Standard ISO 27001 vs rzeczywistość w polskiej firmie
Większość prawników i menedżerów w Polsce myśli, że certyfikat ISO 27001 to magiczna tarcza, która odbije każdy atak hakerski. Po 9 latach pracy w Itcompiled i przeprowadzeniu 47 audytów w regionie świętokrzyskim widzę, że rzeczywistość bywa brutalna i często tonie w segregatorach. Ten tekst to zapis moich obserwacji z 14 miesięcy wdrażania standardów w firmie produkcyjnej zatrudniającej 64 osoby.
Pułapka 114 zabezpieczeń i puste segregatory
W marcu 2023 roku wszedłem do firmy pod Kielcami, która od dwóch lat starała się o certyfikat. Na biurku prezesa leżało 21 grubych segregatorów wypełnionych instrukcjami, których nikt nie otwierał od dnia wydruku. Norma ISO 27001 w starszej wersji wspomina o 114 mechanizmach kontrolnych, ale to nie znaczy, że musisz mieć 114 osobnych procedur na piśmie. Prawnicy często wpadają w szał tworzenia dokumentów, zapominając, że system zarządzania bezpieczeństwem informacji powinien działać, a nie tylko wyglądać dobrze podczas kontroli.
Podczas naszej analizy w tej konkretnej firmie odkryliśmy, że 43% stworzonych dokumentów było kopią wzorów z internetu, które zupełnie nie pasowały do ich trybu pracy. Na przykład mieli procedurę dotyczącą bezpieczeństwa pracy zdalnej dla działu IT, mimo że cały ich 3-osobowy zespół informatyków pracował wyłącznie stacjonarnie w biurze przy ul. Kilińskiego. To jest właśnie ten moment, kiedy papier staje się ciężarem, a nie pomocą. Zamiast 50-stronicowej polityki haseł, wprowadziliśmy jedną, konkretną instrukcję na pół strony, którą zrozumiał każdy z 12 pracowników biurowych.
Honestamente, najtrudniej było przekonać dział prawny, że mniej znaczy więcej. Spędziliśmy 19 godzin na wycinaniu zbędnych paragrafów, które tylko zaciemniały obraz sytuacji. W Itcompiled wierzymy, że jeśli procedura ma więcej niż 3 strony, to nikt jej nie przeczyta w sytuacji kryzysowej. W lipcu 2024 roku ostatecznie zredukowaliśmy ich dokumentację o 156 niepotrzebnych stron, co paradoksalnie poprawiło wynik audytu zewnętrznego, bo audytor w końcu wiedział, co firma faktycznie robi, by chronić dane.
Jeśli procedura ma więcej niż 3 strony, to nikt jej nie przeczyta w sytuacji kryzysowej.
Certyfikat nie zatrzyma phishingu w dziale kadr
Wiele osób myśli, że po powieszeniu certyfikatu na ścianie można zapomnieć o problemie. To błąd, który w październiku 2024 roku prawie kosztował jednego z naszych klientów 12,400 PLN. Firma miała wdrożone ISO, wszystkie systemy były zaktualizowane, a firewall działał bez zarzutu. Mimo to, pracownica działu kadr kliknęła w link w mailu, który wyglądał jak faktura od lokalnego dostawcy prądu. Certyfikat ISO 27001 to tylko ramy, które mają pomóc zarządzać ryzykiem, a nie oprogramowanie antywirusowe.
W Itcompiled kładziemy nacisk na to, by prawnicy rozumieli techniczne aspekty ataków. Podczas warsztatów w Kielcach pokazujemy, że nawet najlepsza polityka czystego biurka nie pomoże, jeśli pracownik poda hasło przez telefon komuś, kto podaje się za serwisanta. W tamtej firmie z 64 pracownikami, przeprowadziliśmy symulowany atak. Aż 14 osób wpisało swoje dane na fałszywej stronie logowania w ciągu zaledwie 45 minut. To pokazuje, że technologia to tylko 30% sukcesu, reszta to ludzie i ich nawyki.
Zamiast kupować drogie systemy za setki tysięcy złotych, zaczęliśmy od prostych szkoleń dla 7-osobowego zespołu HR i finansów. Skupiliśmy się na tym, jak sprawdzać nadawcę wiadomości i co robić, gdy coś wydaje się podejrzane. Kosztowało to ułamek tego, co nowa licencja na zaawansowany system ochrony, a skuteczność wzrosła o 67% w kolejnych testach. Bez technicznego bełkotu wytłumaczyliśmy, dlaczego nie wolno używać prywatnych pendrive'ów do przenoszenia umów z sądu do domu.
Koszty, o których nikt nie mówi przed podpisaniem umowy
Wdrożenie ISO 27001 to nie tylko opłata dla firmy doradczej. W rzeczywistości największym kosztem jest czas pracowników. W przypadku średniej firmy, takiej jak nasz klient ze Starachowic, zaangażowanie kluczowych osób zajęło około 8.5 miesiąca. Musieliśmy wyrwać szefa IT z jego codziennych zadań na co najmniej 4 godziny w tygodniu. Dział prawny musiał poświęcić 3 pełne dni robocze na samą weryfikację zmian w umowach z dostawcami. To są realne pieniądze, które firma wydaje, a o których handlowcy często milczą.
Sama certyfikacja przez zewnętrzną jednostkę to wydatek rzędu 14,300 PLN dla firmy tej wielkości. Do tego dochodzą coroczne audyty nadzoru. W Itcompiled staramy się być fair: mówimy wprost, że jeśli nie masz budżetu na utrzymanie standardu przez kolejne 3 lata, to lepiej w ogóle nie zaczynać. W 2023 roku widzieliśmy 4 przypadki, gdzie firmy porzuciły system po roku, bo koszty biurokracji ich przerosły. My sprawdzamy kod i realne procedury, a nie tylko obiecujemy złote góry.
Warto też doliczyć drobne wydatki, które sumują się w spore kwoty. Na przykład wymiana zamków w 12 szafach z dokumentacją kadrową kosztowała klienta dodatkowe 2,800 PLN. Zakup niszczarek o odpowiednim standardzie bezpieczeństwa dla 3 biur to kolejne 3,400 PLN. To nie są ogromne sumy, ale dla małej firmy produkcyjnej z regionu, każda taka kwota musi być uzasadniona. Wprowadziliśmy zasadę, że nie kupujemy niczego, co nie wynika bezpośrednio z analizy ryzyka przeprowadzonej na 6-godzinnym spotkaniu z zarządem.
Jeśli nie masz budżetu na utrzymanie standardu przez 3 lata, to lepiej nie zaczynać.
Hasło na żółtej karteczce, czyli audyt w praktyce
Największym wrogiem ISO 27001 nie jest haker z Chin, ale żółta karteczka przyklejona pod klawiaturą. Podczas naszego audytu wstępnego w marcu 2023 roku znaleźliśmy takie hasła u 6 z 9 pracowników administracji. Jeden z dyrektorów miał nawet zapisany PIN do karty firmowej na odwrocie wizytówki schowanej w szufladzie biurka. Żadna procedura nie wyeliminuje takich zachowań, jeśli nie zmieni się kultura pracy. W Itcompiled nie tylko piszemy zasady, ale sprawdzamy, czy są one stosowane, wchodząc do biura o 17:00, gdy wszyscy już wyszli.
W tamtej firmie wprowadziliśmy prosty system: każdy, kto zostawił odblokowany komputer lub hasło na wierzchu, musiał przynieść ciastka dla całego 5-osobowego zespołu zarządu następnego dnia. To brzmi jak żart, ale zadziałało lepiej niż oficjalne nagany od działu kadr. W ciągu 3 tygodni liczba incydentów spadła prawie do zera. Ludzie zaczęli zwracać uwagę na to, co zostawiają na biurkach, bo nikt nie chciał wydawać 35 PLN na ciasta co tydzień. To jest właśnie to, co nazywamy 'praktyką zamiast slajdów'.
Podczas oficjalnego audytu certyfikującego, audytor był zaskoczony, że pracownicy nie recytują polityki z pamięci, ale wiedzą dokładnie, gdzie ją znaleźć w wewnętrznej sieci. Wiedzieli też, kogo poinformować, gdy zgubią klucz do bramy – a to zdarzyło się akurat jednemu z magazynierów w czerwcu 2024 roku. Reakcja była natychmiastowa: zmiana kodu w systemie dostępu zajęła 14 minut. To właśnie ten czas reakcji, a nie ładna pieczątka na dokumencie, świadczy o tym, że system działa i faktycznie chroni firmę przed niepowołanym dostępem.
Jak zacząć i nie oszaleć w pierwszym miesiącu
Jeśli myślisz o wdrożeniu normy, zacznij od inwentaryzacji. Nie potrzebujesz do tego drogiego oprogramowania. Wystarczy prosty arkusz, w którym wypiszesz 18-20 najważniejszych zasobów informacji w Twojej firmie. To mogą być bazy klientów, projekty techniczne albo umowy z podwykonawcami. W listopadzie 2024 roku pomogliśmy jednemu działowi prawnemu w Kielcach zrobić taką listę w ciągu 6.5 godziny. Okazało się, że 31% danych, które gromadzili, było im zupełnie niepotrzebnych i tylko generowało ryzyko wycieku.
Kolejnym krokiem jest szczera rozmowa z ludźmi, którzy faktycznie pracują na tych danych. Nie pytaj ich, czy przestrzegają procedur – bo zawsze powiedzą, że tak. Zapytaj ich, co im przeszkadza w bezpiecznej pracy. Często okazuje się, że hasła są zmieniane co 30 dni tylko dlatego, że 'tak zawsze było', co zmusza ludzi do zapisywania ich na kartkach. My zmieniliśmy to na dłuższe hasła-frazy zmieniane raz na pół roku, co poprawiło bezpieczeństwo i humor 47 osób w firmie. Bez technicznego bełkotu, po prostu zdrowy rozsądek.
Na koniec pamiętaj: ISO 27001 to proces, a nie jednorazowy projekt. W Itcompiled zawsze powtarzamy klientom, że certyfikat to dopiero początek drogi. Co 3 miesiące warto zrobić szybki przegląd: co się zmieniło, czy doszedł nowy sprzęt, czy ktoś nowy dołączył do zespołu. W grudniu 2024 roku nasz klient z regionu sam przeprowadził swój pierwszy audyt wewnętrzny w 2.5 godziny. To dowód na to, że dobrze poukładany system nie wymaga armii konsultantów, by działać poprawnie każdego dnia w roku.
