Când vorbim de securitate, ne gândim la sisteme. Dar fiecare sistem e folosit de un om, iar omul are un parcurs: vine, lucrează o vreme, apoi pleacă sau își schimbă rolul. La fiecare pas există un risc, și la fiecare pas se poate face ceva.
Exact asta face ISO 27001 în partea de resurse umane. Anexa A, lista de controale a standardului, are un grup dedicat oamenilor. Ideea de bază e simplă: securitatea unui angajat nu începe în prima zi de muncă și nu se termină în ultima.
Înainte de angajare
Securitatea omului începe înainte ca el să intre pe ușă. Două lucruri contează aici.
- Verificarea candidatului. Standardul cere o verificare potrivită cu rolul. Cu cât postul atinge informații mai sensibile, cu atât verificarea poate fi mai amănunțită, de la confirmarea studiilor și a experienței, până la cazier acolo unde e justificat. Totul în limitele legii și cu respect pentru GDPR, nu din curiozitate.
- Reguli clare în contract. Încă de la angajare, omul trebuie să știe ce așteptări de securitate are firma de la el. Aici intră și acordul de confidențialitate, adică promisiunea scrisă că nu scoate informații din firmă.
În timpul angajării
Cea mai lungă etapă, și cea unde se câștigă sau se pierde cel mai mult. Trei lucruri o țin sănătoasă.
- Instruire și conștientizare. Oamenii nu se nasc știind să recunoască un e-mail fals. Instruirea repetată, pe înțelesul fiecărui rol, e ce transformă un angajat dintr-o vulnerabilitate într-un apărător. Despre asta am scris în articolul despre cultura de securitate.
- Responsabilități clare. Fiecare trebuie să știe ce are voie să facă cu informația și pe ce e responsabil. Confuzia e prietena greșelilor.
- Un proces pentru abateri. Când cineva încalcă regulile, trebuie să existe un mod corect și cunoscut de a reacționa. Nu ca să sperii oamenii, ci ca să fie clar că regulile contează la fel pentru toți.
La plecare sau la schimbarea rolului
Aici e una dintre cele mai mari găuri din firmele reale: foști angajați care încă au cont activ și acces la sisteme, luni de zile după ce au plecat.
- Retragerea accesului. Conturile se închid, parolele și cardurile de acces se anulează, chiar în ziua plecării. La fel când cineva trece pe alt rol și nu mai are nevoie de vechiul acces.
- Returnarea bunurilor. Laptop, telefon, documente, chei. Tot ce a primit se întoarce.
- Obligațiile care rămân. Confidențialitatea nu expiră odată cu contractul. Omului i se reamintește, la plecare, ce nu are voie să ducă mai departe.
Partea bună e că totul devine simplu dacă e pregătit dinainte: o listă scurtă, parcursă la fiecare plecare, în loc de o goană prin sisteme când deja e prea târziu.
De ce contează atât de mult
Pentru că cele mai costisitoare incidente nu vin din afară, ci dinăuntru, de multe ori fără rea intenție. Un nou angajat neinstruit care dă click pe un link fals. Un coleg supărat care pleacă și mai are acces. Un furnizor cu drepturi uitate în sistem.
Niciuna dintre aceste situații nu se rezolvă cu tehnologie. Se rezolvă cu grijă față de oameni, de la prima zi până după ultima. Atenție: această parte e despre oameni ca element de securitate. Despre cum protejezi datele angajaților sub GDPR, adică cealaltă față a monedei, am scris separat, în articolul despre protecția datelor angajaților.
Întrebări frecvente
Ce înseamnă securitatea resurselor umane în ISO 27001?
E partea din standard care se ocupă de oameni, fiindcă oamenii sunt și cea mai mare resursă, și un risc de securitate. Anexa A din ISO 27001 are un grup de controale despre oameni, organizate pe trei etape: înainte de angajare, în timpul angajării și la plecarea sau schimbarea rolului. Scopul e ca fiecare să știe ce are de protejat și să nu rămână cu acces după ce nu mai are nevoie de el.
Pot verifica trecutul unui candidat înainte să-l angajez?
Da, dar cu măsură și în limitele legii. ISO 27001 cere ca verificarea candidatului să fie potrivită cu rolul: cu cât postul atinge informații mai sensibile, cu atât verificarea poate fi mai amănunțită. Verifici doar ce are legătură cu jobul, ceri acordul unde e nevoie și respecți GDPR. Nu te uiți în viața privată a omului doar din curiozitate.
Ce se întâmplă cu accesul când pleacă un angajat?
Trebuie retras imediat. Una dintre cele mai mari găuri de securitate din firme e un fost angajat care încă are cont activ și acces la sisteme. La plecare sau la schimbarea rolului se retrage accesul, se returnează echipamentele și se reamintesc obligațiile care rămân, în primul rând confidențialitatea. Asta se pregătește dinainte, nu în ziua plecării.
Trebuie să fiu certificat ISO 27001 ca să aplic aceste reguli?
Nu. Certificarea e utilă dacă o cer clienții sau o licitație, dar nu e obligatorie ca să te folosești de standard. Poți lua controalele despre oameni din Anexa A ca pe o listă de bun-simț și să le aplici la scara ta, fie că ești o firmă mică sau una mare. Beneficiul e același: mai puține surprize neplăcute legate de oameni.
Vrei să pui la punct securitatea resurselor umane după ISO 27001?
Te ajutăm să faci pașii simpli, de la verificarea candidaților și clauze de confidențialitate, până la instruire și retragerea accesului la plecare.