Virtuális CISO · Szabályzatok és dokumentáció
Szabályzatok arról, ahogy a szervezete valóban működik
A legtöbb szervezetnek, amelynek szabályzatcsomagra van szüksége, már van egy: megvásárolt, letöltött vagy örökölt, egy olyan céget ír le, amely nem egészen az övé, senki nem hagyta jóvá és senki nem olvasta el. Ezt lecserélni nem írói feladat. Annak a feladata, hogy tudjuk, mit csinálnak valójában, és ezt olyan formában írjuk le, amit egy auditor elfogad.
Egy IBSZ, alatta a szabályzatok, és a nyilvántartások, amelyek igazolják, hogy működik
Nem egyetlen hatalmas fájl, és nem is negyven egymástól független. Négy réteg, mindegyik saját, a többit kiegészítő feladattal.
- 01
Az Informatikai Biztonsági Szabályzat (IBSZ)
Kilenc számozott fejezet az ISO/IEC 27001:2022 szerkezetére építve — hatókör, szerepek és a betöltőik, a kockázatkezelés megközelítése, a kontrollok, és a rendszer felülvizsgálata. Ezt kéri először a hatóság és a tanúsító auditor is; erre épül a dokumentáció többi része.
- 02
Szakterületi szabályzatok
Hozzáférés-kezelés, mentés, beszállítókezelés, incidenskezelés, távoli munkavégzés, eszköznyilvántartás és a többi, területenként egy. Mindegyik leírja, mit követel meg a szervezet, kire vonatkozik, és mely kontrollokat elégíti ki — így az érintett csapat önmagában is elolvashatja és értelmezheti.
- 03
Eljárásrendek és munkautasítások
A lépésről lépésre szint: hogyan kap hozzáférést egy belépő, hogyan tesztelik a visszaállítást, hogyan eszkalálnak egy incidenst és kihez. Egyszer megírva és mindenhol újrahasznosítva, ahol ugyanaz a lépés szerepel, így a folyamat változása egy helyen jelenik meg.
- 04
Nyilvántartások és igazoló feljegyzések
Vagyonleltár, beszállítói nyilvántartás, kockázati nyilvántartás, képzési nyilvántartás és a jóváhagyási napló. Az a szabályzat, amelyikről senki nem tudja megmutatni, hogy működik, csak dokumentum; az, amelyikhez a rekordjai is hozzá vannak csatolva, bizonyíték.
Az Ön válaszaiból írva, nem egy sablonmappából
A nyersanyag a már elvégzett munka: a felmérés válaszai, a workshopokon készült jegyzetek, az eszközök, amelyeket Ön szerint használnak, a nyitott és a lezárt feladatok. Az ebből készült szabályzat egy létező szervezetet ír le. A sablonból készült mindenki keverékét, és pont ezért az első kérdés, amit egy auditor feltesz róla, hogy betartja-e valaki.
Az általunk készített szabályzatok lábjegyzetben hordozhatják, mely kontrollokat elégítik ki, minden olyan keretrendszerben, amelyik kéri őket — ez a dokumentum elkészítésekor beállítható lehetőség, és mi bekapcsoljuk. Ettől lesz a dokumentum auditon használható, és nem csupán meglévő: az auditor elolvas egy követelményt, a lábjegyzet pedig megmondja, melyik szabályzat melyik pontja válaszol rá, és mely feladatok valósítják meg.
A szabályzat állapota a mögötte lévő munkát követi
Minden szabályzat a megvalósító feladatokhoz van kötve. Amíg azok nyitottak, a szabályzat befejezetlennek látszik, és azt is megmutatja, mennyire — ami kényelmetlen és helyes. A másik lehetőség a megszokott: márciusban elkészült, áprilisban jóváhagyott dokumentumcsomag, amely egy júniusban megszűnt szervezetet ír le.
Ha a munka változik, az érintett dokumentumok megjelölésre kerülnek, nem csendben maradnak le, a felülvizsgálat pedig előre rögzített időpontban történik, nem akkor, amikor valakinek eszébe jut. A felülvizsgálat az a rész, amit minden szabályzatcsomag megígér a saját utolsó fejezetében, és szinte egyik sem tart be.
Az a dokumentum, amit a munkatársai olvasnak, és az, amit az auditor
A fogalmazás és a fordítás ugyanabban a munkafolyamatban történik, nem utólagos projektként, így a magyar, az angol és a német változat ugyanaz a szabályzat marad. Ez többet számít, mint amennyire hangzik: az elcsúszott fordítású szabályzatcsomag két követelményrendszer, és a munkatársak azt tartják be, amelyik az intraneten van.
A felülvizsgálat emberi. Egy nyelvtanilag hibátlan, jogilag téves mondat rosszabb, mint egy esetlen, ezért a jóváhagyásra menő változatot elolvasta valaki, aki a nyelvet és a kötelezettséget is ismeri.
Három dolog, amit a portál megtagad, és jobb, ha most tudja
Ezek nem puszta óvatossági fenntartások. Ezek az okok, amiért az eredményt alá lehet írni.
- Nem talál ki kontrollt. Ha egy keretrendszer olyasmit követel, amire a szervezet nem válaszolt, a tervezet nyitva hagyja a hiányt, nem ír fölé egy hihető mondatot.
- Nem talál ki hivatkozást. Az olyan lábjegyzet, amely egy ponthoz vezet, és az a pont nem azt mondja, amit a lábjegyzet állít, a leggyorsabb módja annak, hogy elveszítsük az auditor bizalmát, és ha egyszer kiderült, nincs visszaút.
- Nem mondja ki, hogy Ön megfelel, és mi sem mondjuk ki. A dokumentumcsomag bizonyíték, amit olyan valaki elé teszünk, akinek az a dolga, hogy döntsön: a tanúsító szervezet, a hatóság vagy a kérdőívet küldő megrendelő.
Ahol csak Ön tud megadni egy tényt — a jóváhagyó, az iktatószám, egy testületi ülés dátuma —, ott a tervezet megjelölt helykitöltőt hagy, nem tippel. A kitöltetlen helykitöltő feltűnő hiba. A magabiztosan rossz dátum nem az.
Ki hagyja jóvá, hol tároljuk, és hogyan viheti magával
A szabályzat akkor lesz szabályzat, amikor valaki, akinek van rá felhatalmazása, jóváhagyja, és a jóváhagyás dátummal és verzióval rögzül. Addig tervezet, és a portál ezt ki is írja. A mi dolgunk a dokumentum elkészítése és az, hogy mi válaszoljunk a róla szóló kérdésekre; az aláírás az Öné, mert a felelősség is az.
Minden az Ön saját dokumentumtárában van, DOCX-be exportálható a szervezet meglévő jóváhagyási körébe, és bármikor, díjmentesen elvihető — az együttműködés alatt és azon a napon is, amikor távozik. Az a szabályzatcsomag, amit nem tud kivenni a szolgáltató rendszeréből, bérelt szabályzatcsomag.
Gyakran ismételt kérdések
A biztonsági és IT-vezetőktől leggyakrabban kapott kérdések.
Nem találja, amit keres? Kérdezzen tőlünk közvetlenül
Igen, teljesen. Minden, amit Önnek elkészítünk, az Öné: az Ön saját dokumentumtárában van, bármikor DOCX-be exportálható, és az egész csomag bármikor, díjmentesen elvihető — az együttműködés alatt és azon a napon is, amikor úgy dönt, hogy befejezi. Nincs olyan változat, amelyben a távozás a szabályzatcsomagjába kerül, mert az a dokumentumcsomag, amit nem tud kivenni a szolgáltató rendszeréből, bérelt, nem tulajdon.
Igen, és ahol azok valóban az Önéi, ez a jobb megoldás — azt a szabályzatot, amit a munkatársai felismernek, sokkal nagyobb eséllyel tartják be, mint egy újat. Amit őszintén megmondunk: mikor nem éri meg. Ha egy megvásárolt, soha nem testre szabott sablonkészletről van szó, annak a szerkesztése többe kerül, mint a saját válaszokból indulni, és rosszabb dokumentumot ad, mert a szerkezete más szervezet köré épült. Azt, hogy melyik esetben van, az elolvasásuk után mondjuk meg, nem előtte.
Az Ön szervezetében olyan személy vagy testület, aki vagy amely jogosult a szervezet nevében kötelező érvényű döntést hozni — jellemzően a vezető testület, néha területenként delegált felelős. Mi nem lehetünk, és ez nem formalitás: a szabályzat arról szól, mit követel meg a szervezet a saját embereitől, és ezt a vállalást külső fél nem teheti meg Ön helyett. Mi megírjuk, válaszolunk a róla szóló kérdésekre, és ha segít, ott ülünk a jóváhagyó ülésen. Az aláírás és a felelősség az Öné marad.
Hol tart most, és mi következik
Keretrendszer-megfeleltetés
Egy kontroll teljesítését egyszer kell felmérni; az eredmény minden kapcsolódó keretrendszernél beszámít.
Kockázati döntések
Mit javítunk, mit fogad el, és kinek a neve áll a döntés mellett.
A munkaterv
Határidős feladatok nevesített felelősökkel, és a bizonyíték, amit mindegyik hátrahagy.
Készen áll a kezdésre?
Dolgozzon együtt a Spirity Enterprise-zal, hogy a szervezetéhez illő biztonsági és IT-megoldások valósuljanak meg.