ISO 27001 klauzula po klauzula: 7.3 — Svest

Nastavljamo seriju klauzula po klauzula. Klauzula 7.2 tražila je kompetentnost od ljudi sa specifičnom ulogom u sistemu; 7.3 širi taj zahtev na svakoga ko radi za firmu, uz mnogo niži prag — ne stručnost, nego osnovna svest.

U jednoj rečenici: klauzula 7.3 traži da svako ko radi za firmu — ne samo ljudi sa formalnom ulogom u sistemu — razume politiku, svoj doprinos sistemu, i šta se dešava ako se pravila ne poštuju.

Šta klauzula 7.3 traži

Standard traži da svi koji rade pod kontrolom firme budu svesni:

a) politike bezbednosti informacija iz 5.2, b) sopstvenog doprinosa efikasnosti sistema, uključujući koristi od unapređenog učinka bezbednosti, c) posledica nepoštovanja zahteva sistema.

Razlika u odnosu na prethodnu klauzulu je bitna: kompetentnost se traži samo od onih čiji rad direktno utiče na bezbednost informacija, i podrazumeva stvarno znanje i veštine za taj konkretan posao. Svest se traži od svih, i podrazumeva mnogo niži prag — ne treba da svako bude ekspert, samo da razume osnovne stvari: da politika postoji i šta otprilike kaže, da njegovo svakodnevno ponašanje utiče na to da li sistem uopšte radi, i da nepoštovanje pravila nosi stvarne posledice.

Treću tačku, o posledicama nepoštovanja, vredi posebno razjasniti: ne odnosi se na ličnu kaznu za zaposlenog, o čemu smo pisali u vodiču za klauzulu 4.4 kroz princip bez kažnjavanja. Odnosi se na razumevanje stvarnog rizika — zašto pravilo uopšte postoji i šta se realno može desiti firmi i klijentima ako se ne poštuje, ne na strah od ličnih posledica.

Zašto je ova klauzula bitna

Većina zaposlenih u maloj firmi nikad neće imati formalnu ulogu u sistemu bezbednosti informacija — neće biti „vlasnik" nijednog sredstva, neće voditi registar rizika, neće biti na listi ljudi koji prolaze detaljnu obuku iz 7.2. Ipak, upravo ti ljudi svakodnevno donose male odluke koje direktno utiču na bezbednost — da li će prijaviti sumnjiv mejl, da li će proveriti primaoca pre slanja osetljivog dokumenta, da li će nekome bez razloga podeliti lozinku. Klauzula 7.3 postoji zato što sistem koji zavisi samo od nekoliko formalno zaduženih ljudi, dok ostatak tima nema pojma šta se dešava, ostaje krhak — najveći broj incidenata u ovoj seriji dogodio se upravo ljudima bez formalne uloge u sistemu.

Primer iz prakse

U knjigovodstvenoj agenciji, nekoliko meseci posle uvođenja osnovne obuke o svesti za sve zaposlene, mlađa knjigovotkinja bez ikakve formalne uloge u ISMS-u primila je telefonski poziv osobe koja se predstavila kao predstavnik banke jednog klijenta i tražila da joj se preko telefona pročitaju detalji o stanju na računu tog klijenta.

Umesto da odmah pruži informaciju — što bi, pre uvođenja obuke, verovatno i uradila, iz želje da bude ljubazna i efikasna — prepoznala je situaciju kao sumnjivu, na osnovu onoga što je čula na kratkoj obuci o osnovnim pravilima zaštite podataka klijenata, i prijavila je poziv kroz kanal opisan u vodiču za klauzulu 4.4, umesto da odgovori.

Ispostavilo se da poziv zaista nije bio legitiman. Nijedan podatak nije procurio, incident je zabeležen u registru, a kratak podsetnik o ovakvim pokušajima ušao je u narednu rundu obuke za ceo tim — tačno onaj ciklus koji smo ranije opisali kao „obuka koja koristi stvarne primere".

Ovaj primer pokazuje sve tri tačke iz standarda na delu: znala je da politika o zaštiti podataka klijenata postoji (a), njena odluka da prijavi umesto da odgovori direktno je doprinela efikasnosti sistema (b), i razumela je da bi deljenje tih podataka moglo da naškodi klijentu i firmi, ne samo da prekrši neko apstraktno pravilo (c).

Gde se dokumentuje

Za razliku od kompetentnosti, koja se dokazuje pojedinačnim zapisima za svaku osobu, svest se najčešće dokumentuje na nivou grupe — evidencija ko je prisustvovao kojoj obuci ili čitao koji podsetnik, uz kratak sadržaj onoga što je pokriveno. Za malu firmu je dovoljna jednostavna lista prisustva uz kratak opis teme, ponavljana bar jednom godišnje i pri onboardingu novih zaposlenih.

Najčešća greška

Najčešća greška je poistovećivanje svesti sa jednom godišnjom prezentacijom koja se odgleda i zaboravi — bez ponavljanja, bez konkretnih primera, i bez provere da li je iko zaista zapamtio bilo šta korisno. Druga česta greška je fokusiranje obuke isključivo na ljude sa formalnom ulogom u sistemu, po logici „oni su zaduženi, ostali ne moraju da znaju" — upravo suprotno od onoga što ova klauzula traži, i upravo suprotno od onoga što je u primeru iznad sprečilo stvaran incident.

Šta sledi

Sledeći tekst u seriji ide na klauzulu 7.4 — komunikaciju, gde standard traži da firma jasno odredi šta se komunicira, kada, kome i kako, kako bi i svest iz 7.3 i svi ostali delovi sistema imali pouzdan način da stignu do pravih ljudi u pravom trenutku.