ISO 27001 klauzula po klauzula: 9.1 — Praćenje, merenje, analiza i ocenjivanje

Ulazimo u deveto poglavlje standarda — ocenjivanje učinka. Ovde firma prestaje da se oslanja na utisak da sistem radi kako treba, i počinje to stvarno da meri.

U jednoj rečenici: klauzula 9.1 traži da firma sistematski meri da li sistem bezbednosti stvarno postiže ono što je nameravano — ne kroz utisak, nego kroz konkretne, redovno praćene pokazatelje.

Šta klauzula 9.1 traži

Firma treba da odredi šest stvari:

a) šta treba pratiti i meriti, uključujući procese i kontrole bezbednosti informacija, b) metode praćenja, merenja, analize i ocenjivanja, tako da rezultati budu pouzdani, c) kada se praćenje i merenje sprovodi, d) ko prati i meri, e) kada se rezultati analiziraju i ocenjuju, f) ko analizira i ocenjuje rezultate.

Rezultati moraju biti dokumentovani kao dokaz. Firma na kraju treba da oceni i učinak bezbednosti informacija i efikasnost celog sistema — ne samo da sakupi brojke, nego da iz njih izvuče zaključak.

Bitna razlika koju standard pravi: praćenje i merenje, odnosno prikupljanje podataka, nije isto što i analiza i ocenjivanje, odnosno tumačenje tih podataka — mogu ih raditi različite osobe, u različitim trenucima. Neko može svakodnevno beležiti podatke, dok ih neko drugi analizira tek na tromesečnom ili polugodišnjem nivou.

Zašto je ova klauzula bitna

Do sada smo u seriji pisali o pojedinačnim ciljevima, procesima i kontrolama — ali klauzula 9.1 uvodi nešto šire: sistematsko merenje kroz vreme, koje pokazuje trend, ne samo trenutno stanje. Firma koja jednom proveri da li nešto radi kako treba zna samo to — kako stoji danas. Firma koja to redovno meri zna da li se stanje popravlja, pogoršava, ili stoji u mestu, što je mnogo korisnija informacija za odlučivanje o tome gde uložiti sledeći trud.

Primer iz prakse

Kroz čitavu ovu seriju — u mini-seriji primera, u vodiču za klauzulu 4.4, kroz nekoliko tekstova glavne serije — vraćao se isti problem: pristup koji ostaje aktivan predugo posle prestanka saradnje sa zaposlenim, saradnikom ili dobavljačem. Knjigovodstvena agencija je odlučila da tačno taj problem pretvori u konkretan pokazatelj koji redovno prati, primenjujući svih šest elemenata klauzule 9.1:

• Šta se prati: vreme, u satima, između prestanka saradnje i stvarnog ukidanja pristupa svim relevantnim sistemima.
• Metod: koordinatorka beleži datum i vreme prestanka saradnje i datum i vreme ukidanja pristupa za svaki pojedinačan slučaj, iz čega se izračunava vreme u satima.
• Kada se meri: pri svakom pojedinačnom događaju — ne periodično, nego svaki put kad neko napusti saradnju.
• Ko meri: koordinatorka sistema bezbednosti informacija.
• Kada se analizira: na svakom pregledu menadžmenta, dva puta godišnje.
• Ko analizira: koordinatorka priprema sažetak i trend, a vlasnica i tim ga razmatraju zajedno na pregledu.

Prva merenja, sprovedena pre nego što je formalna offboarding procedura uvedena — procedura koju smo prvi put pomenuli u vodiču za klauzulu 4.4 — pokazala su prosečno vreme od gotovo četiri dana. Posle uvođenja procedure i njenog operacionalizovanja kroz proces opisan u klauzuli 8.1, isti pokazatelj je na sledećem pregledu menadžmenta pao na manje od 24 sata.

Ovaj jedan broj, praćen tokom vremena, direktno je pokazao da li je mera koju je agencija uvela stvarno delotvorna — ne kroz utisak da „sad valjda radi bolje", nego kroz konkretan, uporediv podatak.

Gde se dokumentuje

Pokazatelji se najčešće vode kao kratka tabela ili grafikon koji se ažurira pri svakom merenju i pregleda na svakom pregledu menadžmenta — isti dokument koji smo pominjali u kontekstu ciljeva iz 6.2, samo sada sa fokusom na trend kroz vreme, ne samo na status jednog cilja.

Najčešća greška

Najčešća greška je merenje bez ikakve analize — firma prikuplja podatke, ali ih niko zapravo ne pogleda niti izvuče zaključak, pa brojke ostaju u tabeli bez ikakvog uticaja na odluke. Druga česta greška je praćenje previše pokazatelja odjednom, od kojih većina nikom ništa ne govori — za malu firmu je korisnije pratiti dva ili tri pokazatelja koja se direktno vezuju za najveće identifikovane rizike, nego dvadeset pokazatelja koje niko stvarno ne koristi.

Šta sledi

Sledeći tekst u seriji ide na klauzulu 9.2 — interni audit, gde firma sama, iznutra, proverava da li sistem zaista radi onako kako dokumentacija kaže — poslednja provera pre nego što to isto pitanje postavi i eksterni auditor.