ISO 27001 poglavlje 4 u praksi: mali proizvodni pogon

Drugi tekst u mini-seriji primene poglavlja 4 na različite tipove firmi. Posle softverske agencije prelazimo na potpuno drugačiji profil rizika — proizvodni pogon, gde fizička bezbednost i zaštita tehničke dokumentacije igraju mnogo veću ulogu nego kod uslužnih firmi.

Profil firme

Pogon sa 35 zaposlenih — proizvodni radnici, nekoliko inženjera i dizajnera, prodaja i administracija — izrađuje precizne mehaničke delove i komponente po narudžbini za veće industrijske kupce, uključujući klijente iz automobilske industrije. Rade po tehničkim crtežima i specifikacijama koje dobijaju od klijenata, obično pod ugovorom o poverljivosti. IT infrastruktura je mešavina starijeg lokalnog ERP sistema za proizvodnju i novijih cloud alata koje koristi dizajn tim.

4.1 — Kontekst

Spoljni faktori: industrijski klijenti sve češće traže ugovor o poverljivosti i formalnu bezbednosnu proveru pre nego što povere tehničku dokumentaciju; industrijska špijunaža i krađa dizajna su realan rizik u ovoj branši, jer bi konkurencija imala direktnu korist od pristupa CAD fajlovima i specifikacijama; poslovanje zavisi od dobavljača sirovina i opreme, čiji bi poremećaji ili bezbednosni propusti mogli posredno uticati na pogon; klijenti iz EU sve češće očekuju da i manji dobavljači u lancu snabdevanja imaju osnovne bezbednosne sertifikate.

Unutrašnji faktori: pogon je fizički prostor sa proizvodnim halama, skladištem i kancelarijama, gde je fizička bezbednost — kontrola ulaska, nadzor, zaštita od krađe — podjednako važna koliko i digitalna; veći deo proizvodnog osoblja nije naviknut na digitalne procedure, istorijski je dosta dokumentacije bilo na papiru; nekoliko ključnih inženjera ima pristup celokupnoj tehničkoj dokumentaciji svih klijenata odjednom, bez podele po projektima; ne postoji jasna politika o korišćenju USB uređaja ili iznošenju dokumentacije van pogona.

4.2 — Zainteresovane strane

Zainteresovana strana	Šta očekuje	Rešava li se kroz ISMS
Industrijski klijenti	Poverljivost tehničke dokumentacije, poštovanje ugovora o poverljivosti	Da
Zaposleni na proizvodnji	Jasna, praktična pravila koja ne ometaju proizvodni proces	Da
Dobavljači sirovina i opreme	Razmena narudžbina i osnovnih specifikacija	Delimično — minimalno, van glavnog fokusa ISMS-a
Inspekcijski i regulatorni organi (van bezbednosti informacija)	Poštovanje propisa o radu i zaštiti životne sredine	Ne — pokriva ga poseban, odvojen proces usklađenosti
Osiguravajuća kuća (imovinsko osiguranje pogona)	Dokaz fizičke i informacione bezbednosti	Da, indirektno

4.3 — Obim

Pogon iznajmljuje deo trenutno neiskorišćenog skladišnog prostora drugoj, nepovezanoj firmi — aktivnost koja ne uključuje pristup tehničkoj dokumentaciji niti IT sistemima pogona, pa se prirodno isključuje iz obima.

Obim sistema upravljanja bezbednošću informacija pokriva sve aktivnosti proizvodnje delova i komponenti za klijente, uključujući čuvanje i obradu tehničke dokumentacije, CAD fajlova i specifikacija klijenata, kao i ERP sistem za upravljanje proizvodnjom. Iz obima je isključeno iznajmljivanje neiskorišćenog skladišnog prostora trećoj firmi, jer ta aktivnost ne uključuje pristup tehničkoj dokumentaciji niti IT sistemima pogona. Zavisnost od dobavljača sirovina upravlja se kroz standardne nabavne ugovore, van obima sertifikacije.

4.4 — Sistem kao celina

Pre godinu dana, inženjer koji je napuštao firmu kopirao je tehničke crteže nekoliko projekata na lični USB uređaj pred odlazak — nije bilo jasno da li mu je to uopšte bilo potrebno za tadašnji rad, jer nije postojala ni podela pristupa po projektima ni nadzor nad korišćenjem USB uređaja. U sistemu izgrađenom prema klauzuli 4.4, ovaj propust bi pokrenuo ažuriranje procene rizika vezanog za pristup tehničkoj dokumentaciji, uveo ograničenje korišćenja USB uređaja i podelu pristupa dokumentaciji po projektima, i ušao u narednu rundu obuke za inženjerski tim — umesto da ostane izolovan slučaj o kome se samo pričalo u hodniku.

Šta sledi

Sledeći tekst u mini-seriji prelazi na špeditersku odnosno logističku firmu, gde se pojavljuje nov sloj rizika — praćenje pošiljki u realnom vremenu, pristup sistemima više partnera istovremeno i zavisnost od podizvođača u transportu.