Informationssikkerhedspolitikken er det korteste dokument i et ISO 27001-system og det, der oftest går galt, fordi det oftest bliver købt. En skabelonpolitik er tredive sider lang, nævner foranstaltninger, virksomheden ikke driver, og bar engang en anden virksomheds navn; en auditor genkender den på første side. Punkt 5.2 kræver noget langt mindre: en politik fra topledelsen, der passer til det, virksomheden er til for, bærer sikkerhedsmålene eller rammen for at sætte dem, forpligter virksomheden til de krav, den er underlagt, og til at forbedre systemet, og som er skrevet ned, fortalt til folk indenfor og vist til dem udenfor, der har brug for den. Det er syv ting, og ingen af dem er et sideantal. Denne artikel læser punktet for en softwarevirksomhed, opstiller de ni afsnit, en politik på to sider bærer, opregner, hvad en auditor påpeger, og beskriver den gratis side, der skriver politikken ud fra ti svar på seks sprog.

Hvad punktet kræver, og hvad det ikke kræver

Fire af de syv ting handler om indholdet og tre om håndteringen. Indholdet: politikken skal passe til virksomhedens formål, så en lønplatforms politik taler om løndata og de kunder, der betror dem, ikke om "organisationen"; den skal bære målene eller rammen for at sætte dem, og derfor nævner politikken de mål, den måler; den forpligter virksomheden til de krav, der gælder for den, loven, reguleringerne og de kontrakter, der er registreret i systemets kontekst; og den forpligter til løbende forbedring, hvilket i praksis betyder den interne audit, ledelsens evaluering og de korrigerende handlinger, resten af standarden kræver. Håndteringen: politikken er dokumenteret information efter punkt 7.5, med en ejer, en version og en godkendelse; den kommunikeres i virksomheden, hvilket en auditor kontrollerer ved at spørge en ny medarbejder; og den er tilgængelig for interessenter, hvor det er relevant, en kunde eller en auditor på anmodning. Det, punktet ikke kræver, er en længde, en skabelon, en underskriftsceremoni eller en liste over foranstaltninger: foranstaltningerne hører til i erklæringen om anvendelighed, og reglerne for hvert emne hører til i de emnespecifikke politikker, som A.5.1 kræver under denne.

De ni afsnit i en kort politik

En politik, der opfylder punktet og læses godt, kan rummes i ni afsnit. Formål: hvad virksomheden beskytter og hvorfor, i ét afsnit, der nævner produktet. Omfang: hvem og hvad politikken binder, med henvisning til omfangserklæringen efter punkt 4.3 i stedet for at gentage den. Hvorfor det betyder noget her: den ærlige drivkraft, hvad enten kunderne gør sikkerhed til en betingelse for forretning, en myndighed pålægger den, udbud kræver certifikatet, eller virksomheden valgte den, før nogen bad om det. Forpligtelser: risikoprocessen med acceptkriterier, topledelsen har godkendt, de gældende krav, den bevidsthed og uddannelse folk får, målingen, auditeringen, evalueringen og forbedringen af systemet og de ressourcer, det har brug for. Mål: de målbare linjer efter punkt 6.2, tre til fem af dem. Roller: topledelsen, den person, der driver systemet, ejerne af systemer og information, og alle andre, hver med én linje ansvar. Politikkerne under den: listen over emnepolitikker, så en læser ved, hvor reglerne om adgang, kryptografi, backup, udvikling, leverandører og hændelser bor, og reglen om, at denne politik gælder, hvor de er uenige. Overholdelse: hvordan den kontrolleres, og hvad et brud betyder. Kommunikation og gennemgang: hvor den er offentliggjort, at den er en del af onboardingen, og cyklussen og udløserne for gennemgang.

Mål, en auditor kan måle

Punkt 6.2 kræver mål, der følger af politikken, kan måles, hvor det er praktisk muligt, følges, fortælles til folk og holdes ajour, hvert med en plan bag. Politikken er stedet, hvor de står, og fejlen er at formulere dem som tillægsord. "Vi tager sikkerhed alvorligt" er ikke et mål; "tjenesten er tilgængelig på eller over det niveau, der er lovet kunderne, målt månedligt" er, og det er også "ingen bekræftet uautoriseret videregivelse af kundeinformation, og hver adgang til produktionsdata knyttet til en navngivet person", "hver ændring gennemgået og testet før udgivelse, og ingen kendt kritisk sårbarhed i produktion ud over den aftalte rettelsestid", "hver leverandør med adgang vurderet før onboarding og gennemgået efter planen", "hver hændelse logget, vurderet og, hvor en anmeldelsespligt gælder, anmeldt inden fristen" og "alle gennemfører sikkerhedsbevidsthed ved ansættelse og mindst årligt, og adgang fjernes den sidste dag". Hver af dem er en linje, som ledelsens evaluering efter punkt 9.3 rapporterer på, med et tal ved siden af, og det er det, auditoren leder efter, når han åbner evalueringsreferatet efter politikken.

De fejl, en auditor påpeger

Skabelonen med en anden virksomheds navn stadig i en sidefod, eller med foranstaltninger, som erklæringen om anvendelighed udelukker. Politikken på tredive sider, der gentager standarden, som ingen har læst, og som den nye medarbejder ikke kan opsummere. Den manglende godkendelse: intet navn, ingen dato, ingen version, eller en version ældre end den seneste ændring i forretningen. Mål skrevet som hensigter, uden noget i ledelsens evaluering, der måler dem. Intet kommunikationsspor: politikken findes i en mappe, men onboardingen nævner den ikke, og medarbejderne har ikke set den, hvilket fejler på delen "kommunikeret" i punktet. Ingen gennemgang siden den første version, i en virksomhed, der siden har skiftet produkter, hosting eller leverandører. Og en toppolitik, der modsiger en emnepolitik, såsom én adgangskoderegel i den ene og en anden i den anden, uden angivelse af hvilken der gælder. Hver er en afvigelse ved den første audit, og hver undgås ved at skrive mindre og datere det.

Hvad I skal gøre med det

Besvar de ti spørgsmål på den gratis side: hvad virksomheden leverer, hvorfor den driver systemet, om den behandler kunders personoplysninger, udvikler software, outsourcer udvikling eller har lokaler, hvem der driver systemet, hvem der godkender politikken, gennemgangscyklussen og de mål, den vil måle. Siden skriver de ni afsnit med enkle ord og opregner de emnepolitikker, svarene kalder på. Redigér den, til den lyder som virksomheden, lad godkenderen underskrive og datere den, offentliggør den, hvor hver ny medarbejder læser den, og tag målene med til ledelsens evaluering. Skriv derefter omfangserklæringen, den henviser til, risikoregistret, som forpligtelserne lover, og erklæringen om anvendelighed, der opregner foranstaltningerne; StandardOS skriver politikken og emnepolitikkerne under den ud fra de samme svar, versioneret, og gør gennemgangscyklussen til en dato i kalenderen.