazimo u sedmo poglavlje standarda — podršku — klauzulom 7.1. Ovo je tačka gde se obećanje iz 5.1, da će rukovodstvo obezbediti resurse, pretvara u konkretnu, proverljivu obavezu. O troškovima i o tome kako ih obezbediti već smo detaljno pisali u dva posebna teksta, pa se ovaj fokusira na ono što tamo nije bio glavni naglasak.

U jednoj rečenici: klauzula 7.1 traži da firma ne samo obeća, nego stvarno odredi i obezbedi sve resurse potrebne za sistem — ne samo za njegovo pokretanje, nego i za održavanje i unapređenje kroz sve tri godine ciklusa.

Šta klauzula 7.1 traži

Tekst klauzule je kratak: firma treba da odredi i obezbedi resurse potrebne za uspostavljanje, primenu, održavanje i stalno unapređenje sistema bezbednosti informacija.

Ova četiri glagola — uspostavljanje, primena, održavanje, stalno unapređenje — nisu slučajno ista četiri glagola koja smo već sreli u klauzuli 4.4. Tamo su opisivali šta sistem treba da radi kao celina; ovde opisuju za šta tačno resursi moraju biti obezbeđeni. Poenta je da resursi nisu jednokratan trošak vezan samo za dobijanje sertifikata — potrebni su kroz ceo životni vek sistema, uključujući i godine posle prve sertifikacije.

„Resursi" ovde ne znače samo novac. Uključuju vreme ljudi — uključujući vreme rukovodstva za pregled menadžmenta, ne samo vreme izvršilaca — znanje i veštine, bilo interne ili eksterne kroz konsultanta, alate i tehnologiju, i infrastrukturu.

Zašto je ova klauzula bitna

Bez nje, svi prethodni koraci ostaju dobre namere: procena rizika bez vremena da se sprovede, ciljevi iz 6.2 bez budžeta da se ostvare, uloge iz 5.3 bez vremena da se stvarno obavljaju. O konkretnim brojkama i strukturi troškova pisali smo već u posebnom tekstu o realnoj ceni implementacije, a o tome da li resurse obezbediti kroz interni rad, konsultanta ili softver, u tekstu koji poredi te tri opcije. Ovaj tekst se ne ponavlja, nego dodaje ono što tamo nije bio fokus: da resursi moraju biti planirani za sve četiri faze, ne samo za početnu implementaciju.

Primer iz prakse

Softverska agencija iz mini-serije primera prvobitno je budžetirala resurse samo za prvu godinu — trošak konsultanta i audita za dobijanje sertifikata. Kad je stigla druga godina, i sa njom nadzorna provera, agencija se našla tačno u situaciji opisanoj u tekstu o troškovima: nadzorni audit, obnavljanje obuke i vreme potrebno za ažuriranje registra rizika nisu bili predviđeni ni u budžetu ni u rasporedu nijedne osobe.

Da je klauzula 7.1 bila stvarno primenjena od početka, plan resursa bi izgledao ovako:

• Uspostavljanje (prva godina): budžet za konsultanta i inicijalni audit, vreme direktora za pregled menadžmenta, vreme DevOps inženjera za tehničku implementaciju.
• Primena: vreme celog tima za obuku i usvajanje novih procedura, uključujući offboarding proceduru uvedenu posle incidenta sa honorarnim developerom.
• Održavanje: budžet za nadzorne audite u drugoj i trećoj godini, redovno vreme koordinatora sistema za ažuriranje registra rizika i incidenata.
• Stalno unapređenje: manji, ali redovan budžet za dodatne mere koje proizilaze iz pregleda menadžmenta — na primer, alat za upravljanje pristupom pomenut u tekstu o klauzuli 5.1.

Razlika nije u ukupnom iznosu — razlika je u tome da li je taj iznos unapred predviđen za sve četiri faze, ili se otkriva iznenada, fazu po fazu, kako firma ide unapred.

Gde se dokumentuje

Za malu firmu je dovoljan jednostavan godišnji budžet ISMS-a — nekoliko redova koji pokrivaju sertifikaciju, eventualnog konsultanta ili alat, i procenjeno vreme ključnih ljudi. Ovaj budžet se prirodno preispituje na istom pregledu menadžmenta gde se prate i ciljevi iz 6.2, jer su resursi i ciljevi direktno povezani — svaki cilj iz 6.2 već je zahtevao da se navedu potrebni resursi.

Najčešća greška

Najčešća greška, opisana i u tekstu o troškovima, jeste budžetiranje samo prve godine, uz potpuno zanemarivanje toga da sistem zahteva resurse i posle dobijanja sertifikata. Druga česta greška je posmatranje resursa isključivo kao novca, uz zanemarivanje vremena — firma koja odobri budžet za alat, ali nikom ne oslobodi vreme da ga stvarno koristi i održava, u suštini nije obezbedila resurs, samo je kupila nešto što će stajati neiskorišćeno.

Šta sledi

Sledeći tekst u seriji ide na klauzulu 7.2 — kompetentnost, gde se pitanje resursa iz 7.1 fokusira konkretno na ljude: da li oni koji rade na sistemu imaju znanje i veštine potrebne za taj posao, a ako nemaju, šta firma po standardu mora da uradi po tom pitanju.