Většina firem si myslí, že největší část práce při implementaci systému řízení bezpečnosti informací dle ISO 27001 udělá externí konzultant.

Co se týká papírování, analýz, nastavování procesů, tak ano. V praxi ale ta nejtěžší část leží na bedrech firmy, která se implementaci ISMS rozhodla podstoupit.

Když se firma rozhodne, že půjde do ISMS, bývá to často vnímáno jako jasně definovaný projekt. Vybere se dodavatel, stanoví harmonogram, připraví dokumentace, proběhne audit a téma se považuje za uzavřené.

Tento pohled ale míjí podstatu implementace.

ISMS nelze převzít jako hotový výstup od dodavatele. Zasahuje do odpovědností, rozhodování i běžného provozu firmy.

A k tomu je potřeba součinnosti.

Málokdo si ale dovede představit, co vše taková součinnost pro zadavatele obnáší. Součinnost se často zaměňuje za předání několika podkladů a formální připomínkování dokumentace.

Přípravná fáze a seznámení se s náležitostmi implementace je proto pro fungující ISMS zcela zásadní.

ISMS není jen dokumentace

Tohle je důležité říct hned na začátku, protože právě tam vznikají špatná očekávání.

Řada společností stále vnímá ISMS jako projekt, jehož výsledkem budou nějaké bezpečnostní směrnice, interní pravidla a nakonec certifikát. Jenže pokud se k tomu přistoupí tímto způsobem, většinou to také tak dopadne. Výsledkem pak bývá dokumentace, která pomůže projít auditem, ale do každodenního řízení bezpečnosti se reálně nepromítne.

Funkční ISMS se propisuje do odpovědností, schvalovacích mechanismů, práce s riziky i do toho, jak firma skutečně nakládá s informacemi.

Bez aktivního zapojení vedení to nejde

Častý scénář vypadá tak, že vedení implementaci schválí, ale její praktické řízení přesune na IT, operations nebo compliance bez jasně potvrzené průběžné role managementu.

Jenže v praxi takový postup nestačí. Součinnost vedení je při přípravě na implementaci naprosto klíčová, protože je to právě management kdo:

  • rozhoduje, že se ISMS bude zavádět,
  • poskytuje rozpočet na technologická a procesní opatření,
  • vyčleňuje lidi a jejich čas,
  • schvaluje bezpečnostní cíle,
  • a nakonec nese odpovědnost za to, že systém bude ve firmě skutečně fungovat.

Odpovědnost za implementaci nepřebírá člověk, který ISMS vytváří (konzultant). Přebírá ji vedení společnosti.

Ano, externí implementátor řídí celý proces, připravuje metodiku, navrhuje procesy, vybírá vhodná technická opatření a vede firmu krok za krokem. Ale nemůže za firmu rozhodnout, jaké procesy chce změnit, jaká rizika je ochotná přijmout nebo kolik zdrojů do bezpečnosti investuje.

Součástí role vedení je také vysvětlit, proč firma ISMS zavádí a jaký dopad budou změny mít. Mění se pravidla přístupů, doplňuje evidence aktiv, zavádějí se školení a formálnější schvalování u vybraných činností.

Krátkodobě jde o zásah do zavedeného provozu, a právě proto musí být důvod změny srozumitelný.

Vedení tedy musí umět lidem vysvětlit, proč se tak děje, protože prosté „odteď to dělejte jinak“ vyvolává přirozený odpor.

Kromě stanovení cílů implementace ISMS a alokace zdrojů je tedy třeba celý projekt srozumitelně, shora komunikovat napříč firmou:

  • chceme být důvěryhodnější partner pro zákazníky?
  • chceme chránit firemní data?
  • potřebujeme certifikaci kvůli lepší konkurenční pozici?
  • chceme se dostat k novým obchodním příležitostem?

Odpovědi na tyto otázky mohou přímo ovlivnit, jak budou zaměstnanci projekt vnímat.

Implementace zabere čas lidem napříč společností

Každý kvalitně vedený projekt ISMS potřebuje na straně firmy konkrétní interní partnery.

Jde o zaměstnance, kteří znají reálný provoz firmy a dokážou potvrdit, jak procesy skutečně fungují, tedy nejen jak jsou popsány.

Běžně je proto potřeba počítat s časem:

  • vedoucích pracovníků,
  • vedoucího IT,
  • správců systémů,
  • HR nebo personalistiky,
  • případně provozních manažerů.

Bez těchto vstupů se návrh ISMS začne opírat o předpoklady namísto reálného fungování organizace.

Je nutné vymezit, co firma chrání, které procesy jsou klíčové, kde vznikají rizika, jak jsou řízeny přístupy, kdo nese odpovědnost a co se musí změnit.

To znamená rozhovory, konzultace, schvalování a průběžné připomínkování.

Součinnost proto neznamená jen dodat podklady. Znamená vyhradit čas správných lidí, průběžně uzavírat rozhodnutí a dávat implementaci interní oporu.

Bez toho se projekt začne zadrhávat prakticky okamžitě.

Navíc získáním certifikace celý proces nekončí. ISMS je potřeba průběžně udržovat a v pravidelných intervalech obhajovat při re-certifikačních auditech. Ty ověřují nejen existenci nastavených pravidel, ale především to, zda jsou skutečně dodržována a zda organizace průběžně provádí revize dokumentace, analýz rizik, BIA, školení zaměstnanců i testování havarijních plánů a vede o tom odpovídající záznamy.

Nezájem nebo dokonce odpor klíčových lidí ve firmě k ISMS tak může při podcenění přípravné fáze opakovaně způsobovat nepříjemnosti.

Příprava rozhoduje, zda ISMS obstojí i po certifikaci

O výsledku implementace se z velké části rozhoduje ještě před prvním workshopem: během toho, zda firma správně nastaví očekávání, odpovědnost a vlastní kapacity.

To nejdůležitější se proto často odehraje ještě před tím, než se na celé věci začne pracovat.

Firma by si proto měla před zahájením projektu jasně vyjasnit tři věci:

  • proč ISMS zavádí,
  • kdo jej bude mít interně na starosti,
  • a jaké kapacity na něj budou vymezeny.

Rozdíl je tedy zcela zásadní. V jednom případě vzniká systém, který firma po certifikaci skutečně používá. V druhém pouze dokumentace, kterou bylo potřeba vytvořit, ale která její řízení bezpečnosti reálně neposune.

Právě rozsah a kvalita součinnosti na straně firmy často rozhodují, který z těchto dvou výsledků nastane.