U ponedjeljak počinjem još jednu obuku ISO 27001 Lead Implementer. Jedna sedmica, jedna sala i grupa ljudi koje uglavnom još ne poznajem.
Pred svaku obuku radim isto. Otvorim listu polaznika i polako je pročitam. Ne gledam toliko imena. Gledam radna mjesta i firme i pokušavam zamisliti ko će sjediti ispred mene. Standard koji predajem se ne mijenja. Ali primjeri koje biram se mijenjaju. Mijenjaju se i pitanja koja mogu očekivati, kao i dijelovi predavanja na kojima ću malo usporiti.
Ovaj put mi je lista izmamila osmijeh. Grupa je zaista dobro izmiješana. Tu su IT stručnjaci koji svaki dan grade i održavaju sisteme. Tu je i menadžer rizika koja razmišlja u kategorijama vjerovatnoće i posljedica. Tu je i CISO jedne velike banke, neko ko već nosi teret sigurnosnih odluka u stvarnoj firmi. Tu je neko ko želi postati konsultant. A tu je i jedna studentica, koja će doći svježih očiju i bez navika koje smo mi ostali vremenom pokupili.
Ta lista me podsjetila na nešto što ne kažem dovoljno često. Na ovim obukama dam mnogo. Ali uvijek nešto ponesem i kući.
Ono što ja donosim je lako opisati. S ovim standardom sam proveo dvadesetak godina, i to s obje strane stola. Pomagao sam firmama da izgrade svoje sisteme, a auditirao sam ih i za certifikaciju. Zato ljudima mogu reći šta dobro izgleda na papiru, a šta "drži vodu" i kada dođe vrijeme certifikacije.
Ono što nosim kući teže je opisati, ali je stvarno. Svaka osoba donese svoje iskustvo ili izazove iz svoje firme. I vrlo često me neko od njih ponuka na razmišljanje.
Obično počne pitanjem: „Možemo li mi to uraditi na drugi način?“ Ideja koja slijedi je nekad pomalo neobična jer se stvari obično ne rade tako...
Kroz godine sam naučio da takve ideje ne odbacujem prebrzo. ISO 27001 je iznenađujuće otvoren standard. Kaže vam šta trebate postići, a ono „kako“ uglavnom prepušta vama. Zato neobična ideja vrlo često funkcioniše. A ponekad je prihvati cijela sala, pa je zajedno pretvorimo u nešto bolje od onoga s čim je bilo ko od nas počeo.
Jedan trenutak mi je ostao u sjećanju. Pričali smo o dokumentaciji. Objašnjavao sam nešto što ponavljam na svakoj obuci. Dokumentacija nije cilj implementacije standarda. Dokumentacija postoji da bi osigurali konzistentnost i da bi se zabilježilo šta i kako radite. Treba služiti vama... Ne smijete postati robovi birokratskog pravljenja dokumenata...
Onda je jedan polaznik podigao ruku. „Mi smo softverska firma i mi živimo u Gitu. Može li i dokumentacija našeg sistema upravljanja "živjeti" tamo?“
Zamalo sam rekao: „Čekaj malo, ne ide to baš tako…“ Onda sam stao... Razmišljao sam o tome dobar minut - i rekao: a zašto ne?
Moje obrazloženje je bilo jednostavno: „Standardu nije bitno gdje vaši dokumenti stoje. Bitno mu je samo da su pod kontrolom, a Git to već radi. Vjerovatno i bolje od dijeljenog foldera punog Word fajlova.“
On je otišao s idejom za svoju firmu. Ja sam otišao s boljim primjerom za sljedeću obuku.
To je dio ovog posla koji najviše volim.
Što me vraća na listu za ovu sedmicu. Gledajući sve te različite uloge, palo mi je nešto na pamet.
U stvarnoj firmi implementacija se nikad ne dešava sa ljudima koji isto razmišljaju. IT, ljudi zaduženi za rizike, menadžment i konsultant gledaju isti zahtjev i vide različite stvari. Pola posla u implementaciji je postići da se oni međusobno razumiju.
Zato ovaj put možda pokušam nešto novo. Ove sedmice bih grupu mogao organizovati kao malu firmu. Inicijalno, svako dobija ulogu blisku onoj koju ima u stvarnom životu. A onda se, iz vježbe u vježbu, mijenjaju. IT stručnjak postaje menadžer rizika. CISO igra konsultanta. Student bi mogao završiti u ulozi najvišeg rukovodstva.
Nemam pojma kako će to izgledati. Dio će vjerovatno biti haotičan. Ali imam osjećaj da će ljudi više naučiti braneći tuđe stajalište jedno popodne nego iz bilo kojeg slajda koji bih im mogao pokazati.
Haotično ili ne, vrijedi pokušati. To je to. U ponedjeljak dijelim uloge. U najgorem slučaju, smijati ćemo se sigurno.