Situācija
Tehnoloģiju jaunuzņēmums Viļņā, Lietuvā, ar aptuveni 20 darbiniekiem veido SaaS produktu finanšu un apdrošināšanas nozares uzņēmumiem. Komanda ir stipra programmēšanā, produkts darbojas mākonī, un klienti ir vidēji lieli un lieli uzņēmumi Lietuvā un Skandināvijā. Pārdošanas cikls ir garš, un katrs nopietns klients pirms līguma parakstīšanas atsūta drošības anketu: desmitiem vai vairākus simtus jautājumu par politikām, piekļuves pārvaldību, incidentu pārvaldību, piegādātājiem un darbības nepārtrauktību.
Pagrieziena punkts pienāca, kad jaunuzņēmums zaudēja iepirkumu kādā Skandināvijas apdrošināšanas sabiedrībā. Pircējam produkts patika, taču drošības anketā gandrīz katrā rindā bija atbilde „dokumenta mums nav, bet mēs to darām”, savukārt konkurentam bija ISO 27001 sertifikāts. Pircēja atbilde bija pieklājīga un skaidra: atgriezieties, kad tas jums būs.
Uzņēmumā nebija drošības speciālista, un pieņemt darbā cilvēku tikai anketas dēļ nebija jēgas. Tehniskais direktors drošību saprata, taču politiku rakstīšana, riska reģistra kārtošana un revīziju valodas runāšana nebija viņa uzdevums, un kādam taču bija jāveido produkts. Vajadzēja kādu, kas vadītu drošību kā pastāvīgu funkciju, nevis kā vienreizēju projektu, un kam nebūtu jāmaksā kā pilna laika darbiniekam.
Kas bija nepieciešams
- Informācijas drošības pārvaldības sistēma, kas atbilst ISO 27001 prasībām un ir piemērota 20 cilvēku uzņēmumam, nevis korporācijai.
- Dokumenti, ko var uzrādīt klientiem: politikas, riska reģistrs, incidentu plāns, piegādātāju novērtējumi.
- Iespēja aizpildīt klientu drošības anketas dienās, nevis nedēļās.
- Gatavība sertifikācijas auditam gada laikā, lai nākamajā iepirkumā atbilde vismaz būtu „audita datums ir norunāts”.
- Minimāls izstrādātāju laika patēriņš, jo produkta izstrāde nedrīkst apstāties.
Ko mēs darījām
1. mēnesis: novērtējums un riska reģistrs
Mēs sākām ar IT drošības auditu pēc ISO 27001 kontroļu saraksta: ko uzņēmums jau dara praksē, ko dara, bet nav dokumentējis, un kā trūkst pavisam. Izrādījās, ka tehniskās kontroles ir labākas, nekā gaidījām: koda pārskati, MFA, šifrēšana, žurnāli. Trūka pārvaldības līmeņa: kurš par ko atbild, kā tiek novērtēti riski, kā tiek apstrādāti incidenti un kā tiek pārbaudīti piegādātāji.
Kopā ar vadītājiem mēs izveidojām riska reģistru: ap trīsdesmit risku ar atbildīgajiem, novērtējumiem un saskaņotām darbībām. Reģistrs kļuva par pamatu visam turpmākajam, jo ISO 27001 auditors vispirms jautā nevis par politikām, bet par to, no kā tās radušās.
2.–3. mēnesis: politikas un procesi
Mēs uzrakstījām četrpadsmit politikas un procedūras: informācijas drošības politiku, piekļuves pārvaldību, kriptogrāfiju, drošu izstrādi, incidentu pārvaldību, darbības nepārtrauktību, piegādātāju pārvaldību, pieļaujamās lietošanas noteikumus un citas. Katra ir dažas lappuses gara, ar atbildīgo personu un pārskatīšanas datumu. Princips bija vienkāršs: dokumentā ir tikai tas, ko uzņēmums patiešām dara vai apņemas darīt kopš nākamās nedēļas. Politika, kas netiek ievērota, auditā ir sliktāka nekā neesoša politika.
Vissarežģītākā bija piegādātāju novērtēšana. Jaunuzņēmums izmantoja vairākus desmitus mākoņpakalpojumu, un daži bija nopirkti ar karti bez jebkāda līguma. Mēs tos sarakstījām, sakārtojām pēc datu jutīguma, savācām piegādātāju drošības apliecinājumus par kritiskajiem un divus pakalpojumus nomainījām pret tādiem, kuriem bija ko uzrādīt.
4. mēnesis: incidentu plāns un mācības
Incidentu pārvaldības plānu mēs pārbaudījām ar mācībām pie galda kopā ar visu komandu: scenārijs bija piekļuves atslēgas, kas nopludinātas publiskā koda krātuvē. Mācības parādīja, ka neviens nezināja, kurš informē klientus un cik ātri. Mēs papildinājām plānu un iepriekš sagatavojām klientu paziņojumu veidnes.
5. mēnesis: anketu atbilžu bibliotēka un iekšējais audits
No politikām un riska reģistra mēs izveidojām atbilžu bibliotēku visbiežāk sastopamajiem klientu anketu jautājumiem, ar saitēm uz dokumentiem un pierādījumiem. Mēs veicām iekšējo auditu pēc ISO 27001 prasībām un fiksējām neatbilstības un plānu to novēršanai. No šī brīža vCISO pakalpojums turpinās kā pastāvīgs: ikmēneša sanāksme ar vadību, riska reģistra pārskatīšana, jaunu anketu aizpildīšana un gatavošanās sertifikācijas auditam.
Rezultāts
Klientu drošības anketas tagad tiek aizpildītas 3 darba dienās, ieskaitot tehniskā direktora pārskatu. Agrāk tas aizņēma nedēļas un beidzās ar tukšām rindām. Pēdējos divos mēnešos tika aizpildītas trīs anketas, viena no tās pašas nozares, kurā tika zaudēts iepirkums.
Ir 14 apstiprinātas politikas un procedūras, visām ir atbildīgie un pārskatīšanas datumi, un visas darbiniekiem pieejamas vienuviet. Iekšējā audita neatbilstības ir novērstas, gatavība sertifikācijas auditam ir panākta, un datums ir saskaņots.
Jaunu darbinieku drošības jomā uzņēmumā ir 0. Drošības funkciju veic vCISO saskaņotā stundu apjomā mēnesī, un izstrādātāji atgriezās pie produkta. Tehniskais direktors aprēķina, ka piecos mēnešos drošībai veltīja mazāk laika nekā agrāk vienai zaudētai anketai.
Mēs domājām, ka ISO 27001 ir papīru kaudze lieliem uzņēmumiem. Izrādījās, ka tas ir tikai jautājumu saraksts, uz kuriem mums tāpat bija jāatbild.
Ko mēs ieteiktu līdzīgā situācijā
- Nesāciet ar politiku veidnēm. Sāciet ar riska reģistru: politikas no tā izriet dabiski, un auditors redz saikni.
- Rakstiet tikai to, ko darāt. Auditors dokumentu, kas netiek ievērots, atrod pirmajā stundā.
- Sakārtojiet piegādātājus savlaicīgi: ar karti nopirkti mākoņpakalpojumi ir biežākā neatbilstība mazos tehnoloģiju uzņēmumos.
- Nodaliet drošības funkciju no izstrādes vadītāja, pat ja viņš to saprot. Viņa laiks jums maksā produktu.
