ISO/IEC 27001 w codziennej pracy

Od wymagań do działania systemu

ISO/IEC 27001 określa wymagania dla systemu zarządzania bezpieczeństwem informacji (SZBI). Ochrona poufności, integralności i dostępności informacji wymaga zarządzania ryzykiem oraz utrzymywania i doskonalenia systemu. Norma tworzy ramy; sposób ich zastosowania musi uwzględniać kontekst organizacji.

W tym artykule przedstawiam własną perspektywę praktyczną: jak rozpoznać rozbieżności między opisanymi zasadami a codzienną pracą. Szczególnie interesują mnie wykonalność procedur, komunikacja na styku procesów i rozumienie zasad przez pracowników.

Procedura musi pasować do rzeczywistości

Procedura może wyglądać poprawnie, a mimo to nie działać. Dzieje się tak, gdy opisuje idealne warunki zamiast rzeczywistego przebiegu pracy albo pomija ograniczenia organizacyjne i techniczne. Dlatego przy ocenie zasad interesuje mnie nie tylko ich treść, ale także możliwość zastosowania ich w praktyce.

W bezpieczeństwie informacji dotyczy to choćby przekazywania danych, uzyskiwania dostępu czy zgłaszania podejrzanych zdarzeń. Pracownik powinien rozumieć, czego wymaga dana sytuacja, i mieć możliwość wykonania przewidzianego działania.

Przy rozbieżnościach trzeba ustalić, czy zmiany wymaga procedura, sposób pracy czy dostępne zasoby. Dopasowanie zasad do rzeczywistości nie oznacza rezygnacji z wymagań. Chodzi o znalezienie wykonalnego sposobu ich spełnienia, z uwzględnieniem ryzyka.

Przekazana informacja nie zawsze znaczy to samo dla obu stron

Na styku procesów trzeba ustalić, co jeden proces przekazuje drugiemu, w jakiej formie i czego oczekuje odbiorca. Samo przekazanie informacji nie oznacza jeszcze, że obie strony rozumieją ją tak samo.

Wyobraźmy sobie polecenie: „Jedź do Paryża, a na miejscu zadzwoń po dalsze wskazówki”. Wydaje się jasne, dopóki nie okaże się, że nadawca miał na myśli miejscowość w Polsce, a odbiorca pojechał do Francji. Każdy może być przekonany, że prawidłowo wykonał swoje zadanie, choć wspólne rozumienie celu nie zostało ustalone.

Podobna niejednoznaczność w SZBI może dotyczyć odbiorcy informacji, zakresu uprawnień lub sposobu zgłoszenia zdarzenia. Dlatego warto sprawdzać, czy odbiorca wie, co otrzymał, do czego może tego użyć i jakie działanie ma wykonać. Ma to znaczenie zarówno dla ochrony informacji przed nieuprawnionym dostępem, jak i dla ich poprawności oraz dostępności wtedy, gdy są potrzebne.

Szkolenie powinno przygotowywać do różnych sytuacji

Szkolenia i budowanie świadomości są dla mnie podstawą działania systemu. Powinny pomagać pracownikom rozpoznawać sytuacje, rozumieć ich znaczenie i podejmować właściwe działania.

Tak jak podczas ćwiczeń ratowniczych warto pracować na różnych scenariuszach. Nie da się przewidzieć każdego zdarzenia, ale można rozwijać umiejętność oceny sytuacji i stosowania zasad także wtedy, gdy problem odbiega od znanego przykładu.

W bezpieczeństwie informacji mogą to być na przykład podejrzana wiadomość, prośba o udostępnienie danych lub niedostępność systemu potrzebnego do pracy. Takie przykłady pozwalają sprawdzić, czy pracownik rozumie swoją rolę, wie, gdzie szukać wsparcia i kiedy przekazać sprawę dalej. To propozycje scenariuszy, które można dobrać do zadań i ryzyka w danej organizacji.

Działanie systemu widać w codziennej pracy

Żeby ocenić, czy system rzeczywiście działa, obserwuję procesy i rozmawiam z pracownikami. Są oni kluczowym źródłem wiedzy o trudnościach, niejasnościach i ograniczeniach w codziennej pracy. Ich perspektywę warto zestawić z wymaganiami, zapisami oraz zależnościami między procesami.

Interesuje mnie, czy pracownik potrafi wyjaśnić sposób postępowania i pokazać, jak stosuje go w praktyce. Rozbieżność między dokumentem a działaniem jest punktem wyjścia do zrozumienia przyczyny. Może wskazywać na niejasny zapis, brak wiedzy, ograniczenie techniczne albo niewystarczające zasoby.

Takie obserwacje uzupełniają audyty i przeglądy. Pomagają dostrzegać potrzebę doskonalenia na co dzień, zamiast odkładać weryfikację zasad do przygotowań przed kolejnym audytem.

Podsumowanie

Dla mnie działający SZBI to system, w którym wymagania znajdują odzwierciedlenie w sposobie wykonywania pracy. Procedury są wykonalne, informacje między procesami zrozumiałe, a pracownicy potrafią zastosować zasady w różnych sytuacjach.

Wartość takiego podejścia polega na możliwości wychwycenia i poprawienia rozbieżności, zanim staną się przyczyną problemu z bezpieczeństwem informacji. Dokumentacja, szkolenia i obserwacja procesów powinny wspólnie służyć temu celowi.