Przejdź do treści
[email protected] +48 604 548 169
Idealdata

Słownik ISO/IEC 27001: SZBI, ryzyko i audyt

  • Dariusz Dziosa
  • aktualizacja:
  • 5 min czytania
Słownik pojęć systemu zarządzania bezpieczeństwem informacji

Przy wdrożeniu ISO/IEC 27001:2022 łatwo pomylić dokument, decyzję i dowód wykonania. Poniższy słownik wyjaśnia pojęcia używane w codziennej pracy nad systemem zarządzania bezpieczeństwem informacji. To praktyczne objaśnienia, a nie dosłowne definicje normy ani jej pełny wykaz wymagań.

System i informacja

Pojęcie Co oznacza w praktyce
SZBI / ISMS System zarządzania bezpieczeństwem informacji: odpowiedzialności, ocena ryzyka, zasady, działania i przeglądy, które organizacja utrzymuje i doskonali.
Zakres SZBI Granice systemu: jednostki, procesy, lokalizacje, usługi i zależności objęte zarządzaniem. Warto go ustalić przed wyborem zabezpieczeń.
Aktywo Zasób mający wartość dla organizacji, np. informacja, system, urządzenie, usługa lub wiedza pracownika.
Właściciel aktywa lub procesu Osoba albo rola odpowiedzialna za decyzje dotyczące danego zasobu lub procesu; nie musi samodzielnie administrować systemem.
Poufność Informacja jest dostępna tylko uprawnionym osobom lub podmiotom.
Integralność Informacja pozostaje poprawna i kompletna, a jej zmiany są kontrolowane.
Dostępność Uprawniony użytkownik może skorzystać z informacji i usługi wtedy, gdy są potrzebne.
Polityka bezpieczeństwa informacji Kierunek i zasady zatwierdzone przez kierownictwo; ich wykonanie trzeba pokazać w procesach i zapisach.

Te trzy właściwości — poufność, integralność i dostępność — pomagają opisać skutek zdarzenia. Utrata laptopa może naruszyć poufność, błędna zmiana danych integralność, a awaria zasilania dostępność. Jedno zdarzenie może dotyczyć kilku właściwości naraz.

Ryzyko i zabezpieczenia

Pojęcie Co oznacza w praktyce
Zagrożenie Możliwa przyczyna szkody, np. pożar, błąd człowieka albo działanie napastnika.
Podatność Słabość, którą zagrożenie może wykorzystać, np. brak przeglądu uprawnień lub nieprzetestowane kopie.
Ryzyko bezpieczeństwa informacji Niepewność co do zdarzenia i jego wpływu na cele organizacji; ocenia się je przy przyjętych kryteriach.
Ocena ryzyka Ustalenie scenariuszy, ich skutków i prawdopodobieństwa oraz porównanie wyników z kryteriami akceptacji.
Postępowanie z ryzykiem Decyzja, co zrobić z ocenionym ryzykiem, kto to wykona i jak sprawdzi wynik. Może obejmować zastosowanie zabezpieczeń.
Ryzyko rezydualne Ryzyko pozostałe po zastosowaniu wybranych działań; wymaga świadomej oceny i decyzji.
Zabezpieczenie / kontrola Środek organizacyjny, techniczny, fizyczny lub dotyczący ludzi, który pomaga zmienić ryzyko. Sama instalacja narzędzia nie dowodzi skuteczności.
Deklaracja stosowania (SoA) Dokument wiążący decyzje o zabezpieczeniach z oceną ryzyka i zakresem SZBI. Wyjaśnia, które kontrole z załącznika A mają zastosowanie, jakie są uzasadnienia oraz stan wdrożenia.

Załącznik A jest punktem odniesienia przy sprawdzaniu doboru zabezpieczeń. Nie oznacza, że każda organizacja musi wdrożyć każdą kontrolę w identyczny sposób. Przygotowanie SoA i innych zapisów omawiamy w liście dokumentacji SZBI.

Działanie i sprawdzanie systemu

Pojęcie Co oznacza w praktyce
Incydent bezpieczeństwa informacji Zdarzenie, które narusza lub może naruszyć bezpieczeństwo informacji; organizacja potrzebuje sposobu zgłoszenia, oceny i obsługi.
Ciągłość działania Zdolność utrzymania lub odtworzenia ważnych działań po zakłóceniu. Plan bez ćwiczeń daje słabszy dowód gotowości.
Zapis / dowód działania Ślad wykonanej czynności: wynik przeglądu uprawnień, testu odtworzenia, szkolenia albo decyzji o ryzyku.
Audyt wewnętrzny Systematyczne sprawdzenie przyjętych kryteriów i działania SZBI na podstawie dowodów; kończy się ustaleniami dla organizacji.
Niezgodność Niespełnienie wymagania, które ma zastosowanie do badanego zakresu. Trzeba wskazać kryterium i dowód, a nie tylko opinię audytora.
Działanie korygujące Usunięcie przyczyny stwierdzonej niezgodności i sprawdzenie, czy problem nie powraca.
Przegląd zarządzania Ocena SZBI przez kierownictwo na podstawie wyników, zmian i potrzebnych decyzji.
Certyfikacja Osobna ocena zgodności z normą prowadzona przez jednostkę certyfikującą; stworzenie dokumentacji ani pojedynczy audyt nie oznaczają certyfikatu.

W jednostce realizującej zadania publiczne trzeba dodatkowo odróżnić wymagania normy od obowiązków wynikających z § 19 KRI. KRI przewiduje m.in. utrzymywanie SZBI i audyt wewnętrzny bezpieczeństwa informacji nie rzadziej niż raz w roku; nie nakazuje certyfikacji ISO/IEC 27001. Status w ustawie o KSC ocenia się osobno.

Jeżeli po uporządkowaniu pojęć potrzebujesz planu prac, zobacz wdrożenie ISO/IEC 27001 albo wdrożenie SZBI. Działający system można poddać audytowi SZBI; zakres prac ustalimy przez kontakt.

  • #audyt
  • #iso/iec 27001
  • #szbi
  • #ryzyko

Przeczytaj również