Διασυνδεδεμένο μοντέλο διαχείρισης υπηρεσιών ασφάλειας

 Επιτυγχάνοντας μέγιστη απόδοση και ανθεκτικότητα

 Πως ένα διασυνδεδεμένο δίκτυο από πολλαπλά συστήματα διαχείρισης οδηγεί στην αναβάθμιση της απόδοσης, της λειτουργικότητας και της ανθεκτικότητας και κατ’ επέκταση σε ποιοτικότερες υπηρεσίες ασφάλειας;

Νικόλαος Κολαϊτης

Security Consultant & Trainer

Εφαρμόζοντας ένα σύστημα διαχείρισης ασφάλειας μια επιχείρηση, υιοθετεί ένα σύνολο σχεδιασμών και μεθοδικών ενεργειών, με στόχο διατηρηθούν οι απαραίτητες συνθήκες, προκειμένου να ικανοποιούνται οριζόμενες απαιτήσεις.

Το συγκεκριμένο άρθρο θα ασχοληθεί με το πως ένα διασυνδεδεμένο μοντέλο από πολλαπλά συστήματα διαχείρισης ή πρότυπα, μπορεί να οδηγήσει τα τμήματα Ασφάλειας στη μέγιστη αποδοτικότητα, ανθεκτικότητα, μετρήσιμα ποιοτικότερες υπηρεσίες στο εσωτερικό περιβάλλον και στις διαδικασίες του οργανισμού, αλλά και στη συνεργασία του μαζί με 3^α μέρη (π.χ προμηθευτές) και κυρίως πελάτες παρέχοντας έτσι την “over and above” υπηρεσία και καθιστώντας τους τον πολύτιμο και μακροχρόνιο συνεργάτη. Μια συνεργασία φυσικά με «vice versa» οφέλη.

Η πορεία που θα ακολουθήσουμε αφορά την ανάπτυξη:

• Της γενικής εικόνας του τι είναι ένα Σύστημα Διαχείρισης και Ποιητικά μετρήσιμες υπηρεσίες.
• Των σύγχρονων απειλών και προκλήσεων και την ανάγκη για «standard».
• Το δίκτυο των συστημάτων διαχείρισης και τις κοινές ρίζες μεταξύ των υπηρεσιών ασφαλείας.
• Τις παραμέτρους για την επιτυχή διασύνδεση των συστημάτων.
• Το καινούργιο επίπεδο το οποίο ξεκλειδώνει αυτή η διασύνδεση.
• Και τέλος τα πλεονεκτήματα του.

Γενικές αρχές και ποιοτικά μετρήσιμες υπηρεσίες

Η φύση μας έμαθε και συνεχίζει να μας διδάσκει! Ένα υπέροχο δεδομένο τις φύσης είναι ότι τα δέντρα που μοιράζονται ένα μυκορριζικό δίκτυο, όπως ονομάζεται, είναι σε θέση να στέλνουν θρεπτικά συστατικά το ένα στο άλλο σε περιόδους στρες ώστε να διασφαλίσουν και να προστατέψουν το ένα το άλλο όπως αναφέρεται  στο άρθρο της Valentina Lagomarsino στο site του Πανεπιστημίου του Harvard

Ξεκινώντας με το Γενικό και τους απαραίτητους όρους … «ΔΙΑΧΕΙΡΗΣΗ» ή ‘μάνατζμεντ΄ … είναι η προσπάθεια οργάνωσης των διαθέσιμων πόρων (οικονομικών πόρων, ανθρώπινου δυναμικού, τεχνολογικών εργαλείων) για την επίτευξη συγκεκριμένων στόχων.

Όσον αφορά τώρα ένα ΣΥΣΤΗΜΑ διαχείρισης συμπεριλαμβάνει τη δομή του οργανισμού, τους ρόλους και τις υπευθυνότητες, το σχεδιασμό, τη λειτουργία, τις πρακτικές, τους κανόνες, τις αντιλήψεις, τους στόχους και τις διεργασίες για την επίτευξη αυτών των στόχων.

Οπότε θεωρούμε ότι ένα σύστημα διαχείρισης είναι ανάλογο του μυκορριζικού δικτύου, είναι το δίκτυο που είτε εσωτερικά στον οργανισμό είτε με τρίτα μέρη υπάρχει μια ωφέλιμη και ολιστική επικοινωνία. Επικοινωνία μέσω της οποίας διασφαλίζονται εκατέρωθεν οι οργανισμοί.

Αναφέρθηκε στην αρχή ο όρος  «μετρήσιμα ποιοτικότερες υπηρεσίες», χωρίς αναπόφευκτα να καταλήγει η συζήτηση ότι κάποια απόδοση είναι ορθή και κάποια λάθος, αναφέρονται οι εφτά (7) βασικές αρχές διαχείρισης της ποιότητας όπως ορίζονται από το ανάλογο πρότυπο πιστοποίησης ISO 9000:

Σκοπός είναι να θεσπιστεί παράλληλα και μια γενικότερη αντίληψη στα υπόλοιπα συστήματα διαχείρισης καθότι η οικογένεια των προτύπων του 9000 αποτελεί μια πολύ σημαντική βάση.

1. Πελατο-κεντρική προσέγγιση. Γίνεται ο εντοπισμός με σκοπό να ικανοποιηθούν και να ξεπεραστούν οι προσδοκίες του πελάτη.
2. Εμπλοκή της ηγεσίας σε όλα τα επίπεδα του οργανισμού.
3. Όλο το ανθρώπινο δυναμικό έχει τα προσόντα και εκπαίδευση με σκοπό να συμμετέχει στη δημιουργία «αξίας».
4. Οι επιχειρησιακές δραστηριότητες αλληλεξαρτώνται οπότε η διαχείριση τους ως σύστημα φέρει και καλύτερη απόδοση.
5. Δίδεται Συνεχόμενη έμφαση στη βελτίωση.
6. Η κάθε λήψη απόφασης ενέχει ρίσκο οπότε με την χρήση και ανάλυση των δεδομένων ελαχιστοποιείτε έκθεση στο εκάστοτε ρίσκο.
7. Διαχείριση σχέσεων με εξωτερικά εμπλεκόμενα μέρη.

Οι σύγχρονες προκλήσεις

Τώρα, επιστρέφοντας στον τομέα Ασφαλείας, οι επαγγελματίες του χώρου καλούνται να ανταπεξέλθουν και να προσαρμοστούν στις απειλές και στις προκλήσεις των καιρών.
Απειλές και κίνδυνοι με «διακυμάνσεις» από μικρο-κλοπές, ένοπλες ληστείες, απάτες, τρομοκρατικά χτυπήματα, κυβερνο-έγκλημα, νομικές και κανονιστικές απαιτήσεις, η λίστα είναι μεγάλη, τόσο μεγάλη και μεταβαλλόμενη που πρόσφατα προστέθηκε και η πανδημία. Απειλές και κίνδυνοι που πρέπει οι επιχειρήσεις να διασφαλιστούν, λύσεις να βρεθούν, όπου εγκαταστάσεις θα πρέπει να συνεχίσουν να προστατεύονται, φυλάξεις και έλεγχοι να συνεχίσουν να εκτελούνται.

Το ευρύτερο περιβάλλον ορίζει τα «standards». … οπότε στα πλαίσια της διαχείρισης τα «standards» μετατρέπονται σε δράσεις που πρέπει πλέον να επικεντρώνονται όχι αποκλειστικά και μόνο στην ‘απλή’ εντός εισαγωγικών απόδοση τους αλλά στην ποιοτική απόδοση τους ως υπηρεσίες ασφαλείας.

Ο Jocko Willink στο βιβλίο του Extreme Ownership αναφέρει ότι «Όταν τίθενται προσδοκίες, ανεξάρτητα από το τι έχει ειπωθεί ή καταγραφεί, σε περίπτωση που μια μειωμένη επίδοση είναι αποδεκτή και κανείς δεν λογοδοτεί έναντι αυτής – εάν δεν υπάρχουν συνέπειες, τότε η εν λόγω κακή επίδοση μετατρέπεται αυτή σε “standard”. Οπότε, οι ηγέτες οφείλουν να εφαρμόζουν  «standard».

Standards τίθενται και από την εταιρεία που θα αγοράσει τις υπηρεσίες ασφαλείας για παράδειγμα. Τέτοια μπορεί να είναι αναφορές ελέγχων και προόδου, δείκτες απόδοσης για συγκεκριμένους ελέγχους, επιτακτική εφαρμογή συγκεκριμένων συστημάτων διαχείρισης – αλλιώς δεν μπορεί να γίνει ανάληψη του έργου, διαδικασίες και συστήματα διασφάλισης της πληροφορίας και τις εμπιστευτικότητας κ.ο.κ.

Πως θα ανταπεξέλθει μια επιχείρηση σε μια ηλεκτρονική απάτη αν δεν γνωρίζει τίποτα ή μερικώς το προσωπικό της καταρχάς ‘τι είναι ηλεκτρονική απάτη’, πως αποφεύγεται, ποια είναι τα μέτρα προστασίας έναντι μιας ηλεκτρονικής επίθεσης; Πως εφαρμόζονται; . Με μια πρόταση πως επιτυγχάνεται προστασία αν δεν εφαρμοστούν μέτρα, διαδικασίες, εκπαίδευση ενεργοποιηθούν ανάλογα εργαλεία, αναλυθεί αναγνωρισθεί ως ρίσκο και γίνει περιγραφή σε διαδικασίες επιχειρησιακής συνέχειας;

Αναπόφευκτα, πρέπει πλέον να μιλάμε για ένα σωστά δομημένο, καταρτισμένο και ορθά προετοιμασμένο τομέα ασφαλείας.

Οι οργανισμοί ασφάλειας που αναγνωρίζουν τη μεγάλη σημασία της «ποιότητας» και των συστημάτων διαχείρισης θα είναι αυτοί που θα έχουν ένα σημαντικό βήμα στην αγορά εργασίας.

Στο Παγκόσμιο Οικονομικό Φόρουμ (WEF) στο Ντάβος της Ελβετίας όπου και συζητούνται οι μεγαλύτερες προκλήσεις που αντιμετωπίζει ο πλανήτης αναφέρθηκαν δίδοντας τους την απαραίτητη έμφαση μεταξύ άλλων οι κυβερνοεπιθέσεις και η μεγάλης κλίμακας τρομοκρατικές επιθέσεις.

Σύμφωνα με αναφορά της Europol, λόγω του Covid-19 οι κυβερνοεπιθέσεις με χαρακτηριστικά τις επιθέσεις ‘phishing’ μέσω ηλεκτρονικού ταχυδρομείου  αναμενόταν, όπως και έγινε, να ανεβούν αισθητά.

Πρότυπα διασφάλισης ποιότητας

Ένα από τα εργαλεία για την προστασία από κυβερνοεπιθέσεις και την διασφάλιση των πληροφορικών συστημάτων, είναι το ISO 27001. Ένα σύστημα διαχείρισης που αφορά το «σχεδιασμό ενός καθεστώτος ασφάλειας των πληροφοριών: ανθρώπους, διαδικασίες και τεχνολογία με σκοπό την Ασφάλεια στο ψηφιακό κόσμο». Αυτό που αρμόζει να αναφέρουμε εδώ είναι η διασύνδεση με άλλα συστήματα διαχείρισης με σκοπό την ολιστική λειτουργία και διασφάλιση.

Βασικά στοιχεία του σύγχρονου περιβάλλοντος, και της βιώσιμης κοινωνίας της οποίας προσπαθούμε να κτίσουμε είναι η ασφάλεια σε κάθε της μορφή και η ασφάλεια σε κάθε μορφή  απαιτεί λεπτομερή σχεδιασμό και οργάνωση.

Για παράδειγμα, το ISO 23234, αφορά  το σχεδιασμό μέτρων ασφαλείας σε κτηριακές εγκαταστάσεις, λεπτομερείς απαιτήσεις και συστάσεις για να βοηθήσουν τους οργανισμούς να εφαρμόσουν σχέδια προστασίας από ανεπιθύμητες ενέργειες.

Ακόμα ένα σύστημα διαχείρισης, είναι το ISO 22301 όπου καθορίζει τις απαιτήσεις για το σχεδιασμό, την λειτουργία και τη μείωση της πιθανότητας εμφάνισης περιστατικών που μπορεί να επηρεάσουν την επιχειρηματική συνέχεια. Όπως είπε ο Ιπποκράτης «Η καλύτερη θεραπεία είναι η Πρόληψη».

Θεωρούμε ως δεδομένο ότι λόγω της φύσης των υπηρεσιών ένα γραφείο παροχής ασφαλείας αποθηκεύει και διαφυλάσσει διάφορων τύπων προσωπικά δεδομένα, από τα δεδομένα του προσωπικού του, των πελατών του, των επισκεπτών σε μια ασφαλισμένη εγκατάσταση και ακόμα τόσα.

Άρα, εδώ τίθενται σημαντικά θέματα όπως η κατάλληλη διοικητική οργάνωση της εταιρείας σύμφωνα με τον κανονισμό περί προστασίας προσωπικών δεδομένων, η προστασία του πληροφορικού δικτύου ή ενημέρωση του προσωπικού ώστε να καταλήξουμε σε ικανοποιητικό επίπεδο ‘επίγνωσης’ των γενικότερων υποχρεώσεων και κινδύνων που αντιμετωπίζουν.

Η παροχή ποιοτικών υπηρεσιών ασφαλείας σύμφωνα με ένα δομημένο σύστημα εσωτερικού ποιοτικού ελέγχου, επιθεωρήσεων, διαδικασιών διοίκησης σε πρότυπα για παράδειγμα ISO 9001, με ασφάλεια των πληροφορικών συστημάτων σύμφωνα με πρότυπα για παράδειγμα ISO 27001, με προστασία και επεξεργασία των προσωπικών δεδομένων σύμφωνα με τους ανάλογους κανονισμούς,  σύστημα περιβαλλοντικής διαχείρισης 14001 – το έχουμε ως πλανήτης ανάγκη, σύστημα ασφάλειας και υγείας σύμφωνα με το πρότυπο 45001,  αποδεικνύεται ως «STANDARD» και ανταγωνιστικό πλεονέκτημα.

Παράμετροι επιτυχίας συστήματος διαχείρισης

Η ανθεκτικότητα και λειτουργικότητα είναι το ζητούμενο. Μέσω της  ολιστικής προσέγγισης, δημιουργείτε παράλληλα με το αίσθημα ασφάλειας, μια ανεμπόδιστη «εμπειρία» μέσω των υπηρεσιών παροχής ασφαλείας.

Τα «standards» μέσω των συστημάτων διαχείρισης μετρούνται!

Οπότε αναπόφευκτα δημιουργούν μια ξεκάθαρη εικόνα της κατάστασης. Οι δείκτες απόδοσης  με τους οποίους υπάρχει η πλήρης απεικόνιση θέτει αναπόφευκτα ως στόχο τη συνεχόμενη βελτίωση! σε αυτό τον αέναο κύκλο από διαδικασίες, ελέγχους και παρατηρήσεις η βελτίωση είναι πάντα ο βασικός στόχος.

Αν πάρουμε τον «ορισμό» ενός Προγράμματος Ασφαλείας … που είναι οι διαδικασίες και ενέργειες οι οποίες σχεδιάζονται και υλοποιούνται για την προστασία της ανθρώπινης ζωής, των περιουσιακών στοιχείων και εγκαταστάσεων, της πληροφορίας, των χρημάτων, αξιών ή/και άλλων πολύτιμων αντικειμένων.

Σύμφωνα με το Πανεπιστήμιο της Νοτίου Αφρικής στο πτυχίο του “Security Management” το να είμαστε Ασφαλείς προϋποθέτει το Βαθμό Προστασίας ενάντια σε:

• Απώλεια
• Ατυχήματα
• Λάθη
• Έγκλημα
• Ανήθικες Πρακτικές

Αν αναφέρουμε τις κοινές ρίζες … τις κοινές παραμέτρους πολλών από τα συστήματα διαχείρισης, των υπηρεσιών ασφαλείας σε συνάρτηση με πληθώρα νομικών και κανονιστικών απαιτήσεων μεταξύ άλλων έχουμε:

• Πολιτικές
• Σχέδιο Δράσεων
• Έλεγχος Συμμόρφωσης
• Εκτίμηση κινδύνου και απειλών
• Πάγιές Πρακτικές Διαδικασίες
• Δείκτες Μέτρησης Απόδοσης
• Αναφορές (Reports)
• Πλάνο Συνέχισης Επιχειρηματικών Λειτουργιών
• Διαχείριση κρίσεων
• Χρονοδιάγραμμα
• Εκπαίδευση Προσωπικού
• Αρχεία Προσωπικού κ.ο.κ

Αυτό καθιστά την υιοθέτηση και τη μετάβαση από βασικές οργανωτικές διαδικασίες σε, συγκεκριμένα πάντα συστήματα διαχείρισης, πιο βιώσιμη, λειτουργική και ενδεχομένως εντός εισαγωγικών εύκολη.

«At the end of the day, the goals are simple: safety and security» είπε η Jodi Rell.

Πηγαίνοντας ένα βήμα πιο κάτω, διάφορα Συστήματα Διαχείρισης σε συνδυασμό με ένα Πρόγραμμα Ασφαλείας μπορούν να ενοποιηθούν σε ένα ανθεκτικότερο και αποδοτικότερο μοντέλο Παροχής Υπηρεσιών Ασφαλείας που ασχολείται με πολλαπλές πτυχές της απόδοσης ενός οργανισμού για την ικανοποίηση των απαιτήσεων περισσοτέρων του ενός προτύπου, σε ένα συγκεκριμένο επίπεδο διασύνδεσης και με τον πελάτη.

Όπως διαφορετικά συστήματα διαχείρισης μπορούν να ενοποιηθούν πόσο μάλλον ίδια συστήματα διαχείρισης μπορούν να «συνυπάρξουν» και να αυξήσουν εκατέρωθεν την απόδοση 2 διαφορετικών οργανισμών που συνεργάζονται διασφαλίζοντας έτσι ΟΛΙΣΤΙΚΑ σε διοικητικό και επιχειρησιακό επίπεδο την ποιότητα και την εφαρμογή των ανάλογων διαδικασιών.

Φυσικά, πάντα προσαρμοσμένο στα πλαίσια επιχειρησιακών και διοικητικών λειτουργιών με την ανάλογη πρόσβαση χωρίς να θίγονται συμφέροντα εμπιστευτική ή/και απόρρητη πληροφορία.

Τώρα, ποιες είναι οι βασικές παραμέτρους για την επιτυχή διασύνδεση των συστημάτων σε εσωτερικό και εξωτερικό επίπεδο:

• Δέσμευση της Διοίκησης.
• Το σύστημα πρέπει να σχεδιασθεί ώστε να ανταποκρίνεται στις συγκεκριμένες συνθήκες των Οργανισμών και να καλύπτει τις ιδιαίτερες ανάγκες.
• Η έγγραφη τεκμηρίωση του συστήματος να μην αποτελεί περιττή γραφειοκρατία και να μην επιβαρύνει άσκοπα το προσωπικό με περιττές υποχρεώσεις – “keep it simple”.
• Πρέπει να δοθεί έμφαση στην εκπαίδευση και ενεργό συμμετοχή όλων των εμπλεκομένων για την αποτελεσματικότερη εφαρμογή και ανάπτυξη του συστήματος.
• Πρέπει να γίνει άμεσος συσχετισμός του συστήματος με τη στρατηγική, τους επιχειρηματικούς στόχους και τις επιδιώξεις της επιχείρησης ώστε να αποτελεί χρήσιμο εργαλείο διοίκησης και βελτίωσης.

Πλεονεκτήματα

Ποια είναι τα πλεονεκτήματα ενός διασυνδεδεμένου μοντέλου;

• Όλα τα Πρότυπα Συστημάτων Διαχείρισης θα έχουν την ίδια εμφάνιση και δομή.
• Πιο αποδοτική διαχείριση κοινών απαιτήσεων μεταξύ των προτύπων.
• Τυποποίηση βασικών όρων και ορισμών.

Μέσω της εν λόγω διασύνδεσης και ανθεκτικότητας που δημιουργείται, κλειδώνεται έμπρακτα και ο επαγγελματικός δεσμός μεταξύ οργανισμού ασφαλείας και προσωπικού και μεταξύ οργανισμού ασφαλείας και πελάτη. Επίσης δημιουργείται μια ομπρέλα ασφαλείας για τον πελάτη τόσο σε επιχειρησιακό επίπεδο όσο και σε διοικητικό. Ανάγοντας έτσι το Γραφείο παροχής υπηρεσιών ασφαλείας ως ένα εξαιρετικά πολύτιμο συνεργάτη, δημιουργώντας μια σταθερή και μακροχρόνια σχέση με προστιθέμενη αξία.

Επιτυγχάνεται βελτίωση που συνεισφέρει σε λιγότερη απώλεια. Λιγότερη απώλεια σε υπηρεσίες ή/και προϊόντα που δεν πληρούν τις προδιαγραμμένες απαιτήσεις. Αυτό ισχύει vice versa ο πελάτης ζητά και αγοράζει υπηρεσίες «custom made», προσαρμοσμένες σε κάθε επιχειρησιακή, διοικητική, γραφειοκρατική του ανάγκη.

Ενημερωμένο και εκπαιδευμένο προσωπικό: υπάρχει κοινή ενημέρωση/ αντίδραση ή/και δράση από όλο το προσωπικό, είτε αυτό είναι προσωπικό ασφαλείας είτε προσωπικού του οργανισμού που διαφυλάττετε.

Ανάμεσα σε άλλα:

• Ικανοποίηση ανθρώπινου δυναμικού της επιχείρησης.
• Διαμόρφωση καλύτερων συνθηκών εργασίας, βάση αναγνώρισης σημαντικών αναγκών για εκπαίδευση προσωπικού.
• Βελτίωση ικανοτήτων προσωπικού.
• Περισσότερη εμπλοκή του προσωπικού σε βελτιώσεις / ευαισθητοποίηση προσωπικού.
• Βελτίωση της παραγωγικότητας και της συνεργασίας μεταξύ των οργανισμών.
• Δεν υπάρχει σύγκρουση και ανταγωνισμός μεταξύ συστημάτων.
• Περισσότερο ολιστική προσέγγιση στην διαχείριση των επιχειρησιακών ρίσκων.\

• Λιγότερη γραφειοκρατία.
• Περισσότερο αποτελεσματικές εσωτερικές επιθεωρήσεις.

Έτσι κερδίζεται ένας «εσωτερικός» στόχος και παράλληλα ένας «εξωτερικός» στόχος. Με δύο λέξεις αποδοτικότητα και λειτουργικότητα και εδώ ταιριάζει το κλασικό με «ένα σμπάρο δύο  τρυγόνια». Ένα διασυνδεδεμένο σύστημα μεταξύ των οργανισμών είναι το επόμενο βήμα στην ολιστική διασφάλιση αμφότερων των οργανισμών που παρέχουν υπηρεσίες ασφάλειας και των οργανισμών που αγοράζουν τις υπηρεσίες αυτές σ’ ένα περιβάλλον με πολλές απαιτήσεις και πολύπλευρους κινδύνους και απειλές.

Ο Russell L. Ackoff  πρωτοπόρος επιστήμονας σε θέματα Διοίκησης έγραψε «για να διαχειριστείς ένα σύστημα αποτελεσματικά, είναι καλύτερα να επικεντρωθείς στη συνεργασία των μερών μεταξύ τους παρά στη συμπεριφορά του κάθε μέρους του συστήματος ξεχωριστά».