Kiedy warto certyfikować SZBI?

Skoro ostatnio napisałem o tym kto powinien wdrażać System Zarządzania Bezpieczeństwem Informacji, pora na zastanowienie się kiedy warto certyfikować SZBI na zgodność z ISO 27001.

Przede wszystkim należy jednak zastanowić się co tak naprawdę oznacza certyfikowany SZBI.
Otóż, moim zdaniem, powinien on dowodzić, że:

  • w określonym zakresie organizacja spełnia wymagania danego znormalizowanego systemu zarządzania (w naszym przypadku ISO 27001);
  • ryzyka z obszaru bezpieczeństwa informacji są właściwie zarządzane;
  • organizacja jest w stanie zademonstrować dojrzałe zarządzanie danym obszarem i swoim działaniem promuje ideę stałego doskonalenia.
To co należy zauważyć, to fakt, że certyfikowany SZBI nie zapewnia, że organizacja jest bezpieczna. Zapewnia, że organizacja weszła na ścieżkę, która kiedyś powinna doprowadzić organizację do stanu względnego bezpieczeństwa. Pojawia się tu spory problem gdy organizacja to zlepek fragmentów procesów "powiązanych sznurkiem do snopowiązarki", a zarządzanie bezpieczeństwem IT ogranicza się do akceptowania faktu posiadania kolejnych luk (co jest i tak o niebo lepsze od ignorowania faktu ich istnienia). Na szczęście dobry audytor wie jak sobie z tym poradzić, zresztą wnikliwa lektura normy daje kilka wskazówek w tym zakresie, o czym pewnie kiedyś napiszę. 

Kto powinien wdrażać SZBI?

W ostatnim czasie prowadziłem kilka ciekawych rozmów o tym, jak powinny wyglądać firmy, które chcą wdrażać a następnie certyfikować SZBI. Poniżej chciałbym podsumować moje przemyślenia w tym temacie.

Przede wszystkim uważam, że wdrażaniem SZBI powinny zainteresować się dopiero te organizacje, które osiągnęły na tyle duży poziom dojrzałości zarządzania, że rozumieją, że dla skutecznego zarządzanie organizacją niezbędne jest wprowadzenie pewnych ram.
Zarządzanie polega na planowaniu tego co się chce osiągnąć, realizacji, a następnie weryfikowania czy plany są (i powinny być) realizowane, a następnie podejmowaniu odpowiednich dalszych kroków w zależności od wyników. Teoretycznie jest to banał, ale w rzeczywistości wiele, szczególnie mniejszych, organizacji koncentruje się wyłącznie na sprawności "realizacji" zapominając o pozostałych elementach.
Organizacje często chcą być dynamiczne i elastyczne i łączą to (niestety) z brakiem jakichkolwiek konkretnych celów, uporządkowanych ról i procesów, zapisów potwierdzających wykonane czynności. To nie tak!