ISO 27001 klauzula po klauzula: 7.5 — Dokumentovane informacije

Nastavljamo seriju klauzula po klauzula. Klauzula 7.5 zatvara sedmo poglavlje i konačno formalno spaja nešto što se provlačilo kroz svaki dosadašnji tekst u seriji — odeljak „gde se dokumentuje" na kraju gotovo svakog članka.

U jednoj rečenici: klauzula 7.5 traži da se sva dokumentacija sistema vodi na kontrolisan način — jasno označena, pregledana i odobrena, dostupna pravim ljudima, zaštićena, i ažurirana tako da stara verzija ne luta okolo posle nove.

Šta klauzula 7.5 traži

Klauzula ima tri dela.

7.5.1 — Opšte. Sistem treba da uključi dve vrste dokumentacije: onu koju standard izričito zahteva — politiku, obim, izjavu o primenljivosti, registar rizika, i tako dalje, sve što smo pominjali kroz ovu seriju — i onu koju firma sama proceni kao neophodnu za efikasnost sistema, čak i kad standard to eksplicitno ne traži. Standard napominje da obim dokumentacije zavisi od veličine firme i složenosti procesa — mala firma ne treba istu količinu dokumenata kao velika korporacija.

7.5.2 — Kreiranje i ažuriranje. Kad se dokument pravi ili menja, treba obezbediti odgovarajuću identifikaciju (naslov, datum, autor, oznaka verzije), format (jezik, verzija softvera, papir ili elektronski oblik), i pregled i odobrenje pre nego što dokument postane važeći.

7.5.3 — Kontrola dokumentovanih informacija. Dokumentacija mora biti dostupna i pogodna za upotrebu kad i gde je potrebna, i adekvatno zaštićena od gubitka poverljivosti, neovlašćene upotrebe ili gubitka integriteta. Ovo uključuje distribuciju, pristup, skladištenje, kontrolu izmena i rokove čuvanja. Standard posebno napominje i dokumente spoljnog porekla — ugovore, zakone, sertifikate dobavljača — koji su bitni za sistem, ali nisu nastali unutar firme; i njih treba identifikovati i kontrolisati.

Zašto je ova klauzula bitna

Kroz čitavu ovu seriju, gotovo svaki tekst završavao se odeljkom „gde se dokumentuje" — kratkim uputstvom da se nešto vodi kao tabela, registar ili kratak dokument. Klauzula 7.5 je mesto gde se sve to formalno spaja: ne samo šta se dokumentuje, nego kako se ta dokumentacija održava tokom vremena, tako da ostane pouzdana. Dokument koji postoji, ali čija stara verzija i dalje kruži po firmi, često je gori nego da dokument uopšte ne postoji — jer stvara lažan osećaj da je nešto rešeno, dok zaposleni u praksi rade po zastareloj verziji.

Primer iz prakse

Kad je knjigovodstvena agencija ažurirala politiku bezbednosti informacija posle uvođenja individualnih naloga i dvofaktorske autentifikacije — cilj koji smo opisali u tekstu o klauzuli 6.2 — otkrila je koliko slabo je do tada kontrolisala sopstvenu dokumentaciju. Stara verzija politike i dalje je stajala odštampana pored stola jednog zaposlenog, a novozaposleni koji je prošao onboarding nedelju dana ranije dobio je verziju sa deljenog diska koja nikad nije bila ažurirana.

Posle ovog otkrića, agencija je uvela jednostavnu kontrolu dokumenata:

• Identifikacija: svaki dokument nosi naziv, datum poslednje izmene, oznaku verzije i ime osobe koja ga je odobrila — na primer, „Politika bezbednosti informacija, v2.1, 15. mart, odobrila: [vlasnica]".
• Pregled i odobrenje: svaka izmena politike prolazi kroz pregled koordinatorke i odobrenje vlasnice pre nego što postane važeća.
• Kontrola verzija: postoji jedan, jedini „živi" dokument na deljenom disku sa jasno označenom trenutnom verzijom; starije verzije se ne brišu, ali se premeštaju u poseban arhivski folder, jasno odvojen od aktivne verzije.
• Distribucija: svaka izmena politike automatski pokreće obaveštenje celom timu, kao deo komunikacionog plana opisanog u prethodnom tekstu, sa direktnim linkom ka novoj verziji.
• Rok čuvanja: starije verzije politike i drugi zapisi čuvaju se određen broj godina radi audit traga, a zatim se uklanjaju.

Dodatno, agencija je počela da vodi i kratku listu spoljnih dokumenata bitnih za sistem — ugovor o obradi podataka sa dobavljačem cloud knjigovodstvene platforme, važeći tekst Zakona o zaštiti podataka o ličnosti — kako bi ih lako pronašla kad ih auditor ili klijent zatraže, umesto da ih traži u poslednjem trenutku.

Gde se dokumentuje

Za malu firmu je dovoljan jednostavan pregled svih ključnih dokumenata — naziv, verzija, ko odobrava, gde se čuva, koliko dugo — vođen kao jedna tabela, ne poseban sistem za svaki dokument. Ključno je da postoji jedno mesto gde se uvek zna koja je verzija trenutno važeća.

Najčešća greška

Najčešća greška je tačno ona koju je agencija otkrila u primeru iznad — više kopija istog dokumenta u opticaju, bez jasnog obeležavanja koja je aktuelna. Druga česta greška je odsustvo bilo kakvog pregleda pre nego što se dokument izmeni i podeli — izmena koju je uradila jedna osoba, bez ičije provere, može uneti grešku koja ostane neprimećena mesecima. Treća, ređe pominjana greška, jeste zanemarivanje dokumenata spoljnog porekla — firma vodi urednu evidenciju sopstvenih dokumenata, ali na auditu ne može brzo da pronađe ugovor sa dobavljačem ili tekst zakona na koji se poziva.

Šta sledi

Ovim se zatvara sedmo poglavlje standarda — podrška. Sledeći tekst u seriji prelazi u osmo poglavlje — operacija — klauzulom 8.1, gde se sve što smo do sada planirali i pripremili konačno sprovodi u svakodnevnom radu firme.