Dokumentacja SZBI: dokumenty, zapisy i dowody działania

Dokumentacja SZBI ma pomagać ludziom podejmować decyzje o bezpieczeństwie informacji i wykazywać, że przyjęte zasady działają. Potrzebne są zarówno dokumenty ustalające sposób pracy, jak i zapisy z jej wykonania. Sam komplet wzorów nie wystarczy. ISO/IEC 27001:2022 określa wymagania dla systemu zarządzania bezpieczeństwem informacji, a § 19 KRI nakłada na podmioty realizujące zadania publiczne własne obowiązki. Zakres dokumentacji trzeba ustalić dla konkretnej organizacji i jej celu.

Od czego zacząć listę dokumentów?

Poniższa tabela to praktyczny układ pracy, a nie pełny wykaz wymagań normy ani gotowy pakiet dla każdej JST lub firmy.

Zacznij od istniejących dokumentów. Jeżeli zasada jest aktualna i stosowana, można ją zachować. Jeżeli opisuje system wycofany trzy lata temu, trzeba ją poprawić i ustalić, kto odpowiada za kolejne aktualizacje.

Co zmienia cel zgodności z ISO/IEC 27001?

Gdy organizacja chce wykazać zgodność z ISO/IEC 27001, dokumentacja powinna odzwierciedlać wymagania normy, w tym ocenę i postępowanie z ryzykiem oraz deklarację stosowania (SoA). SoA pokazuje dobór zabezpieczeń i uzasadnienie ich stosowania albo wyłączenia; nie jest jedynie listą zakupionych produktów. Grupa praktyk audytowych ISO/IEC 27001 opisuje rolę SoA.

Wymagane przez normę informacje i potrzebne procedury mogą mieć różną formę, o ile da się nimi zarządzać i przedstawić dowody działania. Dobór zabezpieczeń wynika z ryzyka i zakresu systemu. Certyfikacja jest osobnym procesem prowadzonym przez jednostkę certyfikującą; napisanie dokumentacji nie oznacza uzyskania certyfikatu.

Co sprawdzić w jednostce publicznej?

KRI wymaga utrzymywania SZBI, aktualizowania regulacji wewnętrznych, inwentaryzacji sprzętu i oprogramowania, okresowych analiz ryzyka oraz audytu wewnętrznego bezpieczeństwa informacji co najmniej raz w roku. Te obowiązki wynikają z § 19 rozporządzenia. Dokumentacja JST powinna pozwalać wykazać, kto przyjął zasady, które systemy są objęte oceną, jakie ryzyka rozpoznano i czy działania naprawcze wykonano.

KRI i ISO/IEC 27001 nie są tą samą podstawą. JST może wykorzystać strukturę normy do uporządkowania SZBI, ale samo KRI nie nakazuje certyfikacji. Obowiązki z ustawy o KSC trzeba oceniać osobno po ustaleniu statusu podmiotu. Praktyczną sekwencję prac opisuje artykuł wdrożenie SZBI w JST.

Jak ocenić, czy dokumentacja jest użyteczna?

Weź jeden rzeczywisty proces, na przykład przywrócenie systemu po awarii, i prześledź go od zasady do dowodu wykonania. Czy wiadomo, kto podejmuje decyzję, gdzie jest aktualna instrukcja, kiedy ostatnio wykonano test i co poprawiono po jego wyniku? Podobnie sprawdź nadawanie uprawnień i obsługę incydentu. Luki w tym łańcuchu pokazują więcej niż liczba plików w katalogu.

Jeżeli dokumenty są nieaktualne lub niespójne, wdrożenie SZBI może uporządkować zakres, ryzyka, procedury i dowody. Gdy system już działa, audyt SZBI oceni jego stosowanie i wskaże poprawki. Skontaktuj się z Idealdata, aby ustalić właściwy zakres pracy.