Надо же следствия показать, а то без открытия замков не ключ ни фига.
Если читатель собирается/соберется сертифицировать свой менеджмент ИБ на соответствие исо27тыщам, то защитные меры должны демонстрироваться внешним аудиторам в состоянии юндер цонстрюцтион как во время сертификационного визита, так и в последующие контрольные. В этом одновременно и хорошая, и плохая новость: аудиторы нормально относятся к несовершенству, но будут проблемы с мерами, которые вы перестали пытаться усовершенствовать, забросили.
Не переплачивайте консалтерам по внедрению - они делают самую легкую часть работы. Есть такой легендарный анекдот, оканчивающийся на "после сборки обработать напильником". С первого захода защитная мера реализуется в первом приближении, делается то, что лежит на поверхности. Консалтеры различны по добросовестности поиска наиболее подходящей чужой практики и/или адаптации ее к особенностям заказчика, но даже у лучших из них попаданий с первого круга будет сильно меньше половины - слишком недолго изучали ваши заморочки и не изнутря. Когда окажется, что созданные процессы толком не работают, работают только под давлением или обходятся в несуразные трудозатраты, они уже умотали к следующему (ибо как и плохие репетиторы, любят работать с начинающими, ведь насовать чего-то с нуля легче, чем разобраться и выправить), а напильничек полностью ваш.
Проработка возможностей для улучшения должна быть превращена в рутину, вместо романтической непредсказуемости - тупая неотвратимость, присущая бездушным механизмам. Нередко железный болван в организации существует, но активируется только на инициативы руководства – их спускают до нужного уровня, поручают (правда, не оценивая), помещают на контроль, отслеживают и рапортуют, и все это самым тщательным и верноподданным образом. Но, во-первых, он должен быть отлажен, чтобы скорость и последовательность действий были более или менее постоянны, а во-вторых, начать засасывать не только сверху, но и снизу, сбоку и вообще со всех сторон.
Когда привыкаешь, то начинаешь удивляться его отсутствию. Увидел у кого-то, что можно усовершенствовать, а куда подать эту рацуху на вход непонятно. Просить Книгу жалоб и предложений – пугаются, прячутся. Пожмешь плечами и уходишь. Вот дураки: возможности для улучшения упускают.
Будет еще текст в эту тему, но не в следующий раз.
Комментариев нет:
Отправить комментарий