ISO 27001 klauzula po klauzula: 8.2 i 8.3 — Operativna procena i tretman rizika

Nastavljamo seriju klauzula po klauzula. Klauzule 8.2 i 8.3 su kratke, jer ne uvode novu metodologiju — samo traže da se ono što je već opisano u poglavlju 6 zaista ponavlja tokom vremena. Zato ih obrađujemo zajedno, u jednom tekstu.

U jednoj rečenici: klauzule 8.2 i 8.3 traže da se procena i tretman rizika, opisani još u poglavlju 6, zaista ponavljaju tokom vremena — po unapred određenom rasporedu ili kad se desi značajna promena — i da se čuvaju zapisi o rezultatima.

Šta klauzule 8.2 i 8.3 traže

8.2 — Procena rizika traži da firma sprovodi procenu rizika u planiranim intervalima, ili kad se predlažu ili dese značajne promene, koristeći kriterijume utvrđene još u 6.1.2. Rezultati moraju biti dokumentovani.

8.3 — Tretman rizika traži da firma zaista sprovede plan tretmana rizika iz 6.1.3 — ne samo da ga napiše, nego da ga izvrši — i da zabeleži rezultate tog sprovođenja.

Obe klauzule su namerno kratke, jer ne uvode novu metodologiju — ona je već detaljno opisana u samostalnom tekstu o proceni rizika. Ono što dodaju jeste zahtev za ponavljanjem: procena rizika nije jednokratan projekat urađen pred prvi audit, nego redovna aktivnost, pokrenuta ili planiranim rasporedom — najčešće jednom godišnje — ili konkretnim okidačem: značajnom promenom, kako smo je definisali u tekstu o klauzuli 6.3 i pokazali kroz neplaniranu promenu u tekstu o klauzuli 8.1.

Zašto su ove klauzule bitne

Ovde se zatvara krug koji smo pratili kroz čitavu seriju. Rizik identifikovan u samostalnom tekstu o proceni rizika, pretvoren u cilj u 6.2, operacionalizovan kao proces sa kriterijumima u 8.1 — sad, kroz 8.2 i 8.3, taj isti proces se ponavlja i njegovi rezultati se beleže, umesto da procena ostane „urađena jednom" dokument koji niko više ne otvara. Ovo direktno rešava zabludu o kojoj smo pisali još u četvrtom tekstu na blogu — da je sertifikacija završna linija, a ne početak ciklusa koji se ponavlja.

Primer iz prakse

Vratimo se poslednji put na rizik koji nas je pratio kroz veći deo ove serije — zajednički administratorski nalog za bazu klijenata knjigovodstvene agencije, prvi put identifikovan u tekstu o proceni rizika, pretvoren u cilj u 6.2, operacionalizovan u 8.1.

Kroz 8.3, agencija je sprovela plan tretmana do kraja i zabeležila rezultat: na kraju drugog kvartala, kako je i predviđeno ciljem, zajedničkih naloga više nema, a sto posto zaposlenih koji pristupaju bazi klijenata koristi individualne naloge sa dvofaktorskom autentifikacijom. Ovaj rezultat je zaveden u registar rizika — rizik je preocenjen, a njegov nivo, koji je prvobitno bio visok (4 × 5 = 20, u sistemu opisanom u tekstu o proceni rizika), sada je nizak, jer je glavna ranjivost — zajednički pristup bez evidencije — uklonjena.

Kroz 8.2, agencija sprovodi punu procenu rizika jednom godišnje, po unapred zakazanom rasporedu. Ali te godine, procena je bila pokrenuta i van tog rasporeda — dva puta, zapravo — kad je otkrivena neplanirana promena iz teksta o klauzuli 8.1 (knjigovođa koji je počeo da koristi lični nalog za deljenje fajlova) i kad je sprovedena migracija preostalih klijenata na cloud platformu, opisana u tekstu o klauzuli 6.3. Oba puta, procena rizika nije čekala godišnji ciklus — sprovedena je odmah, jer su oba događaja predstavljala tačno onu vrstu značajne promene koju 8.2 eksplicitno pominje kao okidač.

Gde se dokumentuje

Rezultati svake procene — planirane ili pokrenute okidačem — dodaju se istom registru rizika koji smo opisali u samostalnom tekstu o proceni rizika, sa datumom i razlogom pokretanja: redovan ciklus ili konkretna promena. Rezultati tretmana beleže se u istom planu tretmana, sa ažuriranim statusom za svaku stavku — u toku, sprovedeno, ili, ako se pokaže da mera nije bila dovoljna, ponovo otvoreno.

Najčešća greška

Najčešća greška je oslanjanje isključivo na godišnji ciklus, bez ikakvog mehanizma da se procena pokrene i van njega kad se desi značajna promena — firma tako može mesecima raditi sa procenom rizika koja više ne odražava stvarno stanje. Druga česta greška je zaustavljanje na planu tretmana bez ikakvog zapisa o tome da li je zaista sproveden i da li je stvarno smanjio rizik — plan koji ostane večno „u toku", bez ikad zabeleženog završetka, jednako je beskoristan kao da nikad nije ni napravljen.

Šta sledi

Ovim se zatvara osmo poglavlje standarda — operacija. Sledeći tekst u seriji prelazi u deveto poglavlje — ocenjivanje učinka — klauzulom 9.1, gde standard traži da firma sistematski proveri da li sistem, sad kad radi, zaista postiže ono što je nameravano.