ISO 27001 klauzula po klauzula: 7.4 — Komunikacija

Nastavljamo seriju klauzula po klauzula. Klauzula 7.4 rešava pitanje koje smo, uglavnom sa interne strane, dodirivali kroz čitavu ovu seriju — ko treba da zna šta, i kada — ali sada eksplicitno traži plan i za eksternu komunikaciju, deo koji do sada nismo pokrili.

U jednoj rečenici: klauzula 7.4 traži da firma unapred odredi šta se komunicira, kome, kada i na koji način — umesto da se svaki put iznova improvizuje ko treba da zna šta.

Šta klauzula 7.4 traži

Standard traži da firma odredi potrebu za internom i eksternom komunikacijom vezanom za sistem bezbednosti informacija, uključujući četiri elementa za svaku vrstu komunikacije:

a) šta se komunicira, b) kada se komunicira, c) sa kim se komunicira, d) kako se komunicira.

Naizgled jednostavno, ali ova klauzula rešava konkretan, praktičan problem: bez unapred određenog plana, odluke o tome ko treba da zna za neki događaj donose se na licu mesta, pod pritiskom, često nekonzistentno — jednom se klijent obavesti, drugi put ne, u zavisnosti od toga ko je te nedelje bio zadužen i koliko je bio zauzet.

Zašto je ova klauzula bitna

Kroz ovu seriju smo više puta pisali o internoj komunikaciji — politika koja se deli sa timom u 5.2, obuka i podsetnici u 7.3, kanal za prijavu incidenata iz vodiča za 4.4. Ono što do sada nismo eksplicitno pokrili jeste eksterna komunikacija — šta se dešava kad neko van firme treba da zna da se nešto desilo. To je često najosetljiviji deo, jer greška u eksternoj komunikaciji — prećutan incident koji je trebalo prijaviti, ili prekasna reakcija — može naneti mnogo veću štetu poverenju nego sam incident.

Primer iz prakse

Setimo se incidenta koji smo prvi put pomenuli u tekstu o klauzuli 4.1 — zaposleni je greškom poslao finansijski izveštaj pogrešnom klijentu. U vodiču za klauzulu 4.4 opisali smo kako bi taj incident prošao kroz interni proces: prijava, analiza uzroka, korektivna mera, obuka. Ono što tada nismo pokrili jeste pitanje koje je agencija, u trenutku kad se incident stvarno desio, otkrila da nema odgovor: da li i kada treba obavestiti klijenta čiji su se podaci našli u pogrešno poslatom izveštaju?

Interni proces je postojao. Eksterni komunikacioni plan nije — i baš ta rupa je otkrivena u pravom trenutku, pod pritiskom, umesto unapred, na miru.

Posle ovog iskustva, agencija je sastavila kratak komunikacioni plan:

Šta se komunicira	Kome	Kada	Kako
Politika bezbednosti informacija	Svi zaposleni	Pri onboardingu i pri svakoj izmeni politike	Interni sastanak, uz deljeni dokument
Incident koji utiče na podatke klijenta	Pogođeni klijent	Bez nepotrebnog odlaganja, čim se utvrdi da je klijent pogođen	Direktan poziv, praćen pisanim rezimeom
Rezultati internog audita	Rukovodstvo	Odmah po završetku audita	Pisani izveštaj, tačka na pregledu menadžmenta
Ozbiljno curenje ličnih podataka	Nadležni organ za zaštitu podataka, gde to zakon zahteva	U zakonski propisanom roku od saznanja	Formalna prijava u skladu sa zakonom
Veća promena u obimu ili sistemu	Pogođeni zaposleni i klijenti	Pre sprovođenja promene, ne posle	Email najava, sastanak tima

Ova tabela ne rešava svaku situaciju unapred, ali rešava najvažnije: sledeći put kad se nešto slično desi, niko ne mora da improvizuje odgovor na pitanje da li i kako da obavesti klijenta — odgovor već postoji.

Gde se dokumentuje

Komunikacioni plan najčešće se vodi kao kratka tabela, slična gornjoj, koja se dopunjuje kako firma nailazi na nove situacije koje ranije nisu bile predviđene. Nije potrebno unapred predvideti baš svaki mogući scenario — dovoljno je pokriti najverovatnije i najosetljivije situacije, uz razumevanje da se lista vremenom dopunjuje, tačno onako kako je opisano u primeru iznad.

Najčešća greška

Najčešća greška je fokusiranje isključivo na internu komunikaciju — politiku, obuku, podsetnike — uz potpuno zanemarivanje eksterne strane, sve dok prvi stvaran incident ne otkrije rupu, kao u primeru iznad. Druga česta greška je improvizacija umesto plana — oslanjanje na to da će „neko već znati" šta treba da se uradi, umesto da to bude unapred, pismeno, jasno određeno.

Šta sledi

Sledeći tekst u seriji ide na klauzulu 7.5 — dokumentovane informacije, gde standard konačno formalno propisuje kako treba da izgleda, gde se čuva i kako se ažurira sva dokumentacija koju smo pominjali kroz čitavu ovu seriju.