Przegląd zarządzania podpisany bez czytania to pierwsza rzecz, którą wyłapie doświadczony audytor. Dokument wygląda poprawnie, ma datę, ma podpis, ma wszystkie wymagane punkty w nagłówkach. Brakuje w nim tylko jednego: śladu, że ktokolwiek z zarządu rzeczywiście przeczytał, co jest w środku, i podjął na tej podstawie jakąkolwiek decyzję.

Co powinno wejść w skład przeglądu zarządzania

Norma ISO 27001 w punkcie 9.3 wymaga, żeby najwyższe kierownictwo przeglądało system zarządzania bezpieczeństwem informacji w zaplanowanych odstępach czasu, zwykle raz w roku. Przegląd ma obejmować konkretne elementy: status działań z poprzedniego przeglądu, zmiany w kontekście organizacji, wyniki audytów wewnętrznych i zewnętrznych, informacje o incydentach bezpieczeństwa, wyniki oceny ryzyka i postęp w planie postępowania z ryzykiem, wskaźniki skuteczności systemu oraz rekomendacje dotyczące ciągłego doskonalenia.
To nie jest lista do odhaczenia w jednym zdaniu na każdy punkt. Wyniki audytu wewnętrznego, które pokazały trzy niezgodności, wymagają decyzji: co z nimi zrobić, kto jest odpowiedzialny, do kiedy mają zniknąć. Wzrost liczby incydentów związanych z phishingiem w ostatnim kwartale wymaga pytania, czy program szkoleń działa, czy trzeba go zmienić. Przegląd zarządzania, który nie prowadzi do żadnej decyzji, jest tylko dokumentem na potrzeby audytu, nie narzędziem zarządczym.

Jak wygląda dobrze udokumentowany przegląd

Dobrze udokumentowany przegląd zarządzania zawiera protokół ze spotkania, na którym te tematy zostały omówione, z datą, listą uczestników i konkretnymi ustaleniami przypisanymi do osób i terminów. Zawiera dane wejściowe w formie, która pozwala coś ocenić, na przykład liczbę incydentów w rozbiciu na kategorie, a nie ogólnikowe stwierdzenie, że incydentów było niewiele. Zawiera decyzje wyjściowe: zaakceptowane zmiany w budżecie na bezpieczeństwo, zaakceptowany plan postępowania z ryzykiem, decyzję o dodatkowym szkoleniu dla konkretnego działu.
Audytor certyfikujący, przeglądając ten dokument, sprawdza właśnie to: czy dane wejściowe odpowiadają temu, co działo się w firmie w danym okresie, i czy z tych danych wynikają jakiekolwiek decyzje. Sam podpis pod dokumentem bez tej zawartości nie spełnia wymogu normy, nawet jeśli formalnie dokument istnieje i ma właściwą datę.

Rola zarządu – nie formalność, tylko decyzja

Punkt 9.3 normy nie jest wymogiem administracyjnym skierowanym do działu IT. Jest wymogiem skierowanym wprost do najwyższego kierownictwa, bo to zarząd odpowiada za to, czy system zarządzania bezpieczeństwem informacji dostaje odpowiednie zasoby i czy jego wyniki przekładają się na decyzje biznesowe. Delegowanie całego przeglądu do administratora systemów albo do osoby odpowiedzialnej za bezpieczeństwo, bez realnego udziału zarządu w rozmowie o wynikach, jest jednym z częstszych powodów niezgodności wykrywanych podczas audytu.
Oznacza to jedno konkretne spotkanie w roku, na które zarząd przychodzi z danymi i wychodzi z decyzjami, nie z podpisem pod dokumentem przygotowanym przez kogoś innego kilka dni wcześniej. To spotkanie kosztuje firmę mniej niż niezgodność wykryta podczas audytu certyfikującego, a daje jasny wgląd w to, gdzie dziś stoi system bezpieczeństwa.