Pari vuotta sitten me SAS Institutella päätimme panostaa Suomessa turvallisuussektorille. Olimme toki toimineet alalla ennenkin, mutta nyt toimintaa kehittääksemme, teimme investointeja ja palkkasimme joukkoomme uusia alan huippuammattilaisia.
Kun toimimme asiakkaiden kanssa turvallisuuden parissa, aloimme yhä enemmän miettiä myös oman toimintamme turvallisuutta. Työskentelykulttuuriimme on toki aina kuulunut turvallisuusnäkökulmien tarkka huomioiminen. Silti mietimme, voisimmeko tehdä toiminnastamme asiakkaille entistä läpinäkyvämpää.
Vastauksen tarjosi ISO/IEC 27001:2013 -sertifikaatti, joka takaa turvallisuudenhallintajärjestelmämme laadun. Sertifikaatti todistaa, että toimintamme on parhaiden käytäntöjen ja standardien mukaista. Kun toimintatapamme on dokumentoitu hyvin, myös asiakkaidemme on helpompi ymmärtää, miten pidämme huolta turvallisuudestamme.
Sertifikaatti sisältää 114 turvallisuusvaadetta
Projekti sertifikaatin hankkimiseksi käynnistyi vuosi sitten. Oli hienoa huomata, että prosessimme olivat jo ennestään hyvällä tasolla: pystyimme viemään auditointiprosessin läpi alle vuodessa. Sertifikaatin vaatimuksiin kuuluu 114 kohtaa, joita aivan kaikkia organisaation ei tarvitse täyttää. Päätimme kuitenkin kehittää toimintaamme niin, että saimme kaikki ruksit ruksattua.
Vaikka prosessi eteni nopeasti, emme suhtautuneet muutoksiin kevyesti. Tästä kielii esimerkiksi toimitilojemme remontti, joka oli hyvin kattava. Sertifikaatissahan ei ole kyse pelkästään tietoturvallisuudesta, vaan kokonaisvaltaisesta turvallisesta toimintatavasta, joka on tuotu näkyväksi osaksi jokapäiväistä työskentelyä.
Turvallisuuden hallinta jatkuu päivittäin
Koko prosessi oli yrityksellemme loistava mahdollisuus tarkastella omaa tekemistämme. Esiin ei tullut peikkoja, mutta tämän päivän yritystoimintaan liittyy niin paljon riskejä, ettei kenellekään ole pahitteeksi päivittää prosesseja aika ajoin.
Ehkä tärkein havainto, joka seurasi auditoinnista, oli se, että ymmärsimme organisaation turvallisuuden hallinnan olevan jatkuva prosessi. Nyt kun auditointi on tehty, keskitymme raportoimaan päivittäisessä työssä havaitsemiamme poikkeamia. Pienetkin väärät signaalit pitää kerätä, jotta saamme toiminnastamme dataa. Sen perusteella voimme tulevaisuudessa tehdä vielä parempia, analyyttisiä päätöksiä.
