Olukord
Vilniuse tehnoloogiaettevõte, kus töötab umbes 20 inimest, arendab SaaS-toodet finants- ja kindlustussektori ettevõtetele. Meeskond on tugev inseneritöös, toode töötab pilves ja kliendid on keskmise suurusega ja suured ettevõtted Leedus ja Skandinaavias. Müügitsükkel on pikk ning iga tõsisem klient saadab enne lepingu sõlmimist turvaküsimustiku: kümneid või mitusada küsimust poliitikate, ligipääsuhalduse, intsidentide haldamise, tarnijate ja talitluspidevuse kohta.
Pöördepunkt tuli siis, kui idufirma kaotas hanke ühes Skandinaavia kindlustusettevõttes. Ostjale meeldis toode, kuid turvaküsimustiku vastused olid peaaegu igal real „dokumenti meil ei ole, aga me teeme seda“, samal ajal kui konkurendil oli ISO 27001 sertifikaat. Ostja vastus oli viisakas ja selge: tulge tagasi, kui teil see on.
Ettevõttes polnud turvaspetsialisti ja tema palkamine ainult küsimustiku pärast ei olnud mõistlik. Tehnikajuht (CTO) mõistis turvalisust, kuid poliitikate kirjutamine, riskiregistri pidamine ja auditikeeles rääkimine ei olnud tema töö ning keegi pidi ju toodet arendama. Vaja oli kedagi, kes tegeleks turvalisusega püsiva funktsioonina, mitte projektina, ja kellele ei peaks maksma täiskohaga töötaja palka.
Mida oli vaja
- ISO 27001 nõuetele vastav infoturbe juhtimissüsteem, mis on mõõdetud 20-liikmelisele ettevõttele, mitte korporatsioonile.
- Dokumendid, mida saab klientidele esitada: poliitikad, riskiregister, intsidendiplaan, tarnijate hindamised.
- Võimalus täita kliendi turvaküsimustikke päevadega, mitte nädalatega.
- Valmidus sertifitseerimisauditiks aasta jooksul, et järgmise hanke korral oleks vastus vähemalt „auditi kuupäev on kokku lepitud“.
- Võimalikult väike inseneride ajakulu, sest tootearendus ei tohi seisma jääda.
Mida me tegime
1. kuu: hindamine ja riskiregister
Alustasime IT-turvaauditiga ISO 27001 kontrollide loendi alusel: mida ettevõte praktikas juba teeb, mida teeb, kuid pole dokumenteeritud, ja mis puudub täielikult. Selgus, et tehnilised kontrollid olid paremad, kui ootasime: koodiülevaatused, MFA, krüpteerimine, logid. Puudu oli juhtimiskiht: kes mille eest vastutab, kuidas riske hinnatakse, kuidas intsidente käsitletakse ja kuidas tarnijaid kontrollitakse.
Koos juhtidega koostasime riskiregistri: umbes kolmkümmend riski koos vastutajate, hinnangute ja kokkulepitud meetmetega. Register sai kogu järgneva aluseks, sest ISO 27001 audiitor küsib esmalt mitte poliitikate, vaid nende päritolu kohta.
2.–3. kuu: poliitikad ja protsessid
Kirjutasime neliteist poliitikat ja protseduuri: infoturbepoliitika, ligipääsuhaldus, krüptograafia, turvaline arendus, intsidentide haldamine, talitluspidevus, tarnijate haldus, lubatud kasutuse reeglid ja teised. Igaüks on mõne lehekülje pikkune, vastutava isiku ja ülevaatuskuupäevaga. Põhimõte oli lihtne: dokument ütleb ainult seda, mida ettevõte tegelikult teeb või kohustub tegema alates järgmisest nädalast. Poliitika, mida ei täideta, on auditi jaoks hullem kui poliitika puudumine.
Kõige raskem oli tarnijate hindamine. Idufirma kasutas mitukümmend pilveteenust ja mõni oli ostetud kaardiga üldse ilma lepinguta. Koostasime nimekirja, sorteerisime teenused andmete tundlikkuse järgi, kogusime kriitiliste tarnijate turvatõendid ja asendasime kaks teenust selliste vastu, millel oli midagi näidata.
4. kuu: intsidendiplaan ja õppused
Katsetasime intsidentide haldamise plaani kogu meeskonnaga laua taga läbi mängitud õppusel: stsenaarium oli avalikku koodihoidlasse lekkinud ligipääsuvõtmed. Õppus näitas, et keegi ei teadnud, kes klientidele teatab ja mis aja jooksul. Täiendasime plaani ning koostasime klientide teavitamise mallid ette valmis.
5. kuu: küsimustike teek ja sisemine audit
Poliitikate ja riskiregistri põhjal koostasime vastuste teegi kliendiküsimustike kõige levinumatele küsimustele, koos viidetega dokumentidele ja tõenditele. Tegime sisemise auditi ISO 27001 nõuete alusel ning registreerisime mittevastavused ja nende parandamise plaani. Sellest hetkest jätkub vCISO teenus püsiteenusena: igakuine kohtumine juhtkonnaga, riskiregistri ülevaatus, uute küsimustike täitmine ja sertifitseerimisauditiks valmistumine.
Tulemus
Kliendi turvaküsimustikud täidetakse nüüd 3 tööpäevaga, sealhulgas tehnikajuhi ülevaatus. Varem võttis see nädalaid ja lõppes tühjade ridadega. Viimase kahe kuu jooksul täideti kolm küsimustikku, neist üks samast valdkonnast, kus hange oli kaotatud.
Kinnitatud on 14 poliitikat ja protseduuri, kõigil on vastutajad ja ülevaatuskuupäevad ning kõik on töötajatele kättesaadavad ühes kohas. Sisemise auditi mittevastavused on suletud, valmidus sertifitseerimisauditiks on olemas ja kuupäev on kokku lepitud.
Turvatöötajaid ettevõtte palgal on 0. Turvafunktsiooni täidab vCISO kokkulepitud tunnimahus kuus ja insenerid naasid toote juurde. Tehnikajuht arvutab, et viie kuuga kulus tal turvalisusele vähem aega, kui varem kulus ühele kaotatud küsimustikule.
Arvasime, et ISO 27001 on suurte ettevõtete paberimägi. Selgus, et see on lihtsalt küsimuste loend, millele me pidime niikuinii vastama.
Mida me sarnases olukorras soovitaksime
- Ärge alustage poliitikamallidest. Alustage riskiregistrist: poliitikad tulenevad sellest loomulikult ja audiitor näeb seost.
- Kirjutage ainult seda, mida teete. Audiitor leiab dokumendi, mida ei täideta, esimese tunniga.
- Korrastage tarnijad varakult: kaardiga ostetud pilveteenused on väikestes tehnoloogiaettevõtetes kõige sagedasem mittevastavus.
- Eraldage turvafunktsioon arendusjuhist, isegi kui ta asjast aru saab. Tema aeg maksab teile toote.
