ISO 27001 klauzula po klauzula: 7.2 — Kompetentnost

Nastavljamo seriju klauzula po klauzula. Klauzula 7.2 fokusira pitanje resursa iz 7.1 konkretno na ljude — ne samo da li postoji dovoljno vremena i budžeta, nego da li osobe koje rade na sistemu zaista znaju šta rade.

U jednoj rečenici: klauzula 7.2 traži da firma proveri da li ljudi koji rade poslove bitne za bezbednost informacija zaista imaju potrebno znanje i iskustvo za to, a ako nemaju, da to svesno popravi i proveri da li je popravka uspela.

Šta klauzula 7.2 traži

Standard traži četiri koraka:

a) odrediti koja kompetentnost je potrebna za ljude čiji rad utiče na učinak bezbednosti informacija, b) obezbediti da ti ljudi zaista poseduju tu kompetentnost, na osnovu odgovarajućeg obrazovanja, obuke ili iskustva, c) tamo gde postoji jaz, preduzeti radnje da se potrebna kompetentnost stekne, i oceniti da li su te radnje bile efikasne, d) čuvati odgovarajuću dokumentaciju kao dokaz kompetentnosti.

Standard eksplicitno dozvoljava tri različita puta do kompetentnosti — obrazovanje, obuku ili iskustvo. Ne traži se formalna diploma ili sertifikat za svaku ulogu; dugogodišnje praktično iskustvo je podjednako validan osnov, ako se može pokazati.

Ovo se ne odnosi samo na jednu „bezbednosnu" ulogu u firmi. Odnosi se na svakoga čiji posao utiče na bezbednost informacija — što uključuje i osobu formalno zaduženu za sistem, i obične zaposlene koji svakodnevno rukuju osetljivim podacima, i rukovodstvo čije odluke o resursima i rizicima zahtevaju bar osnovno razumevanje o čemu se radi.

Zašto je ova klauzula bitna

Klauzula 5.3 rešava pitanje ko je zadužen za šta. Klauzula 7.2 postavlja sledeće, podjednako važno pitanje: da li ta osoba zaista zna da to radi. Dodela odgovornosti bez provere kompetentnosti je čest, tih propust — osoba dobije titulu i zaduženje, ali niko ne proveri da li stvarno razume šta se od nje očekuje, sve dok se to ne otkrije na najgori mogući način, kroz grešku ili propušten nalaz na auditu.

Primer iz prakse

Kad je office menadžerka knjigovodstvene agencije imenovana kao koordinatorka sistema bezbednosti informacija, u tekstu o klauzuli 5.3, njeno dotadašnje iskustvo bilo je čisto administrativno — organizacija kancelarije, komunikacija sa klijentima, ne bezbednost informacija. Sama dodela uloge nije značila da automatski poseduje potrebnu kompetentnost.

Agencija je to rešila kroz nekoliko koraka, prateći redosled iz standarda:

• Određena potrebna kompetentnost: osnovno razumevanje standarda, sposobnost vođenja registra rizika i incidenata, poznavanje relevantnih zakonskih zahteva poput Zakona o zaštiti podataka o ličnosti.
• Utvrđen jaz: postojeće iskustvo davalo joj je organizacione veštine, ali ne i formalno znanje o standardu.
• Preduzeta radnja: kratka obuka o osnovama ISO 27001, uz neposredno mentorstvo konsultanta angažovanog u ranijoj fazi implementacije, opisanog u tekstu koji poredi DIY, konsultanta i softver.
• Ocena efikasnosti: uspešno samostalno vođenje prvog internog audita, bez potrebe da konsultant preuzme posao umesto nje, uzeto je kao potvrda da je obuka postigla svrhu.

Bitno je primetiti da nivo potrebne kompetentnosti nije bio isti za svakoga. Senior knjigovođe, imenovani u istom tekstu kao „vlasnici" pristupa za pojedine klijente, nisu trebali isto znanje kao koordinatorka — njima je bila dovoljna kratka, ciljana obuka o tome šta tačno treba da prate i kada da prijave anomaliju, ne pun pregled standarda. Kompetentnost se, drugim rečima, meri u odnosu na konkretnu ulogu, ne uniformno za celu firmu.

Gde se dokumentuje

Dovoljni su jednostavni zapisi — potvrde o završenim obukama, kratke beleške o mentorstvu ili praktičnom iskustvu, eventualno CV ili opis dotadašnjeg radnog iskustva za ključne uloge. Auditor obično traži da vidi upravo ovakav dokaz za osobe na ključnim ulogama — ne da ispituje znanje uživo, nego da proveri da li firma ima trag da je kompetentnost razmotrena i, gde je bilo potrebno, razvijena.

Najčešća greška

Najčešća greška je pretpostavka da dodela uloge iz 5.3 sama po sebi rešava i pitanje kompetentnosti — kao da je dovoljno nekoga imenovati, bez provere da li stvarno ima znanje za taj posao. Druga česta greška je primena istog, punog nivoa obuke na sve zaposlene bez razlike, umesto prilagođavanja obuke stvarnoj ulozi svake osobe — pristup koji nepotrebno troši vreme i, paradoksalno, čini da se obuka doživljava kao formalnost, a ne kao nešto relevantno za svakodnevni posao.

Šta sledi

Sledeći tekst u seriji ide na klauzulu 7.3 — svest, blisko povezanu sa kompetentnošću, ali usmerenu na nešto šire: da li svi zaposleni, ne samo oni sa formalnom ulogom u sistemu, razumeju zašto je bezbednost informacija važna i kako se njihovo svakodnevno ponašanje uklapa u to.