Jedno od prvih pitanja tijekom ISO 27001 GAP analize često je postoji li određena politika ili procedura. Dokument postoji, odobren je, ima vlasnika, verziju i datum posljednje izmjene. U njemu piše da se korisnički pristupi redovito pregledavaju, da se sigurnosni incidenti evidentiraju, da se backup testira i da se pristupi ukidaju kada zaposlenik napusti organizaciju. Na papiru sve izgleda dobro. Problem nastaje kada se postavi sljedeće pitanje: kada je posljednji put napravljen pregled korisničkih prava? Ako organizacija ne može pokazati kada je pregled proveden, tko ga je napravio i što je nakon njega promijenjeno, postojanje politike ne govori nam provodi li se proces koji ona opisuje.

To je jedna od važnijih razlika između ISO 27001 dokumentacije i ISMS-a koji stvarno funkcionira. Dokumentacija određuje pravila, ali provedba tih pravila mora biti vidljiva u stvarnom radu organizacije. Organizacija, primjerice, može imati dobro napisanu politiku prema kojoj se prava korisnika periodički pregledavaju, ali tijekom provjere otkrije se da je posljednji formalni pregled napravljen prije dvije godine. U međuvremenu su zaposlenici mijenjali radna mjesta, projekti su završavali, uvedene su nove aplikacije, a prava koja više nisu bila potrebna ostala su aktivna. Politika u tom slučaju nije nužno problem. Problem je razlika između onoga što je organizacija propisala i onoga što stvarno radi.

Isto vrijedi za druge dijelove ISMS-a. Procedura za upravljanje sigurnosnim incidentima može detaljno opisivati prijavu, klasifikaciju i eskalaciju incidenta, ali ako se sigurnosni događaji rješavaju kroz telefonske pozive i poruke bez ikakve evidencije, kasnije je teško pokazati kako je incident obrađen, koje su odluke donesene i jesu li iz njega proizašle neke promjene. Backup može biti uredno definiran internom procedurom i izvršavati se svake noći, a izvještaji mogu mjesecima pokazivati uspješno izvršavanje. To još uvijek nije isto što i dokaz da organizacija može vratiti sustav kada joj stvarno zatreba. Ako je posljednji restore test napravljen prije nekoliko godina ili nitko ne zna koliko bi trajao oporavak ključnog sustava, postoji razlika između dokaza da se backup izrađuje i dokaza da proces oporavka funkcionira. Kod dobavljača se isti problem pojavljuje na drugi način. Organizacija može imati proceduru prema kojoj se prije angažiranja dobavljača procjenjuju sigurnosni zahtjevi. Ako postoji samo popis dobavljača, ali nema traga o tome tko je procijenjen, prema kojim kriterijima i što je napravljeno kada je pronađen rizik, teško je zaključiti da se definirani proces stvarno provodi.

Zbog toga tijekom ISO 27001 GAP analize nije dovoljno pitati samo “imate li ovo?”. Treba pogledati što se iza toga stvarno događa. AresISEC kod takve analize ne promatra samo postoji li politika, procedura ili drugi dokument. Važno je utvrditi postoji li proces koji dokument opisuje i postoji li odgovarajući trag njegove provedbe. Taj trag ne mora uvijek biti novi dokument napravljen posebno zbog ISO 27001. Ako se pregled pristupa već provodi kroz postojeći IT sustav, dokaz može biti zapis tog pregleda i promjena koje su nakon njega napravljene. Ako se testira oporavak, to mogu biti rezultati testa. Ako se održava sigurnosna obuka, postojeći zapisi mogu pokazati kada je održana i tko je sudjelovao. Ako se dobavljači već procjenjuju u sklopu nabave, nema smisla stvarati paralelan proces samo kako bi postojao “ISO dokaz”.

To je posebno važno u organizacijama koje već imaju razvijene sigurnosne prakse. ISO 27001 implementacija ne bi trebala značiti da se postojeći način rada odbacuje i zamjenjuje hrpom novih Word i Excel dokumenata. Ako proces već postoji i funkcionira, prvo treba utvrditi zadovoljava li potrebe ISMS-a i može li se njegova provedba dokazati. Tek tada ima smisla određivati što treba promijeniti. Postoji i druga strana problema. Ako tijekom GAP analize određeni dokaz nije dostupan, to ne znači automatski da se aktivnost nikada nije provodila. Možda se provodi, ali se rezultati ne evidentiraju. Možda dokaz postoji u sustavu kojem osoba uključena u analizu nema pristup. Možda je proces neformalan i ovisi o jednoj osobi koja ga provodi godinama, ali nikada nije definiran na način koji bi organizaciji omogućio da ga pouzdano ponovi. Zato je važno razlikovati situaciju u kojoj kontrola nije implementirana od situacije u kojoj njezinu provedbu nije moguće potvrditi dostupnim dokazima.

Ta razlika nije važna samo zbog audita. Važna je samoj organizaciji. Ako sigurnosni proces funkcionira samo zato što jedna osoba zna što treba napraviti, organizacija ima problem čak i ako je ta osoba svaki put napravila sve ispravno. Ako nitko ne može utvrditi kada je posljednji put napravljen pregled pristupa, teško je znati je li sljedeći pregled zakasnio. Ako se incidenti ne evidentiraju, teško je kasnije prepoznati ponavljaju li se isti uzroci. Dokazi zato nisu administracija koju treba proizvoditi samo zbog certifikacijskog audita. Oni organizaciji omogućuju da zna provode li se vlastita pravila i daju li sigurnosne kontrole rezultat koji se od njih očekuje.

ISO/IEC 27001 upravo zato ne završava pisanjem politika. ISMS treba uspostaviti, provoditi, održavati i kontinuirano poboljšavati. Kada se ISO 27001 projekt previše usmjeri na izradu dokumentacije, vrlo je lako izgubiti tu razliku. Na kraju možete imati urednu mapu politika, procedura i registara, ali pitanje koje vrijedi postaviti ostaje vrlo jednostavno: možete li pokazati da ono što u njima piše stvarno radite?

Izvori:
ISO – ISO/IEC 27001:2022 Information security management systems

ISO – ISO/IEC TS 27008:2019 Guidelines for the assessment of information security controls

ISO – How to measure the effectiveness of information security