„Conducerea de vârf trebuie să demonstreze leadership și angajament în privința sistemului de management al securității informației prin: asigurarea faptului că politica de securitate a informației și obiectivele de securitate a informației sunt stabilite și sunt compatibile cu direcția strategică a organizației.”ISO/IEC · ISO/IEC 27001:2022 — Information security, cybersecurity and privacy protection — Information security management systems — Requirements · 2022 · ISO/IEC 27001:2022, clauza 5.1 «Leadership and commitment», paragraful introductiv și litera a)
Clauza 5 se auditează în biroul conducerii, nu în camera serverelor.
Clauza 5 are trei alineate și toate încep cu «conducerea de vârf», nu cu «organizația». Diferența nu e stilistică: la 5.1 auditorul cere probe că oamenii care hotărăsc bugetul și direcția au făcut ceva verificabil — au asigurat că politica și obiectivele există și se potrivesc cu direcția strategică, au integrat cerințele în procesele curente ale organizației, au pus la dispoziție resurse, au promovat îmbunătățirea continuă. La 5.2 politica trebuie să fie potrivită scopului organizației, să conțină obiective sau cadrul pentru stabilirea lor și două angajamente: satisfacerea cerințelor aplicabile și îmbunătățirea continuă. Ea există ca informație documentată, se comunică intern și se pune la dispoziția părților interesate, după caz. La 5.3 rolurile se atribuie și se comunică, iar două responsabilități sunt numite explicit: conformitatea sistemului cu cerințele standardului și raportarea performanței lui către conducerea de vârf. De aceea interviurile de la etapa 2 nu se țin doar cu echipa tehnică.
Pasajul 1: Conducerea de vârf înseamnă, la 27001, oamenii cu putere reală, nu titluri. Auditorul urmărește lanțul de la decizie la efect. Dacă directorul financiar aprobă bugetul, el trebuie să poată explica de ce securitatea primește cât primește. Un exemplu obișnuit: la o firmă de logistică, managerul general semnează politica, dar nu poate spune ce obiective conține. Semnătura nu e dovadă de conducere. Întrebarea care se pune apoi: cum arată o decizie verificabilă, nu doar una declarată?
O decizie verificabilă lasă urme în procesele care existau deja. Standardul nu cere o structură nouă, ci că cerințele de securitate intră în ce face organizația oricum. La o lanț de farmacii, asta înseamnă că regulile despre acces la rețetele electronice apar în procedura de angajare a farmacistului, nu într-un document separat pe care nimeni nu-l citește. Resursele se văd la fel: nu în promisiuni, ci în faptul că echipa are timp și oameni pentru ce i s-a cerut. Iar conducerea primescște periodic un răspuns la întrebarea simplă: sistemul funcționează sau nu? Dacă toate astea există, urmează întrebarea ce anume trebuie să conțină politica pe care conducerea o aprobă.
De ce contează O neconformitate de clauza 5 nu se repară cu o unealtă: cere o decizie a conducerii, deci se închide cel mai lent dintre toate.