Situacija
Vilniaus technologijų startuolis, apie 20 darbuotojų, kuria SaaS produktą finansų ir draudimo sektoriaus įmonėms. Komanda stipri inžinerijoje, produktas veikia debesyje, klientai – vidutinės ir didelės įmonės Lietuvoje ir Skandinavijoje. Pardavimų ciklas ilgas, ir kiekvienas rimtesnis klientas prieš pasirašydamas atsiunčia saugumo klausimyną: keliasdešimt arba kelis šimtus klausimų apie politikas, prieigų valdymą, incidentų valdymą, tiekėjus, veiklos tęstinumą.
Lūžis įvyko, kai startuolis prarado konkursą Skandinavijos draudimo bendrovėje. Produktas pirkėjui patiko, bet saugumo klausimyno atsakymai buvo „neturime dokumento, bet darome“ beveik kiekvienoje eilutėje, o konkurentas turėjo ISO 27001 sertifikatą. Pirkėjo atsakymas buvo mandagus ir aiškus: grįžkite, kai turėsite.
Saugumo žmogaus įmonėje nebuvo, ir samdyti jo vienam klausimynui nebuvo prasmės. Techninis direktorius saugumą išmanė, bet politikų rašymas, rizikų registras ir auditų kalba nebuvo jo darbas, o produktą kažkas turėjo kurti. Reikėjo žmogaus, kuris saugumą tvarkytų kaip funkciją, ne kaip projektą, ir už kurį nereikėtų mokėti kaip už etatą.
Ko reikėjo
- Saugumo valdymo sistema, atitinkanti ISO 27001 reikalavimus, pritaikyta 20 žmonių įmonei, o ne korporacijai.
- Dokumentai, kuriuos galima pateikti klientams: politikos, rizikų registras, incidentų planas, tiekėjų vertinimas.
- Gebėjimas klientų saugumo klausimynus užpildyti per dienas, ne savaites.
- Pasirengimas sertifikavimo auditui per metus, kad kitame konkurse būtų bent jau „audito data paskirta“.
- Minimalios inžinierių laiko sąnaudos – produkto kūrimas sustoti negali.
Ką padarėme
1 mėnuo: situacijos vertinimas ir rizikų registras
Pradėjome nuo IT saugumo audito pagal ISO 27001 kontrolių sąrašą: ką įmonė jau daro faktiškai, kas daroma, bet nedokumentuota, ko nėra visai. Paaiškėjo, kad techninės kontrolės buvo geresnės nei tikėjomės: kodo peržiūros, MFA, šifravimas, žurnalai. Trūko valdymo sluoksnio: kas už ką atsako, kaip vertinamos rizikos, kaip reaguojama į incidentą, kaip tikrinami tiekėjai.
Kartu su vadovais sudarėme rizikų registrą: apie trisdešimt rizikų su savininkais, vertinimu ir sutartais veiksmais. Registras tapo pagrindu viskam, kas sekė, nes ISO 27001 auditorius pirmiausia klausia ne apie politikas, o apie tai, iš kur jos kilo.
2–3 mėnuo: politikos ir procesai
Parašėme keturiolika politikų ir procedūrų: informacijos saugumo politiką, prieigų valdymą, kriptografiją, saugų kūrimą, incidentų valdymą, veiklos tęstinumą, tiekėjų valdymą, priimtino naudojimo taisykles ir kitas. Kiekviena – kelių puslapių, su atsakingu asmeniu ir peržiūros data. Principas buvo paprastas: dokumente rašoma tik tai, ką įmonė iš tikrųjų daro arba įsipareigoja daryti nuo kitos savaitės. Politika, kurios nesilaikoma, auditui yra blogiau nei jos nebuvimas.
Sudėtingiausia buvo tiekėjų vertinimas. Startuolis naudojo kelias dešimtis debesijos paslaugų, ir dalis jų buvo įsigytos kortele be jokios sutarties. Surašėme jas, suskirstėme pagal duomenų jautrumą, kritinėms surinkome tiekėjų saugumo įrodymus ir dvi paslaugas pakeitėme tokiomis, kurios turėjo ką parodyti.
4 mėnuo: incidentų planas ir pratybos
Incidentų valdymo planą išbandėme stalo pratybomis su visa komanda: scenarijus – nutekėję prieigos raktai viešoje kodo saugykloje. Pratybos parodė, kad niekas nežinojo, kas praneša klientams ir per kiek laiko. Planą papildėme, klientų pranešimo šablonus paruošėme iš anksto.
5 mėnuo: klausimynų biblioteka ir vidinis auditas
Iš politikų ir rizikų registro sudarėme atsakymų biblioteką dažniausiems klientų klausimynų klausimams, su nuorodomis į dokumentus ir įrodymus. Atlikome vidinį auditą pagal ISO 27001 reikalavimus, surašėme neatitiktis ir jų taisymo planą. Nuo šio taško vCISO paslauga tęsiasi kaip nuolatinė: mėnesio susitikimas su vadovais, rizikų registro peržiūra, naujų klausimynų pildymas, pasirengimas sertifikavimo auditui.
Rezultatas
Klientų saugumo klausimynai dabar užpildomi per 3 darbo dienas, įskaitant techninio direktoriaus peržiūrą. Anksčiau tai trukdavo savaites ir baigdavosi tuščiomis eilutėmis. Per paskutinius du mėnesius užpildyti trys klausimynai, vienas iš jų – iš to paties sektoriaus, kuriame konkursas buvo prarastas.
Patvirtintų politikų ir procedūrų – 14, visos su savininkais ir peržiūros datomis, visos pasiekiamos darbuotojams vienoje vietoje. Vidinio audito neatitiktys uždarytos, sertifikavimo auditui pasirengta, data suderinta.
Saugumo etatų įmonėje – 0. Saugumo funkciją atlieka vCISO sutartomis valandomis per mėnesį, o inžinieriai grįžo prie produkto. Techninis direktorius skaičiuoja, kad per penkis mėnesius saugumui skyrė mažiau laiko nei prieš tai vienam prarastam klausimynui.
Manėme, kad ISO 27001 yra popierių krūva didelėms įmonėms. Pasirodė, kad tai tiesiog sąrašas klausimų, į kuriuos vis tiek turėjome atsakyti.
Ką patartume panašioje situacijoje
- Nepradėkite nuo politikų šablonų. Pradėkite nuo rizikų registro – iš jo politikos išplaukia pačios, o auditorius mato ryšį.
- Rašykite tik tai, ką darote. Dokumentą, kurio nesilaikoma, auditorius randa per pirmą valandą.
- Sutvarkykite tiekėjus anksti: debesijos paslaugos, nupirktos kortele, yra dažniausia neatitiktis mažose technologijų įmonėse.
- Saugumo funkciją atskirkite nuo inžinerijos vadovo, net jei jis išmano. Jo laikas kainuoja produktą.
