Szkolenie Norma ISO 27001-2013 - 3 dni

Wymagania normy ISO/IEC 27001:2013

ISO/IEC 27001

PLAN prezentacji wstęp

Kierunek zmian w nowej normie ISO 27001

Wymagania normy ISO 27001

Na każdym etapie można zadawać pytania

wstęp

Podstawowe informacje o normach

Normy podstawowe ISO/IEC 27000: 2014 Systemy zarządzania bezpieczeństwem informacji Przegląd i terminologia ISO/IEC 27001: 2013 Systemy zarządzania bezpieczeństwem informacji. Wymagania ISO/IEC 27002: 2013 Praktyczne zasady zabezpieczania informacji

Inne normy powiązane

ISO/IEC 27005:2011 - Zarządzanie ryzykiem w bezpieczeństwie informacji

ISO/IEC 27006:2011 - Wymagania dla jednostek prowadzących audyt i certyfikację systemów zarządzania bezpieczeństwem informacji ISO 31000:2009 - Zarządzanie ryzykiem - Zasady i wytyczne

Dlaczego istnieje potrzeba zarządzania bezpieczeństwem informacji • 15000 kart pacjentów znalazło się na śmietniku • Zaginięcie w archiwum dokumentów dotyczących zgody właściciela na postawienie linii wysokiego napięcia naraziło spółkę na przegrany proces i duże straty finansowe • 25 pracowników z działu rozwoju przeszło nagle do konkurencji • dostawca nowego systemu obiecywał migrację danych ze starego systemu do nowego w 4 dni – migracja trwała 3 miesiące • Brak aktualnych planów z infrastrukturą podziemną spowodował zwiększenie kosztów inwestycji o 30%. Inwestor zerwał umowę i wygrał w sądzie duże odszkodowanie za poniesione straty. • Dyrektor Generalny Forda przeszedł do VW, biorąc ze sobą trochę dokumentów – planów rozwojowych

Dlaczego istnieje potrzeba zarządzania bezpieczeństwem informacji • Wprowadzanie tzw. ‚martwych dusz” do systemu informatycznego Zakładu Ubezpieczeń Społecznych • Listę osób kilkunastu milionów klientów sieci komórkowej w Moskwie można kupić na bazarze za 10$ na CD (po negocjacjach) • Dziennik Polski (Kraków): Od kilku dni policja wyjaśnia pochodzenie mapy przedstawiającej m.in. VIP-ów podczas ubiegłotygodniowych uroczystości w Auschitz-Birkenau. Mapę znaleziono w pociągu dwa dni przed obchodami. • Raport Departamentu Obrony USA stwierdza, że 88% ich komputerów było penetrowane. Skutecznie penetrowane były także systemy MON, Urzędu Rady Ministrów, Urzędu Ochrony Państwa, TPSA.

Jestem pewien, że istnieją lepsze sposoby na kamuflaż dla danych wrażliwych, ale mamy ograniczony budżet.

Odpowiedzialność i konsekwencje za informacje

Kierunek zmian w nowej normie ISO 27001

Zakres zmian

W nowej wersji standardu ISO 27001, która została opublikowana w 20013 roku, wprowadzono szereg zmian. Część z nich to zmiany kosmetyczne, jednak pojawia się także kilka istotnych modyfikacji, które powinny zostać uwzględnione przez organizację posiadające SZBI.

Nowy standard kładzie większy nacisk na pomiar i ocenę wydajności SZBI danej organizacji. Dużo więcej uwagi poświęca się tzw. kontekstowi organizacji. Zanim ustanowi się SZBI, organizacja powinna zidentyfikować i zrozumieć potrzeby oraz oczekiwania wszystkich zainteresowanych stron. Zainteresowane strony mogą obejmować klientów i dostawców. Ich wymagania zawarte mogą być w udokumentowanych kontraktach, zamówieniach, specyfikacjach, itp.

W nowym standardzie usunięto punkt dotyczący działań zapobiegawczych. Wynikało to z faktu, że podstawowy element SZBI czyli zarządzanie ryzykiem, obejmowało już podejmowanie działań zapobiegawczych i dodatkowe elementy były zbędne.

Ponadto w procesie zarządzania ryzykiem nie wymaga się już identyfikacji zagrożeń i podatności dla aktywów. Organizacji pozostawia się więcej swobody w doborze metodyki identyfikacji i oceny ryzyka. Wskazuje się jednocześnie standard ISO 31000 jako źródło dodatkowych wytycznych dotyczących zarządzania ryzykiem. Pojęcie właściciela aktywów zastąpione zostało właścicielem ryzyka, aby podkreślić kluczową odpowiedzialność.

Jakie zmiany wprowadza aktualizacja normy? ISO 27001 można podzielić na 3 obszary: - klauzule od 0 do 3, - klauzule od 4 do 10 i - załącznika A.

Klauzule 0 do 3: Nie jest już wymagane, aby Organizacja opierała swój SZBI na modelu PDCA.

Klauzule od 4 do 10: Klauzule od 4 do 10 są przeredagowane pod kątem zgodności z nowym "wzorcem" dla wszystkich norm dotyczących systemów zarządzania. Obecnie wymagania składają się z 7 rozdziałów, od 4 do 10.

Klauzula 4 wymaga od Organizacji podczas tworzenia SZBI wzięcia pod uwagę "kontekstu organizacji". Kontekst organizacji zawiera w sobie kwestie zewnętrzne i wewnętrzne oraz skupia się na interesach zainteresowanych stron i zgodności z wymaganiami prawnymi.

Klauzula 5.2 jasno określa wymagania polityki SZBI. Zmiany sprawiają, że wymogi polityki SZBI są bardziej spójne z innymi standardami i nawiązują do celów (klauzula 6.2).

Wymagania dotyczące "Nadzoru nad dokumentacją" oraz "Nadzoru nad zapisami„ zastąpione są wymaganiami w zakresie nadzoru nad „Udokumentowaną informacją”.

W aneksie A dokonano modyfikacji w zabezpieczeniach. Przede wszystkim mamy do czynienia z nowym podziałem zabezpieczeń na grupy. Zamiast 10 mamy teraz 14 grup zabezpieczeń: Część zabezpieczeń zostało zmodyfikowanych, połączonych lub doprecyzowanych. Mamy teraz 114 zamiast 133 zabezpieczeń.

Wprowadzono kilka nowych zabezpieczeń, m.in.: A.6.1.5 Bezpieczeństwo informacji w zarządzaniu projektami A.14.2.1 Polityka bezpieczeństwa prac rozwojowych A.14.2.5 Zasady projektowania bezpiecznych systemów A.14.2.6 Bezpieczne środowisko rozwojowe A.14.2.8 Testowanie bezpieczeństwa systemów

cd. A.15.1.3 Łańcuch dostaw technologii informacyjnych i telekomunikacyjnych A.16.1.4 Ocena i podejmowanie decyzji w sprawie zdarzeń związanych z bezpieczeństwem informacji A.16.1.5 Reagowanie na incydenty związane z bezpieczeństwem informacji A.17.2.1 Dostępniść środków przetwarzania informacji

Definicja informacji (Encyklopedia Powszechna PWN) INFORMACJA : obiekt abstrakcyjny, który w postaci zakodowanej może być przechowywany na nośniku danych, przesyłany np. głosem, falą elektromagnetyczną, prądem elektrycznym, przetwarzany i użyty do sterowania.

Definicja informacji (ISO 27002:2013) „INFORMACJA to aktyw, który, podobnie jak inne ważne aktywa biznesowe, ma dla instytucji wartość i dlatego należy go odpowiednio chronić.”

System informacyjny ≠ system informatyczny!!!

System zarządzania bezpieczeństwem informacji

≠ zarządzanie bezpieczeństwem systemów informatycznych!!!

Bezpieczeństwo informacji „Bezpieczeństwo informacji oznacza, że informacje są chronione przed szerokim zakresem zagrożeń w celu zapewnienia ciągłości działalności, ograniczenia strat i maksymalizacji zwrotu z inwestycji oraz działań biznesowych (rozwoju firmy)” Bezpieczeństwo informacji oznacza zachowanie:

POUFNOŚĆ

INTEGRALNOŚĆ

(confidentiality)

(integrity)

Zapewnienie, że informacje są dostępne tylko dla osób uprawnionych

Zagwarantowanie dokładności i kompletności informacji oraz metod ich przetwarzania

DOSTĘPNOŚĆ DOSTĘPNOŚĆ (availability) (availability)

Zapewnienie Zapewnienie upoważnionym upoważnionym użytkownikom użytkownikom dostępu dostępudo doinformacji informacji i izwiązanych związanychzznimi nimi zasobów, zasobów, zgodnie zgodniezzpotrzebami potrzebami

Rodzaje informacji objęte SZBI • Wewnętrzne – informacje, które nie powinny dotrzeć do konkurencji, ponieważ my tego nie chcemy. • Dotyczące konsumentów/pacjentów – informacje, które nie powinny być ujawnione, ponieważ oni tego nie chcą. • Informacje, które muszą być przekazywane innym partnerom (np. handlowym).

PODSTAWOWE DEFINICJE ZAGROŻENIE Potencjalna przyczyna niepożądanego incydentu, którego skutkiem może być szkoda dla systemu lub instytucji.

PODATNOŚĆ Słabość zasobu lub grupy zasobów, która może wykorzystana przez zagrożenie.

Przykłady zagrożeń dla informacji: • Człowiek – najsłabsze ogniwo (każdego można przekupić) – chronić centra kompetencyjne (identyfikacja kompetencji, odejście do konkurencji, dostępność kompetencji) • Nieautoryzowana informacja w Internecie • Dostęp fizyczny do stref chronionych (bramki) • Pracownik współpracujący z prasą • Rozmowy w miejscach publicznych • Zagubienie laptopa • Kradzież twardych dysków • Zagubione nośniki danych • Sprzątanie biur • Zasada czystego ekranu i biurka, tablice do prezentacji • Brak klauzul poufności w umowach i weryfikacji dostawców • Brak zarządzania kluczami do pomieszczeń

Przykłady zagrożeń dla informacji cd.: • Dokumenty wrażliwe, a drukowanie (brak nadzoru) • Brak procedur przeglądu stacji roboczych • Kopie zapasowe (brak regularności, nie robi się kopii dokumentów, właściwy nadzór – poza siedzibą, weryfikacja zapisu) • Przeciążanie danymi w celu wywołania awarii systemu lub sieci • Brak sprawdzania szyfrowania transakcji w Internecie (certyfikat bezpieczeństwa) • Brak planów awaryjnych (usuwanie skutków, zasilanie awaryjne)

Przykłady zagrożeń dla informacji cd.: • Używanie tego samego hasła przez wielu użytkowników • Stosowanie domyślnych nazw kont i haseł (zapamiętywanie w systemie operacyjnym) • Łamanie słabo zabezpieczonych haseł (powinien być odpowiednio długi łańcuch znaków, znaki specjalne i alfa – numeryczne) • Hasła nieodporne na metodę słownikową • Hasła na „żółtych karteczkach”

Wymagania ISO/IEC 27001

Technika informatyczna --Techniki bezpieczeństwa -- Systemy zarządzania bezpieczeństwem informacji. WYMAGANIA

4. Kontekst organizacji 4.1. Zrozumienie organizacji i jej kontekstu

Organizacja powinna określić zagadnienia zewnętrzne i wewnętrzne, które mają związek z jej przeznaczeniem, a wywierają wpływ na jej zdolność do osiągania zamierzonych rezultatów stosowanego systemu zarządzania bezpieczeństwem informacji.

4.2. Zrozumienie potrzeb i oczekiwań stron zainteresowanych Organizacja powinna określić: a) zainteresowane strony związane z systemem zarządzania bezpieczeństwem informacji; oraz b) wymagania tych zainteresowanych stron odnoszące się do bezpieczeństwa informacji.

Uwaga: Wymagania stron zainteresowanych mogą obejmować wymagania prawne i regulaminowe oraz zobowiązania umowne.

4.3. Określenie zakresu systemu zarządzania bezpieczeństwem informacji Organizacja powinna określić granice i stosowalność systemu zarządzania bezpieczeństwem informacji /SZBI/ aby ustanowić jego zakres wdrożenia. Określając ten zakres organizacja powinna uwzględnić: a) zagadnienia zewnętrzne i wewnętrzne o których mowa w 4.1; b) wymagania o których mowa w 4.2; oraz c) punkty styczne i zależności pomiędzy działaniami realizowanymi przez organizację, a realizowanymi przez inne organizacje. Zakres systemu powinien być dostępny jako informacje udokumentowane.

4.4. System zarządzania bezpieczeństwem informacji

Organizacja powinna ustanowić, wdrożyć, utrzymywać i ciągle doskonalić system zarządzania bezpieczeństwem informacji /SZBI/ zgodnie z wymaganiami niniejszej Normy Międzynarodowej.

5. Przywództwo 5.1. Przywództwo i zaangażowanie Najwyższe kierownictwo powinno wykazać przywództwo i zobowiązanie w odniesieniu do systemu zarządzania bezpieczeństwem informacji poprzez: a) zapewnienie ustanowienia polityki bezpieczeństwa informacji i celów dotyczących bezpieczeństwa informacji oraz ich kompatybilności z strategicznym kierunkiem tej organizacji; b) zapewnienie włączenia wymagań systemu zarządzania bezpieczeństwem informacji do procesów organizacji; c) zapewnienie dostępności zasobów niezbędnych dla systemu zarządzania bezpieczeństwem informacji; d) informowanie o znaczeniu efektywnego zarządzania bezpieczeństwem informacji oraz dostosowania się do wymagań systemu zarządzania bezpieczeństwem informacji;

5.1. Przywództwo i zaangażowanie c.d. e) zapewnienie osiągania zamierzonych rezultatów przez system zarządzania bezpieczeństwem informacji; f) kierowanie osobami i wspieranie ich przyczyniania się do efektywności systemu zarządzania bezpieczeństwem informacji; g) promowanie ciągłego doskonalenia; oraz h) wspieranie innych powiązanych stanowisk kierowniczych aby wykazać ich przywództwo odpowiednio do ich obszarów odpowiedzialności.

5.2. Polityka Najwyższe kierownictwo powinno ustanowić politykę bezpieczeństwa informacji, która: a) jest odpowiednia do celu organizacji; b) zawiera cele bezpieczeństwa informacji (patrz 6.2) lub określa ramy dla ustalenia celów bezpieczeństwa informacji; c) zawiera zobowiązanie do spełnienia odpowiednich wymagań związanych z bezpieczeństwem informacji; oraz d) zawiera zobowiązanie do ciągłego doskonalenia systemu zarządzania bezpieczeństwem informacji. Polityka bezpieczeństwa informacji powinna: e) być dostępna jako informacje udokumentowane; f) być podana do wiadomości w obrębie organizacji; oraz g) być dostępna dla stron zainteresowanych, stosownie do okoliczności.

5.3. Stanowiska, obowiązki i uprawnienia organizacyjne Najwyższe kierownictwo powinno zapewnić, aby uprawnienia i obowiązki dla stanowisk pozostających w związku z bezpieczeństwem informacji zostały przydzielone i podane do wiadomości. Najwyższe kierownictwo powinno przydzielić obowiązki i uprawnienia w celu: a)

zapewnienia że system zarządzania bezpieczeństwem informacji spełnia wymagania niniejszej Normy Międzynarodowej; oraz

b) raportowania o wynikach działalności systemu zarządzania bezpieczeństwem informacji do najwyższego kierownictwa.

POSTĘPOWANIE Z RYZYKIEM KOLEJNOŚĆ DZIAŁAŃ Powinno być! INWENTARYZACJA ZASOBÓW Co mamy chronić?

ANALIZA ZAGROŻEŃ Przed czym mamy chronić?

PLAN POSTĘPOWANIA Z RYZYKIEM Jak mamy chronić?

6. Planowanie 6.1. Działania odnoszące się do ryzyka i szans 6.1.1

Wymagania ogólne

Przy planowaniu dla systemu zarządzania bezpieczeństwem informacji organizacja powinna uwzględnić zagadnienia, o których mowa w punkcie 4.1 i wymagania, o których mowa w punkcie 4.2 oraz określić ryzyka i możliwości działania, które należy opanować, w celu: a) zapewnienia by system zarządzania bezpieczeństwem informacji mógł osiągać swoje zamierzone rezultaty; b) zapobiegania niepożądanym efektom lub ich zmniejszania; oraz c) osiągania ciągłego doskonalenia

6. Planowanie 6.1. Działania odnoszące się do ryzyka i szans 6.1.1

Wymagania ogólne cd.

Organizacja powinna zaplanować: d) działania w kierunku opanowania ryzyk i możliwości działania; oraz e) w jaki sposób: 1)

włączyć i wdrożyć te działania do procesów swojego systemu zarządzania bezpieczeństwem informacji; oraz

2)

ocenić efektywność tych działań.

6. Planowanie 6.1. Działania odnoszące się do ryzyka i szans 6.1.2

Szacowanie ryzyka bezpieczeństwa informacji

Organizacja powinna zdefiniować i stosować proces szacowania ryzyka bezpieczeństwa informacji, który: a) ustanawia i utrzymuje kryteria bezpieczeństwa informacji obejmujące: 1) kryteria akceptacji ryzyka; oraz 2) kryteria dla dokonywania szacowania ryzyka bezpieczeństwa informacji; b) zapewnia że ponowione szacowanie ryzyka bezpieczeństwa informacji daje zgodne, poprawne i porównywalne wyniki;

6. Planowanie 6.1. Działania odnoszące się do ryzyka i szans 6.1.2

Szacowanie ryzyka bezpieczeństwa informacji cd.

c) identyfikuje ryzyka bezpieczeństwa informacji: 1) stosować proces szacowania ryzyka bezpieczeństwa informacji do identyfikacji ryzyk związanych z utratą poufności, integralności i dostępności w stosunku do informacji objętych zakresem systemu zarządzania bezpieczeństwem informacji; oraz 2) zidentyfikować właścicieli ryzyk;

6. Planowanie 6.1. Działania odnoszące się do ryzyka i szans 6.1.2 d)

e)

Szacowanie ryzyka bezpieczeństwa informacji c.d.

analizuje ryzyka bezpieczeństwa informacji: 1) oszacować potencjalne konsekwencje mogące wystąpić w przypadku materializacji ryzyk zidentyfikowanych w 6.1.2 c) 1); 2) oszacować realistyczne prawdopodobieństwo wystąpienia zagrożeń zidentyfikowanych w 6.1.2 c) 1); oraz 3) wyznaczyć poziomy ryzyka; ocenia ryzyka bezpieczeństwa informacji: 1) porównać wyniki analizy ryzyka z kryteriami ryzyka ustanowionymi w 6.1.2 a); oraz 2) uszeregować ryzyka z analizy według priorytetu dla celów postępowania z ryzykiem.

Organizacja powinna przechowywać udokumentowane informacje o procesie szacowania ryzyka bezpieczeństwa informacji.

6. Planowanie 6.1. Działania odnoszące się do ryzyka i szans 6.1.3

Postępowanie z ryzykiem bezpieczeństwa informacji

Organizacja powinna zdefiniować i stosować proces postępowania z ryzykiem bezpieczeństwa informacji, aby: a) wybrać odpowiednie opcje postępowania z ryzykiem bezpieczeństwa informacji, biorąc pod uwagę wyniki szacowania ryzyka; b) określić wszystkie zabezpieczenia konieczne do wdrożenia wybranych opcji postępowania z ryzykiem bezpieczeństwa informacji; c)

porównać zabezpieczenia określone w 6.1.3 b) powyżej z tymi w Załączniku A i zweryfikować czy nie pominięto żadnych koniecznych zabezpieczeń;

6. Planowanie 6.1. Działania odnoszące się do ryzyka i szans 6.1.3 Postępowanie z ryzykiem bezpieczeństwa informacji c.d. d) sporządzić Deklarację Stosowania zawierającą konieczne zabezpieczenia wraz z uzasadnieniem ich wyboru, informacją czy zostały wdrożone czy nie oraz uzasadnieniem wyłączenia zabezpieczeń z Załącznika A; e)

sformułować plan postępowania z ryzykiem bezpieczeństwa informacji; oraz

f ) uzyskać zatwierdzenie planu postępowania z ryzykiem bezpieczeństwa informacji i akceptację resztkowego ryzyka bezpieczeństwa informacji przez właścicieli ryzyka. Organizacja powinna przechowywać udokumentowane informacje o procesie postępowania z ryzykiem bezpieczeństwa informacji. UWAGA Proces szacowania ryzyka bezpieczeństwa informacji i postępowania z ryzykiem w niniejszej Normie Międzynarodowej współgra z zasadami i ogólnymi wytycznymi podanymi w normie ISO 31000

6.2.

Cele bezpieczeństwa informacji i planowanie ich osiągania

Organizacja powinna ustanowić cele bezpieczeństwa informacji dla odpowiednich funkcji i poziomów. Cele bezpieczeństwa informacji powinny: a) być zgodne z polityką bezpieczeństwa informacji; b) być mierzalne (o ile to wykonalne); c) uwzględniać mające zastosowanie wymagania bezpieczeństwa informacji i wyniki szacowania ryzyka oraz postępowania z ryzykiem; d) być podane do wiadomości; oraz e) być aktualizowane stosownie do okoliczności.

6.2. Cele bezpieczeństwa informacji i planowanie ich osiągania Organizacja powinna przechowywać udokumentowane informacje o celach bezpieczeństwa informacji. Przy planowaniu sposobu osiągania celów bezpieczeństwa informacji organizacja powinna określić: f ) co będzie robione; g) jakie zasoby będą wymagane; h) kto będzie odpowiedzialny; i) kiedy będzie to ukończone; oraz j) w jaki sposób będą oceniane rezultaty.

7. Wsparcie 7.1. Zasoby

Organizacja powinna określić i zapewnić zasoby potrzebne do ustanowienia, wdrożenia, utrzymania i ciągłego doskonalenia systemu zarządzania bezpieczeństwem informacji.

7.2.

Kompetencje

Organizacja powinna: a)

określić potrzebne kompetencje osób wykonujących pod jej kontrolą prace mające wpływ na jej wyniki działalności w dziedzinie bezpieczeństwa informacji; b) zapewnić kompetentność tych osób w oparciu o odpowiednie wykształcenie, szkolenie lub doświadczenie; c) w stosownych przypadkach podejmować działania w kierunku uzyskania koniecznych kompetencji i oceniać efektywność podjętych działań; oraz d) przechowywać odpowiednie udokumentowane informacje jako dowód kompetencji.

UWAGA Stosowne działania mogą obejmować na przykład zapewnienie szkolenia, przydzielenie opiekuna lub przeniesienie w odniesieniu do aktualnych pracowników albo wynajęcie lub zawarcie umowy z kompetentnymi osobami.

7.3.

Świadomość

Osoby wykonujące pracę pod kontrolą organizacji powinny być świadome: a) polityki bezpieczeństwa informacji; b) swojego wkładu do skuteczności systemu zarządzania bezpieczeństwem informacji, w tym korzyści wynikających z poprawionych wyników działalności w dziedzinie bezpieczeństwa informacji; oraz c) konsekwencji niedochowania zgodności z wymaganiami systemu zarządzania bezpieczeństwem informacji.

7.4.

Komunikacja

Organizacja powinna określić potrzeby w zakresie komunikacji wewnętrznej i zewnętrznej właściwe dla systemu zarządzania bezpieczeństwem informacji, w tym: a) co powinno się komunikować; b) kiedy powinno się komunikować; c) komu powinno się komunikować; d) kto powinien komunikować; oraz e) procesy za pomocą których komunikacja powinna być realizowana.

7.5. Informacje udokumentowane 7.5.1

Postanowienia ogólne

System zarządzania bezpieczeństwem informacji danej organizacji powinien zawierać: a) udokumentowane informacje wymagane niniejszą Normą Międzynarodową; oraz b) udokumentowane informacje określone przez tę organizację jako konieczne dla zapewnienia efektywności systemu zarządzania bezpieczeństwem informacji. UWAGA Zakres udokumentowanych informacji dla systemu zarządzania bezpieczeństwem informacji może się różnić pomiędzy poszczególnymi organizacjami ze względu na: 1) 2) 3)

wielkość organizacji i rodzaj jej działalności, procesów, produktów i usług; złożoność procesów i ich wzajemnych oddziaływań; oraz kompetencje osób.

7.5. Informacje udokumentowane 7.5.2

Opracowanie i aktualizacja

Przy tworzeniu i aktualizowaniu udokumentowanych informacji organizacja powinna zapewnić: a) właściwą identyfikację i opis (np. tytuł, data, autor lub numer referencyjny); b) właściwy format (np. język, wersja oprogramowania, grafika) i media (np. papierowe, elektroniczne); oraz c) odpowiedni przegląd i zatwierdzenie dla zapewnienia przydatności i adekwatności.

7.5. Informacje udokumentowane 7.5.3

Nadzorowanie udokumentowanej informacji

Udokumentowane informacje wymagane przez system zarządzania bezpieczeństwem informacji i niniejszą Normę Międzynarodową powinny być nadzorowane dla zapewnienia, że: a) są one dostępne i zdatne do użytku, kiedykolwiek i gdziekolwiek są potrzebne; oraz b)

są one adekwatnie chronione (np. przed utratą poufności, nieprawidłowym użyciem lub utratą integralności).

7.5. Informacje udokumentowane 7.5.3

Nadzorowanie udokumentowanej informacji cd.

W ramach nadzoru udokumentowanych informacji organizacja powinna się odnieść do następujących działań, stosownie do okoliczności: c) dystrybucja, dostęp, wyszukiwanie i użytkowanie; d) gromadzenie i zabezpieczenie, w tym zabezpieczenie czytelności; e) nadzorowanie zmian (np. nadzorowanie wersji); oraz f)

przechowywanie i rozmieszczenie.

Udokumentowane informacje pochodzenia zewnętrznego, określone przez organizację jako potrzebne do planowania i eksploatowania systemu zarządzania bezpieczeństwem informacji, powinny zostać zidentyfikowane stosownie do sytuacji oraz nadzorowane.

7.5. Informacje udokumentowane Wymagane normą informacje udokumentowane 4.3 - Określenie zakresu systemu zarządzania bezpieczeństwem informacji Zakres systemu powinien być dostępny w formie informacji udokumentowanej 5.2 - Polityka Polityka bezpieczeństwa informacji powinna być: e) dostępna jako udokumentowana informacja 6.1.2 – Szacowanie ryzyka w bezpieczeństwie informacji Organizacja powinna zachować udokumentowane informacje o procesie szacowania ryzyka w bezpieczeństwie informacji 6.1.3 – Postępowanie z ryzykiem bezpieczeństwa informacji Organizacja powinna zachować udokumentowane informacje o procesie postępowania z ryzykiem bezpieczeństwa informacji

7.5. Informacje udokumentowane Wymagane normą informacje udokumentowane 6.2 – Cele bezpieczeństwa informacji i planowania ich osiągnięcia Organizacja powinna zachować udokumentowane informacje dotyczące celów bezpieczeństwa informacji 7.2 – Kompetencje Organizacja powinna: d) zachować odpowiednie udokumentowane informacje jako dowód kompetencji 8.1 – Planowanie i sterowanie eksploatacyjne Organizacja powinna zachować udokumentowane informacje w zakresie pozwalającym na uzyskanie zaufania, że procesy zostały zrealizowane tak jak planowano. 8.2 – Szacowanie ryzyka bezpieczeństwa informacji Organizacja powinna zachować udokumentowane informacje o wynikach szacowania ryzyka w bezpieczeństwie informacji

7.5. Informacje udokumentowane Wymagane normą informacje udokumentowane 8.3 – Postępowanie z ryzykiem bezpieczeństwa informacji Organizacja powinna zachować udokumentowane informacje na temat wyników postępowania z ryzykiem w bezpieczeństwie informacji 9.1 – Monitorowanie, pomiar, analiza i ocena Organizacja powinna zachować odpowiednie udokumentowane informacje jako dowód wyników monitorowania i pomiaru 9.2 – Audyt wewnętrzny Organizacja powinna: g) zachować udokumentowane informacje jako dowód realizacji programu (programów) audytów i wyników audytów.

7.5. Informacje udokumentowane Wymagane normą informacje udokumentowane 9.3 – Przegląd zarządzania Organizacja powinna zachować udokumentowane informacje jako dowód wyników przeglądów zarządzania. 10.1 – Niezgodności i działania korygujące Organizacja powinna zachować udokumentowane jako dowód: a) charakteru niezgodności i wszelkich podjętych w ich następstwie działań, oraz b) wyników działań korygujących.

8 Działania operacyjne 8.1. Planowanie i nadzór nad działaniami operacyjnymi Organizacja powinna planować, wdrażać i nadzorować procesy konieczne do spełnienia wymagań bezpieczeństwa informacji oraz wdrażać działania określone w 6.1. Organizacja powinna także wdrażać plany osiągania celów bezpieczeństwa informacji określonych w 6.2. Organizacja powinna zachować udokumentowane informacje w zakresie koniecznym do wzbudzenia zaufania odnośnie do tego, że te procesy zostały przeprowadzone zgodnie z planem. Organizacja powinna w miarę potrzeby nadzorować planowane zmiany i dokonywać przeglądu następstw niezamierzonych zmian, podejmując działania dla uniknięcia jakichkolwiek niekorzystnych skutków. Organizacja powinna zapewnić, aby procesy oddane w outsourcing były określone i nadzorowane.

8.2. Szacowanie ryzyka bezpieczeństwa informacji Organizacja powinna dokonywać szacowania ryzyka bezpieczeństwa informacji w planowanych odstępach czasu albo wtedy gdy proponowane jest wystąpienie znaczących zmian, a także wtedy, gdy wystąpią istotne zmiany biorąc pod uwagę kryteria ustalone w 6.1.2 a). Organizacja powinna zachować udokumentowane informacje o wynikach szacowania ryzyka bezpieczeństwa informacji.

8.3. Postępowanie z ryzykiem bezpieczeństwa informacji

Organizacja powinna wdrożyć plan postępowania z ryzykiem bezpieczeństwa informacji. Organizacja powinna utrzymywać udokumentowane informacje dotyczące wyników postępowania z ryzykiem bezpieczeństwa informacji

9. Ocena wyników 9.1. Monitorowanie, pomiar, analiza i ocena Organizacja powinna oceniać wyniki działalności w dziedzinie bezpieczeństwa informacji i efektywność systemu zarządzania bezpieczeństwem informacji. Organizacja powinna określić: a) co trzeba monitorować i mierzyć, a w tym procesy bezpieczeństwa informacji i zabezpieczenia; b) metody monitorowania, pomiaru, analizy i oceny, stosownie do sytuacji, celem zapewnienia prawidłowych wyników; UWAGA: Aby wybrane metody można było uznać za poprawne, powinny one dawać porównywalne i powtarzalne wyniki.

9. Ocena wyników 9.1. Monitorowanie, pomiar, analiza i ocena c) kiedy należy prowadzić monitorowanie i pomiar; d) kto ma monitorować i mierzyć; e) kiedy należy analizować i oceniać wyniki monitorowania i pomiaru; oraz f)

kto powinien analizować i oceniać te wyniki.

Organizacja powinna przechowywać odpowiednie udokumentowane informacje jako dowód wyników monitorowania i pomiaru.

9.1. Audity wewnętrzne Organizacja powinna przeprowadzać audyty wewnętrzne w zaplanowanych odstępach czasu celem zapewnienia informacji odnośnie do tego, czy system zarządzania bezpieczeństwem informacji: a) jest zgodny z: 1) własnymi wymaganiami organizacji dotyczącymi jej systemu zarządzania bezpieczeństwem informacji; oraz 2) wymaganiami niniejszej Normy Międzynarodowej; b)

jest efektywnie wdrożony i utrzymywany.

9.1. Audity wewnętrzne C.d. d) określić kryteria i zakres każdego audytu; e) wybierać audytorów i przeprowadzać audyty w sposób zapewniający obiektywność i niezależność procesu audytowego; f ) zapewnić raportowanie wyników audytów odpowiedniemu kierownictwu; oraz g) przechowywać udokumentowane informacje jako dowód programu audytu(-ów) i wyników audytów. Organizacja powinna: c) zaplanować, ustanowić, wdrożyć i utrzymywać program audytu(-ów), w tym częstotliwość, metody, zakresy obowiązków, wymagania w zakresie planowania i raportowanie. Program audytu powinien brać pod uwagę znaczenie rozpatrywanych procesów i wyniki poprzednich audytów;

9.2. Przegląd zarządzania Najwyższe kierownictwo powinno dokonywać przeglądów systemu zarządzania bezpieczeństwem informacji danej organizacji w zaplanowanych odstępach czasu celem zapewnienia jego nieprzerwanej przydatności, adekwatności i efektywności. Przegląd wykonywany przez kierownictwo powinien obejmować rozpatrzenie: a) statusu działań od poprzednich przeglądów kierowniczych; b) zmian w zakresie zagadnień zewnętrznych i wewnętrznych mających znaczenie dla systemu zarządzania bezpieczeństwem informacji;

9.2. Przegląd zarządzania c) informacji zwrotnych o wynikach działalności w dziedzinie bezpieczeństwa nformacji, w tym o trendach w zakresie: 1) 2) 3) 4)

niezgodności i działań korygujących; wyników monitorowania i pomiaru; wyników audytów; oraz spełnienia celów bezpieczeństwa informacji;

d) informacji zwrotnych od stron zainteresowanych; e) wyników szacowania ryzyka i statusu planu postępowania z ryzykiem; oraz f ) możliwości w zakresie ciągłego doskonalenia.

9.2. Przegląd zarządzania Rezultaty przeglądu kierowniczego powinny obejmować decyzje odnoszące się do możliwości w zakresie ciągłego doskonalenia i wszelkich potrzeb wprowadzenia zmian do systemu zarządzania bezpieczeństwem informacji. Organizacja powinna przechowywać udokumentowane informacje jako dowód rezultatów przeglądów kierowniczych.

10. Doskonalenie 10.1. Niezgodności i działania korygujące W przypadku wystąpienia niezgodności organizacja powinna: a) zareagować na tę niezgodność, oraz stosownie do sytuacji: 1)

podjąć działanie dla jej opanowania i skorygowania; oraz

2)

zająć się konsekwencjami;

b) ocenić potrzebę podjęcia działania dla wyeliminowania przyczyn niezgodności, aby się nie powtórzyła lub nie wystąpiła w innym miejscu, poprzez: 1) dokonanie przeglądu tej niezgodności; 2)

określenie przyczyn niezgodności; oraz

3)

określenie czy nie występują lub nie mogą potencjalnie wystąpić podobne niezgodności;

10.1. Niezgodności i działania korygujące C.d. c) wdrożyć każde potrzebne działanie; d) dokonać przeglądu każdego pojętego działania korygującego; oraz e)

w razie potrzeby dokonać zmian w systemie zarządzania bezpieczeństwem informacji.

Działania korygujące powinny być współmierne do skutków wchodzących w rachubę niezgodności. Organizacja powinna przechowywać udokumentowane informacje jako dowód: f ) charakteru niezgodności i wszelkich działań podjętych w ich następstwie, oraz g) wyników każdego działania korygującego.

10.2. Ciągłe doskonalenie

Organizacja powinna ustawicznie doskonalić przydatność, adekwatność i efektywność systemu zarządzania bezpieczeństwem informacji.

Ćwiczenie

Ćwiczenie -Każdy z uczestników szklenia: określi „kontekst organizacji” dla Organizacji, którą reprezentuje, poda 2 przykładowe cele bezpieczeństwa informacji - Poda informacje nadzorowane wymagane w niniejszej normie

ZABEZPIECZENIE (safeguard, control) Praktyka, procedura lub mechanizm redukujący ryzyko

Zabezpieczenia o rodowodzie prawnym – Prawo ochrony własności intelektualnej – Ochrona dokumentów organizacji – Ochrona danych osobowych

Zabezpieczenia wywodzące się z dobrych praktyk – Dokument formułujący politykę bezpieczeństwa informacji – Przydział obowiązków związanych z bezpieczeństwem informacji – Edukacja i szkolenie w sferze bezpieczeństwa informacji – Rejestrowanie naruszeń bezpieczeństwa – Zarządzanie ciągłością operacji

Deklaracja stosowania

Załącznik A (normatywny) Porównawcze cele stosowania zabezpieczeń i zabezpieczenia Cele stosowania zabezpieczeń i zabezpieczenia ujęte w Tablicy A.1 wynikają bezpośrednio z tych wymienionych w ISO/IEC 27002:2013[1], rozdziały 5 do 18, i są z nimi zgodne; należy je stosować w kontekście punktu 6.1.3.

Polityki bezpieczeństwa informacji

A.5.1

Prowadzenie zarządu w zakresie bezpieczeństwa informacji

Cel: Zapewnienie prowadzenia zarządu i wsparcia w zakresie bezpieczeństwa informacji zgodnie z wymaganiami biznesowymi i właściwymi przepisami prawa oraz regulacjami wewnętrznymi.

A.5.1.1

A.5.1.2

Polityki bezpieczeństwa informacji

Zabezpieczenie Zestaw polityk dotyczących bezpieczeństwa informacji powinien zostać zdefiniowany, zatwierdzony przez kierownictwo, opublikowany i podany do wiadomości pracownikom oraz właściwym stronom zewnętrznym.

Przegląd polityk bezpieczeństwa informacji

Zabezpieczenie Polityki bezpieczeństwa informacji będą poddawane przeglądom w zaplanowanych odstępach czasu albo w razie wystąpienia istotnych zmian celem zapewnienia ich nieprzerwanej przydatności, adekwatności i skuteczności.

Deklaracja stosowania

A.5

Organizacja bezpieczeństwa informacji

A.6.1

Organizacja wewnętrzna

Cel: Ustanowienie ramowych wytycznych dla kierownictwa w zakresie inicjowania oraz kontroli wdrożenia i stosowania bezpieczeństwa informacji w obrębie organizacji. Stanowiska i zakresy odpowiedzialności

Zabezpieczenie Należy określić i przydzielić wszystkie zakresy odpowiedzialności dotyczące bezpieczeństwa informacji.

A.6.1.2

Rozgraniczenie obowiązków

Zabezpieczenie Wchodzące w konflikt obowiązki i obszary odpowiedzialności powinny zostać oddzielone dla ograniczenia sposobności do nieupoważnionej lub niezamierzonej modyfikacji albo nadużycia aktywów organizacji.

A.6.1.3

Kontakt z władzami

Zabezpieczenie Odpowiednie kontakty z właściwymi władzami powinny być utrzymywane.

A.6.1.4

Kontakt z specjalnymi grupami zainteresowania

Zabezpieczenie Odpowiednie kontakty z właściwymi grupami zainteresowania lub innymi forami specjalizującymi się w bezpieczeństwie i stowarzyszeniami zawodowymi powinny być utrzymywane.

A.6.1.5

Bezpieczeństwo informacji w zarządzaniu projektami

A.6.1.1

Zabezpieczenie Bezpieczeństwo informacji powinno być uwzględnione w zarządzaniu projektami, bez względu na typ projektu.

Deklaracja stosowania

A.6

Urządzenia mobilne i praca na odległość

Cel: Zapewnienie bezpieczeństwa pracy na odległość i używania urządzeń mobilnych.

A.6.2.1

A.6.2.2

Polityka dla urządzeń mobilnych

Praca na odległość

Zabezpieczenie Należy przyjąć politykę i zastosować wspomagające środki bezpieczeństwa w celu opanowania ryzyk wprowadzanych przez stosowanie z urządzeń mobilnych. Zabezpieczenie Należy wdrożyć politykę i zastosować wspomagające środki bezpieczeństwa w celu ochrony informacji otwieranych, przetwarzanych lub zapisywanych w miejscach świadczenia pracy na odległość.

Deklaracja stosowania

A.6.2

A.7.1

Bezpieczeństwo zasobów ludzkich Przed zatrudnieniem

Cel: Zapewnienie, aby pracownicy i wykonawcy rozumieli swoją odpowiedzialność i byli odpowiedni do zadań, których pełnienie zamierza się im powierzyć.

A.7.1.1

A.7.1.2

Postępowanie sprawdzające

Zasady i warunki zatrudnienia

Zabezpieczenie Wszystkich kandydatów do zatrudnienia należy poddać weryfikacji pod kątem wykształcenia i doświadczenia zgodnie z odpowiednimi przepisami prawa, regulacjami i etyką oraz proporcjonalnie do wymagań biznesowych, klasyfikacji informacji, do których uzyskają dostęp oraz dostrzeżonych ryzyk.

Zabezpieczenie Uzgodnienia kontraktowe z pracownikami i wykonawcami powinny określać zakresy odpowiedzialności dotyczące bezpie-czeństwa informacji dla nich i dla organizacji.

Deklaracja stosowania

A.7

W trakcie trwania zatrudnienia

Cel: Zapewnienie, aby pracownicy i wykonawcy byli świadomi swoich zakresów odpowiedzialności dotyczących bezpieczeństwa informacji i je spełniali.

A.7.2.1

A.7.2.2

A.7.2.3

Odpowiedzialność kierownictwa

Zabezpieczenie Kierownictwo powinno wymagać od wszystkich pracowników i wykonawców stosowania zasad bezpieczeństwa informacji zgodnie z ustanowionymi w organizacji politykami i procedurami.

Świadomość, wykształcenie i szkolenie

Zabezpieczenie Wszyscy pracownicy organizacji, a w stosownych przypadkach także wykonawcy powinni zostać uświadomieni, otrzymać odpowiednie wykształcenie i szkolenie oraz być regularnie informowani o aktualizacjach polityk i procedur obowiązujących w organizacji, stosownie do wykonywanej przez nich pracy.

Proces dyscyplinarny

Zabezpieczenie Powinien istnieć formalny i podany do wiadomości proces dyscyplinarny, uruchomiany w stosunku do pracowników, którzy dopuścili się naruszenia bezpieczeństwa informacji.

Deklaracja stosowania

A.7.2

Zakończenie lub zmiana zatrudnienia

Cel: Ochrona interesów organizacji, jako część procesu zmiany lub zakończenia zatrudnienia.

A.7.3.1

Odpowiedzialność związana z zakończeniem lub zmianą zatrudnienia

Zabezpieczenie Należy zdefiniować, podać do wiadomości pracownikom i wykonawcom oraz egzekwować zakresy odpowiedzialności i obowiązki, pozostające w mocy po zakończeniu lub zmianie zatrudnienia.

Deklaracja stosowania

A.7.3

Ćwiczenie

Zarządzanie aktywami

A.8.1

Odpowiedzialność za aktywa

Cel: Zidentyfikowanie aktywów organizacji i zdefiniowanie odpowiednich obowiązków dotyczących ich ochrony

A.8.1.1

Inwentaryzacja aktywów

Zabezpieczenie Należy zidentyfikować aktywa związane z informacją i środkami przetwarzania informacji, a ich spis powinien zostać sporządzony i utrzymywany.

A.8.1.2

Własność aktywów

Zabezpieczenie Aktywa utrzymywane w spisie powinny stanowić własność.

Akceptowalne użycie aktywów

Zabezpieczenie Zasady akceptowalnego użycia informacji oraz aktywów związanych z informacjami i środkami przetwarzania informacji powinny być określone, udokumentowane i wdrożone.

Zwrot aktywów

Zabezpieczenie Wszyscy pracownicy i użytkownicy reprezentujący strony zewnętrzne powinni zwrócić wszelkie posiadane aktywa organizacji z chwilą ustania stosunku pracy albo zakończenia ich kontraktu lub umowy.

A.8.1.3

A.8.1.4

Deklaracja stosowania

A.8

Cel: Zapewnienie, uzyskiwania przez informacje poziomu ochrony odpowiedniego do ich znaczenia dla organizacji.

A.8.2.1

A.8.2.2

A.8.2.3

Klasyfikacja informacji

Zabezpieczenie Informacje powinny być klasyfikowane pod kątem wymagań prawnych, wartości, stopnia krytyczności i wrażliwości na nieautoryzowane ujawnienie lub modyfikację.

Oznaczanie infor-macji

Zabezpieczenie Należy opracować i wdrożyć odpowiedni zestaw procedur do oznaczania informacji, zgodnie ze schematem klasyfikacji informacji przyjętym przez organizację.

Postępowanie z informacjami

Zabezpieczenie Należy opracować i wdrożyć procedury postępowania z informacjami, zgodnie ze schematem klasyfikacji informacji przyjętym przez organizację.

Deklaracja stosowania

A.8.2 Klasyfikacja informacji

Cel: Zapobieganie nieautoryzowanemu ujawnieniu, modyfikacji, usunięciu lub zniszczeniu informacji przechowywanych na nośnikach.

A.8.3.1

A.8.3.2

A.8.3.3

Zarządzanie nośnikami wymiennymi

Likwidacja nośników

Transportowanie nośników fizycznych

Zabezpieczenie Należy wdrożyć procedury zarządzania nośnikami wymiennymi, zgodnie ze schematem klasyfikacji przyjętym przez organizację. Zabezpieczenie Nośniki, które nie będą dłużej potrzebne, należy likwidować w sposób bezpieczny, z wykorzystaniem formalnych procedur. Zabezpieczenie Nośniki zawierające informacje należy zabezpieczyć przed nieautoryzowanym dostępem, niewłaściwym użyciem lub uszkodzeniem podczas transportu.

Deklaracja stosowania

A.8.3 Obsługa nośników

A.9.1

Kontrola dostępu Wymagania biznesowe wobec kontroli dostępu

Cel: Ograniczenie dostępu do informacji i urządzeń przetwarzających informacje.

A.9.1.1

A.9.1.2

Polityka kontroli dostępu

Dostęp do sieci i usług sieciowych

Zabezpieczenie Polityka kontroli dostępu powinna być ustanowiona, udokumentowana i poddawana przeglądowi w oparciu o wymagania prowadzonej działalności i bezpieczeństwa informacji Zabezpieczenie Użytkownicy powinni mieć dostęp tylko do takich sieci i usług sieciowych, do których otrzymali określoną autoryzację.

Deklaracja stosowania

A.9

A.9.2

Zarządzanie dostępem użytkowników

Rejestracja i wyrejestrowanie użytkowników

Zabezpieczenie Należy wdrożyć formalny proces rejestracji i wyrejestrowania użytkowników dla umożliwienia przyznawania i odbierania praw dostępu.

A.9.2.2

Umożliwienie dostępu użytkownikom

Zabezpieczenie Należy wdrożyć formalny proces umożliwiania użytkownikom dostępu w celu przyznawania lub odbierania praw dostępu dla wszystkich rodzajów użytkowników do wszystkich systemów i usług.

A.9.2.3

Zarządzanie uprzywilejowanymi prawami dostępu

Zabezpieczenie Należy ograniczać i kontrolować przydzielanie i korzystanie z uprzywilejowanych praw dostępu.

A.9.2.4

Zarządzanie tajnymi informacjami uwierzytelniającymi użytkowników

Zabezpieczenie Należy kontrolować przydzielanie niejawnych informacji uwie-rzytelniających za pomocą formalnego procesu zarządzania.

A.9.2.5

Przegląd praw dostępu użytkowników

Zabezpieczenie Właściciele aktywów powinni przeprowadzać przeglądy praw dostępu użytkowników w regularnych odstępach czasu.

Odbieranie lub modyfikowanie praw dostępu

Zabezpieczenie Prawa dostępu wszystkich pracowników i użytkowników reprezentujących strony zewnętrzne do informacji i środków przetwarzania informacji należy odebrać z chwilą ustania stosunku pracy lub zakończenia ich kontraktu lub umowy albo zmodyfikować zgodnie z zaistniałymi zmianami.

A.9.2.1

A.9.2.6

Deklaracja stosowania

Cel: Zapewnienie autoryzowanego dostępu użytkowników i uniemożliwienie nieautoryzowanego dostępu do systemów i usług.

A.9.3

Odpowiedzialność użytkowników

A.9.3.1

A.9.4

Korzystanie z niejawnych informacji uwierzytelniających

Zabezpieczenie Należy wymagać od użytkowników przestrzegania praktyk organizacji w zakresie korzystania z niejawnych informacji uwierzytelniających

Kontrola dostępu do systemów i aplikacji

Cel: Zapobieganie nieautoryzowanemu dostępowi do systemów i aplikacji. A.9.4.1

Ograniczanie dostępu do informacji

Zabezpieczenie Dostęp do informacji i funkcji systemowych programów narzędziowych należy ograniczyć zgodnie z polityką kontroli dostępu.

A.9.4.2

Procedury bezpiecznego logowania się

Zabezpieczenie Zawsze gdy wymaga tego polityka kontroli dostępu, dostęp do systemów i aplikacji należy kontrolować za pomocą procedur bezpiecznego logowania się.

A.9.4.3

System zarządzania hasłami

Zabezpieczenie Systemy zarządzania hasłami powinny być interaktywne i zapewniać stosowanie haseł odpowiedniej jakości.

A.9.4.4

Używanie uprzywilejowanych programów użytkowych

Zabezpieczenie Należy ograniczać i ściśle kontrolować używanie programów użytkowych, które umożliwiają obejście zabezpieczeń systemów lub aplikacji.

A.9.4.5

Kontrola dostępu do kodu źródłowego programu

Zabezpieczenie Należy ograniczać dostęp do kodu źródłowego programu.

Deklaracja stosowania

Cel: Zapewnić rozliczalność użytkowników w celu ochrony ich informacji uwierzytelniających

Kryptografia

A.10.1 Zabezpieczenia kryptograficzne Cel: Zapewnienie prawidłowego i efektywnego używania kryptografii w celu ochrony poufności, autentyczności i/lub integralności informacji.

A.10.1.1

A.10.1.2

Polityka korzystania z zabezpieczeń kryptograficznych

Zarządzanie kluczami

Zabezpieczenie Należy opracować i wdrożyć politykę korzystania zabezpieczeń kryptograficznych do ochrony informacji.

z

Zabezpieczenie Należy opracować i wdrożyć politykę dotyczącą korzystania, ochrony i czasu życia kluczy kryptograficznych dla całego czasu ich życia.

Deklaracja stosowania

A.10

Bezpieczeństwo fizyczne i środowiskowe

A.11.1 Obszary bezpieczne Cel: Zapobieganie nieautoryzowanemu fizycznemu dostępowi, uszkodzeniu i zagłuszaniu informacji organizacji i jej środków przetwarzania informacji.

A.11.1.1

Fizyczna granica obszaru bezpiecznego

Zabezpieczenie Należy określić i stosować granice obszaru bezpiecznego w celu ochrony obszarów zawierających informacje i środki przetwarzania informacji.

A.11.1.2

Fizyczne zabezpieczenia wejścia

Zabezpieczenie Należy chronić obszary bezpieczne za pomocą odpowiednich fizycznych zabezpieczeń wejścia celem zapewnienia, żeby tylko upoważniony personel miał do nich dostęp.

A.11.1.3

Zabezpieczenie biur, pomieszczeń i urządzeń

Zabezpieczenie Należy zaprojektować i stosować ochronę fizyczną biur, pomieszczeń i urządzeń.

Deklaracja stosowania

A.11

Cel: Zapobieganie nieautoryzowanemu fizycznemu dostępowi, uszkodzeniu i zagłuszaniu informacji organizacji i jej środków przetwarzania informacji.

A.11.1.4

Ochrona przed zagrożeniami zewnętrznymi i środowiskowymi

A.11.1.5

Praca w obszarach bezpiecznych

A.11.1.6

Obszary dostaw i załadunku

Zabezpieczenie Należy zaprojektować i stosować ochronę fizyczną przed skutkami klęsk żywiołowych, złośliwych ataków lub wypadków.

Zabezpieczenie Należy zaprojektować i stosować procedury do pracy w obszarach bezpiecznych. Zabezpieczenie Punkty dostępu, takie jak obszary dostaw i załadunku oraz inne punkty, przez które osoby nieupoważnione mogą wejść do posesji, należy kontrolować, a w miarę możliwości odizolować od środków przetwarzania informacji w celu uniknięcia nieautoryzowanego dostępu.

Deklaracja stosowania

A.11.1 Obszary bezpieczne

A.11.2 Sprzęt

Rozmieszczenie i ochrona sprzętu

Zabezpieczenie Sprzęt należy rozmieścić i chronić celem obniżenia ryzyka wynikającego z zagrożeń i niebezpieczeństw środowiskowych oraz możliwości nieautoryzowanego dostępu.

Systemy wspomagające

Zabezpieczenie Sprzęt należy chronić przed awariami zasilania i innymi zakłóceniami spowodowanymi przez awarie systemów wspomagających.

A.11.2.3

Bezpieczeństwo okablowania

Zabezpieczenie Okablowanie zasilające i telekomunikacyjne służące do przesyłania danych lub wspomagające usługi informacyjne należy chronić przed przejęciem, zakłóceniami lub uszkodzeniem.

A.11.2.4

Konserwacja sprzętu

Zabezpieczenie Sprzęt należy prawidłowo konserwować, aby zapewnić jego ciągłą dostępność i integralność.

A.11.2.5

Usuwanie aktywów

Zabezpieczenie Sprzęt, informacje lub oprogramowanie nie mogą być wynoszone poza teren bez uprzedniego pisemnego upoważnienia.

A.11.2.6

Bezpieczeństwo sprzętu i aktywów poza terenem organizacji

Zabezpieczenie Środki bezpieczeństwa należy stosować do aktywów znajdujących się na obcym terenie z uwzględnieniem różnych zagrożeń wynikłych z wykonywania pracy poza terenem organizacji.

A.11.2.1

A.11.2.2

Deklaracja stosowania

Cel: Zapobieganie utracie, uszkodzeniu, kradzieży lub naruszeniu aktywów oraz przerwaniu działalności organizacji.

Cel: Zapobieganie utracie, uszkodzeniu, kradzieży lub naruszeniu aktywów oraz przerwaniu działalności organizacji.

A.11.2.7

Bezpieczna likwidacja sprzętu lub przywrócenie go do użytku

Zabezpieczenie Wszystkie elementy sprzętu zawierające nośniki informacji należy sprawdzić, aby upewnić się, że wszelkie dane wrażliwe i licencjonowane oprogramowanie zostały z nich usunięte lub bezpiecznie nadpisane przed likwidacją lub przywróceniem do użytku.

A.11.2.8

Sprzęt użytkownika bez dozoru

Zabezpieczenie Użytkownicy powinni się upewnić, że sprzęt pozostawiony bez dozoru ma odpowiednią ochronę.

A.11.2.9

Polityka czystego biurka i czystego ekranu

Zabezpieczenie Należy przyjąć politykę czystego biurka dla dokumentów papierowych i wymiennych nośników informacji oraz politykę czystego ekranu dla środków przetwarzania informacji.

Deklaracja stosowania

A.11.2 Sprzęt

Ćwiczenie

Bezpieczeństwo eksploatacji

A.12.1 Procedury eksploatacyjne i zakresy odpowiedzialności Cel: Zapewnienie prawidłowej i bezpiecznej eksploatacji środków przetwarzania informacji. Udokumentowan e procedury eksploatacyjne

Zabezpieczenie Procedury eksploatacyjne powinny być udokumentowane i dostępne dla wszystkich użytkowników, którym są potrzebne.

Zarządzanie zmianami

Zabezpieczenie Zmiany w organizacji, procesach biznesowych, środkach przetwarzania informacji i systemach, mające wpływ na bezpieczeństwo powinny być nadzorowane.

A.12.1.3

Zarządzanie pojemnością

Zabezpieczenie Wykorzystanie zasobów należy monitorować, regulować oraz sporządzać projekcje potrzeb pojemności systemu celem zapewnienia jego wymaganej wydajności.

A.12.1.4

Oddzielanie środowisk rozwojowych, testowych i eksploatacyjnych

Zabezpieczenie Należy oddzielać środowiska rozwojowe, testowe i eksploatacyjne, aby zredukować ryzyko nieupoważnionego dostępu do środowiska eksploatacyjnego lub wprowadzenia w nim zmian.

A.12.1.1

A.12.1.2

Deklaracja stosowania

A.12

Cel: Zapewnienie ochrony informacji i środków przetwarzania informacji przed złośliwym oprogramowaniem.

A.12.2.1

Zabezpieczenia przed złośliwym oprogramowanie m

Zabezpieczenie Należy wdrożyć zabezpieczenia do wykrywania, zapobiegania i przywracania do normalnego stanu celem ochrony przed złośliwym oprogramowaniem, w połączeniu z odpowiednim uświadomieniem użytkowników.

A.12.3 Kopie zapasowe Cel: Ochrona przed utratą danych.

A.12.3.1

Zapasowe kopie informacji

Zabezpieczenie Należy wykonywać i regularnie testować zapasowe kopie informacji, oprogramowania i obrazów systemu zgodnie z ustaloną polityką wykonywania kopii zapasowych.

Deklaracja stosowania

A.12.2 Ochrona przed złośliwym oprogramowaniem

Cel: Rejestrowanie zdarzeń i generowanie dowodów.

Rejestrowanie zdarzeń

Zabezpieczenie Należy utworzyć, utrzymywać i regularnie przeglądać dzienniki zdarzeń do zapisywania czynności użytkowników, wyjątków, defektów i zdarzeń związanych z bezpieczeństwem informacji.

A.12.4.2

Ochrona informacji w dziennikach

Zabezpieczenie Należy chronić urządzenia rejestrujące i informacje zawarte w dziennikach przed nieumiejętnym manipulowaniem przez osoby niepowołane oraz przed nieupoważnionym dostępem.

A.12.4.3

Dzienniki administratora i operatora

Zabezpieczenie Czynności administratora systemu i operatora systemu powinny być rejestrowane, a dzienniki chronione i regularnie przeglądane.

Synchronizacja zegarów

Zabezpieczenie Zegary wszystkich odpowiednich systemów przetwarzania infor-macji w obrębie organizacji lub domeny bezpieczeństwa powinny być zsynchronizowane z jednym wzorcowym źródłem czasu.

A.12.4.1

A.12.4.4

Deklaracja stosowania

A.12.4 Rejestrowanie i monitorowanie

A.12.5 Nadzorowanie oprogramowania eksploatacyjnego

A.12.5.1

Instalacja oprogramo-wani a w systemach eksploatacyjnych

Zabezpieczenie Należy wdrożyć procedury sprawowania nadzoru nad instalacją oprogramowania w systemach eksploatacyjnych.

A.12.6 Zarządzanie podatnością techniczną Cel: Uniemożliwianie wykorzystania podatności technicznych.

A.12.6.1

Zarządzanie podatnościami technicznymi

A.12.6.2

Ograniczenia dotyczące instalacji oprogramowania

Zabezpieczenie Należy na bieżąco uzyskiwać informacje o podatnościach technicznych używanych systemów informacyjnych, oceniać narażenie organizacji na te podatności i podejmować stosowne środki celem zniwelowania towarzyszącego im ryzyka. Zabezpieczenie Należy ustanowić i wdrożyć zasady oprogramowania przez użytkowników.

instalowania

A.12.7 Uwarunkowania audytów systemów informacyjnych Cel: Zminimalizowanie wpływu czynności audytowych na systemach eksploatacyjnych.

A.12.7.1

Zabezpieczenia audytowe systemów informacyjnych

Zabezpieczenie Należy starannie zaplanować i uzgodnić wymagania i czynności audytowe pociągające za sobą weryfikację systemów eksploatacyjnych, aby zminimalizować przerwy w procesach biznesowych.

Deklaracja stosowania

Cel: Zapewnienie integralności systemów eksploatacyjnych.

Bezpieczeństwo wymiany informacji

A.13.1 Zarządzanie bezpieczeństwem sieci Cel: Zapewnienie ochrony informacji w sieciach oraz używanych w nich pomocniczych środkach przetwarzania informacji.

A.13.1.1

A.13.1.2

A.13.1.3

Zabezpieczenia sieciowe

Zabezpieczenie Należy zarządzać sieciami i nadzorować je, aby chronić informacje w systemach i aplikacjach.

Bezpieczeństwo usług sieciowych

Zabezpieczenie Należy określić mechanizmy bezpieczeństwa, poziomy obsługi i wymagania zarządcze dla wszystkich usług sieciowych i zawrzeć je w umowach o świadczenie usług sieciowych, niezależnie od tego czy te usługi są realizowane środkami własnymi lub w ramach outsourcingu.

Oddzielanie w sieciach

Zabezpieczenie Należy oddzielać w sieciach grupy usług informacyjnych, użytkowników i systemy informatyczne.

Deklaracja stosowania

A.13

Cel: Utrzymanie bezpieczeństwa informacji przesyłanej w obrębie organizacji i z dowolnym podmiotem zewnętrznym. A.13.2.1

Polityki i procedury przesyłania informacji

Zabezpieczenie Należy wprowadzić formalne polityki, procedury i zabezpieczenia dla ochrony przesyłu informacji poprzez wykorzystanie wszystkich typów środków wymiany informacji.

A.13.2.2

Umowy o przesyłaniu informacji

Zabezpieczenie Umowy powinny odnosić się do bezpiecznego przesyłu informacji biznesowych pomiędzy organizacją a stronami zewnętrznymi.

A.13.2.3

System poczty elektronicznej

Zabezpieczenie Informacje przesyłane pocztą elektroniczną powinny być odpowiednio chronione.

A.13.2.4

Umowy o poufności lub nieujawnianiu informacji

Zabezpieczenie Należy określić, regularnie przeglądać i udokumentować wymagania wobec umów o poufności lub nieujawnianiu informacji, odzwierciedlające potrzeby organizacji w zakresie ochrony informacji.

Deklaracja stosowania

A.13.2 Przesyłanie informacji

Pozyskiwanie, rozwój i utrzymanie systemów

A.14.1 Wymagania bezpieczeństwa systemów informacyjnych Cel: Zapewnienie, że bezpieczeństwo informacji jest integralną częścią systemów informacyjnych przez cały okres ich życia. Obejmuje to także wymagania względem systemów informacyjnych realizujących usługi za pośrednictwem sieci publicznych. A.14.1.1

Analiza i specyfikacja wymagań bezpieczeństwa informacji

Zabezpieczenie Wymagania odnoszące się do bezpieczeństwa informacji powinny być zawarte w wymaganiach dla nowych systemów informacyjnych lub dla rozszerzeń istniejących systemów informacyjnych.

A.14.1.2

Zabezpieczanie usług aplikacyjnych w sieciach publicznych

Zabezpieczenie Informacje związane z usługami aplikacyjnymi przepuszczane przez sieci publiczne należy chronić przed oszukańczym działaniem, sporami w ramach umów oraz nieupoważnionym ujawnieniem i modyfikacją.

A.14.1.3

Ochrona transakcji w ramach usług aplikacyjnych

Zabezpieczenie Informacje związane z transakcjami w ramach usług aplikacyjnych należy chronić celem uniemożliwienia niepełnej transmisji, błędami rutingu, nieupoważnionymi zmianami wiadomości, nieupoważnionym ujawnieniem, nieupoważnionym skopiowaniem wiadomości lub ponownym odtworzeniem.

Deklaracja stosowania

A.14

Cel: Zapewnienie że bezpieczeństwo informacji jest projektowane i wdrażane w rozwojowym cyklu życia systemów informacyjnych.

A.14.2.1

Polityka bezpiecznego rozwoju

Zabezpieczenie Należy ustanowić i stosować zasady rozwoju oprogramowania i systemów oraz stosować je w pracach rozwojowych prowadzonych wewnątrz Organizacji

A.14.2.2

Procedury nadzorowania zmian w systemach

Zabezpieczenie Należy nadzorować zmiany w systemach podczas rozwojowego cyklu życia poprzez stosowanie formalnych procedur nadzorowania zmian.

A.14.2.3

Przegląd techniczny aplikacji po zmianach platformy operacyjnej

Zabezpieczenie Przy zmianach platformy operacyjnej należy dokonać przeglądu aplikacji o krytycznym znaczeniu dla prowadzonej działalności i przetestować je dla zapewnienia, że nie ma to negatywnego wpływu na działalność organizacji czy bezpieczeństwo.

A.14.2.4

Ograniczenia zmian w pakietach oprogramowania

Zabezpieczenie Należy zniechęcać do wprowadzania modyfikacji w pakietach oprogramowania, ograniczyć je do koniecznych zmian, a wszelkie zmiany należy ściśle nadzorować..

A.14.2.5

Zasady projektowania bezpiecznych systemów

Zabezpieczenie Należy ustanowić, udokumentować, utrzymywać i stosować zasady projektowania bezpiecznych systemów oraz stosować je do wszystkich prac implementacyjnych nad systemami informacyjnymi.

Deklaracja stosowania

A.14.2 Bezpieczeństwo w procesach rozwojowych i wsparcia

Cel: Zapewnienie że bezpieczeństwo informacji jest projektowane i wdrażane w rozwojowym cyklu życia systemów informacyjnych.

A.14.2.6

Bezpieczne środowisko rozwojowe

Zabezpieczenie Organizacje powinny ustanowić i odpowiednio chronić bezpieczne środowiska rozwojowe do podejmowania starań w kierunku rozwoju i integracji systemu, obejmujące cały rozwojowy cykl życia systemu.

A.14.2.7

Rozwój w outsourcingu

Zabezpieczenie Organizacji powinna nadzorować i monitorować działalność rozwojową systemu oddanego w outsourcing.

A.14.2.8

Testowanie bezpieczeństwa systemu

Zabezpieczenie Należy prowadzić testowanie związanych z bezpieczeństwem opracowywania.

A.14.2.9

Testowanie odbiorowe systemu

Zabezpieczenie Należy ustanowić programy testowania odbiorowego i odnośne kryteria dla nowych systemów informacyjnych, ich uaktualnień oraz nowych wersji.

funkcjonalności podczas ich

A.14.3 Dane testowe Cel: Zapewnienie ochrony danych użytych do testowania. A.14.3.1

Ochrona danych testowych

Zabezpieczenie Dane testowe należy nadzorować.

ostrożnie

dobierać,

chronić

i

Deklaracja stosowania

A.14.2 Bezpieczeństwo w procesach rozwojowych i wsparcia

Relacje z dostawcami

A.15.1 Bezpieczeństwo informacji w relacjach z dostawcami Cel: Zapewnienie ochrony aktywów organizacji do których mają dostęp dostawcy.

A.15.1.1

Polityka bezpieczeństwa informacji dla relacji z dostawcami

Zabezpieczenie Należy uzgodnić z dostawcami i udokumentować wymagania względem bezpieczeństwa informacji celem zniwelowania ryzyk towarzyszących dostępowi dostawców do aktywów organizacji.

A.15.1.2

Odniesienie do bezpieczeństwa w umowach z dostawcami

Zabezpieczenie Należy ustanowić wszelkie odpowiednie wymagania względem bezpieczeństwa informacji i uzgodnić je z każdym dostawcą, który może mieć dostęp do informacji organizacji, przetwarzać lub komunikować te informacje lub dostarczać infrastrukturę IT dla tych informacji.

A.15.1.3

Łańcuch dostaw techniki informatycznej i wymiany informacji

Zabezpieczenie Umowy z dostawcami powinny zawierać wymagania odnoszące się do ryzyk bezpieczeństwa informacji towarzyszących usługom z dziedziny techniki informatycznej i wymiany informacji oraz łańcucha dostaw produktu.

Deklaracja stosowania

A.15

Cel: Utrzymanie uzgodnionego poziomu bezpieczeństwa informacji i dostaw usług zgodnie z umowami zawartymi z dostawcami.

A.15.2.1

A.15.2.2

Monitorowanie i przegląd usługach świadczonych przez dostawców Zarządzanie zmianami w usługach świadczonych przez dostawców

Zabezpieczenie Organizacje powinny regularnie monitorować, przeglądać i audytować dostarczanie usług przez dostawców.

Zabezpieczenie Należy zarządzać zmianami w świadczeniu usług przez dostawców, włączając w to utrzymanie i ulepszanie istniejących polityk i procedur bezpieczeństwa informacji oraz zabezpieczeń, z uwzględnieniem stopnia krytyczności wchodzących w rachubę informacji biznesowych, systemów i procesów oraz ponownego szacowania ryzyka.

Deklaracja stosowania

A.15.2 Zarządzanie dostarczaniem usług

Zarządzanie bezpieczeństwem informacji

A.16.1 Zarządzanie incydentami związanymi z bezpieczeństwem informacji i ulepszeniami Cel: Zapewnienie spójnego i efektywnego podejścia do zarządzania incydentami związanymi z bezpieczeństwem informacji, włącznie z wymianą informacji o zdarzeniach związanych z bezpieczeństwem i słabych stronach. A.16.1.1

Zakresy obowiązków i procedury

Zabezpieczenie Należy ustanowić zakresy obowiązków i procedury w ramach zarządzania dla zapewnienia szybkiej, efektywnej i uporząd-kowanej reakcji na incydenty związane z bezpieczeństwem informacji.

A.16.1.2

Zgłaszanie zdarzeń związanych z bezpieczeństwe m informacji

Zabezpieczenie Zdarzenia związane z bezpieczeństwem informacji należy zgłaszać poprzez odpowiednie kanały kierownicze tak szybko, jak to możliwe.

A.16.1.3

Zgłaszanie słabych stron bezpieczeństwa informacji

Zabezpieczenie Należy zobowiązać pracowników i wykonawców korzystających z systemów i usług informacyjnych organizacji do zwracania uwagi na wszystkie zaobserwowane lub podejrzewane słabe strony bezpieczeństwa informacji w systemach lub usługach oraz do ich zgłaszania.

Deklaracja stosowania

A.16

Cel: Zapewnienie spójnego i efektywnego podejścia do zarządzania incydentami związanymi z bezpieczeństwem informacji, włącznie z wymianą informacji o zdarzeniach związanych z bezpieczeństwem i słabych stronach. A.16.1.4

Szacowanie zdarzeń związanych z bezpieczeństw em informacji i decyzja

Zabezpieczenie Należy szacować zdarzenia związane z bezpieczeństwem informacji i podejmować decyzje o tym, czy zaklasyfikować je do incydentów związanych z bezpieczeństwem informacji.

A.16.1.5

Reakcja na incydenty związane z bezpieczeństw em informacji

Zabezpieczenie Na incydenty związane z bezpieczeństwem informacji należy reagować zgodnie z udokumentowanymi procedurami.

A.16.1.6

Wyciąganie wniosków z incydentów związanych z bezpieczeństwe m informacji

Zabezpieczenie Wiedzę uzyskaną z analizy i rozwiązywania incydentów związanych z bezpieczeństwem informacji należy wykorzystywać do obniżenia prawdopodobieństwa wystąpienia lub skutków przyszłych incydentów.

A.16.1.7

Gromadzenie dowodów

Zabezpieczenie Organizacja powinna określić i stosować procedury do identyfikacji, gromadzenia, pozyskiwania i ochrony informacji, które mogą służyć jako dowody.

Deklaracja stosowania

A.16.1 Zarządzanie incydentami związanymi z bezpieczeństwem informacji i ulepszeniami

Ćwiczenie

Aspekty bezpieczeństwa informacji w zarządzaniu ciągłością działania

A.17.1 Ciągłość bezpieczeństwa informacji Cel: Ciągłość bezpieczeństwa informacji powinna być wbudowana w systemy zarządzania ciągłością działania organizacji. A.17.1.1

Planowanie ciągłości bezpieczeństwa informacji

Zabezpieczenie Organizacja powinna określić swoje wymagania w zakresie bezpieczeństwa informacji i ciągłości zarządzania bezpie-czeństwem informacji w niekorzystnych sytuacjach, np. podczas kryzysu lub kataklizmu.

A.17.1.2

Wdrażanie ciągłości bezpieczeństwa informacji

Zabezpieczenie Organizacja powinna ustanowić, udokumentować, wdrożyć i utrzymywać procesy, procedury i zabezpieczenia, aby zapewnić wymagany poziom ciągłości bezpieczeństwa informacji podczas niepomyślnych sytuacji.

A.17.1.3

Weryfikacja, przegląd i ocena ciągłości bezpieczeństwa informacji

Zabezpieczenie Organizacja powinna w regularnych odstępach czasu weryfikować ustanowione i wdrożone zabezpieczenia dotyczące ciągłości bezpieczeństwa informacji celem zapewnienia, że są one prawidłowe i efektywne podczas niepomyślnych sytuacji.

Deklaracja stosowania

A.17

Cel: Zapewnienie dostępności środków przetwarzania informacji. A.17.2.1

Dostępność środków przetwarzania informacji

Zabezpieczenie Środki przetwarzania informacji należy realizować z nadmiarowością wystarczającą do spełnienia wymagań dostępności.

Deklaracja stosowania

A.17.2 Rezerwowanie

Ćwiczenie

A.18

Zgodność

Cel: Uniknięcie naruszeń zobowiązań prawnych, ustawowych, regulaminowych lub umownych związanych z bezpieczeństwem informacji oraz wszelkich wymagań dotyczących bezpieczeństwa. A.18.1.1

Identyfikacja obowiązującego ustawodawstwa i wymagań umownych

Zabezpieczenie Wszystkie odnośne wymagania prawne, ustawowe, regulaminowe, umowne oraz podejście organizacji do kwestii spełnienia tych wymagań należy wyraźnie zidentyfikować, udokumentować i aktualizować dla każdego systemu informacyjnego i dla organizacji.

A.18.1.2

Prawa własności intelektualnej

Zabezpieczenie Należy wdrożyć odpowiednie procedury celem zapewnienia zgodności z wymaganiami prawnymi, regulaminowymi i umownymi związanymi z prawem własności intelektualnej i używaniem prawnie zastrzeżonych produktów programowych.

A.18.1.3

Ochrona zapisów

Zabezpieczenie Zapisy należy chronić przed utratą, zniszczeniem, sfałszowaniem, nieuprawnionym dostępem oraz nieuprawnionym rozpow-szechnieniem, zgodnie z wymaganiami prawnymi, regulami-nowymi, umownymi i biznesowymi.

A.18.1.4

Prywatność i ochrona informacji umożliwiających ujawnienie tożsamości

Zabezpieczenie W stosownych przypadkach należy zapewnić prywatność oraz ochronę informacji umożliwiających ujawnienie tożsamości, zgodnie z odpowiednim prawodawstwem i uregulowaniami.

A.18.1.5

Regulacje dotyczące zabezpieczeń kryptograficznych

Zabezpieczenie Zabezpieczenia kryptograficzne powinny być stosowane zgodnie z wszelkimi odpowiednimi uzgodnieniami, prawodawstwem i regulacjami.

Deklaracja stosowania

A.18.1 Zgodność z wymaganiami prawnymi i umownymi

Cel: Zapewnienie że bezpieczeństwo informacji jest wdrożone i działa zgodnie z politykami i procedurami organizacyjnymi. A.18.2.1

Niezależny przegląd bezpieczeństwa informacji

Zabezpieczenie Podejście organizacji do zarządzania bezpieczeństwem informacji i jego wdrożenie (tj. cele stosowania zabezpieczeń, zabezpieczenia, polityki, procesy i procedury związane z bezpieczeństwem informacji) należy poddawać niezależnym przeglądom w zaplanowanych odstępach czasu lub w razie wystąpienia istotnych zmian.

A.18.2.2

Zgodność z politykami bezpieczeństwa i normami

Zabezpieczenie Kierownicy powinni regularnie dokonywać przeglądów zgodności przetwarzania informacji i procedur w swoich obszarach odpowiedzialności z odpowiednimi politykami bezpieczeństwa, normami oraz wszelkimi innymi wymaganiami związanymi z bezpieczeństwem.

A.18.2.3

Przegląd zgodności technicznej

Zabezpieczenie Systemy informacyjne należy poddawać regularnym przeglądom na zgodność z politykami organizacji dotyczącymi bezpieczeństwa informacji i normami.

Deklaracja stosowania

A.18.2 Przeglądy bezpieczeństwa informacji

Ćwiczenie

Audyt wewnętrzny

Audyt systematyczny, niezależny i udokumentowany proces uzyskiwania dowodu z audytu oraz jego obiektywnej oceny w celu określenia stopnia spełnienia kryteriów audytu

Audyt – badanie systematyczne – działanie systematyczne – działanie według ustalonego planu audytu – systematyczna weryfikacja: •

założeń

•

ich realizacji

123

Audyt – badanie niezależne audytor nie może: –

audytować własnej pracy

audytor nie powinien: –

podlegać audytowanemu

–

być przełożonym audytowanego

–

uczestniczyć częściowo przy realizacji danego procesu operacyjnego

124

Audyt – badanie udokumentowane Zapisywanie: - badanych dokumentów, - nazwisk i stanowisk osób, z którymi rozmawiano, - dowodów niewłaściwego postępowania, - zauważonych incydentów - spostrzeżeń, które można wykorzystać do doskonalenia.

125

Cele audytu OKREŚLENIE ZGODNOŚCI Z KRYTERIAMI AUDYTU •stwierdzenie zgodności lub niezgodności elementów systemu zarządzania z określonymi wymaganiami, •ustalenie skuteczności wdrożonego systemu zarządzania, •umożliwienie audytowanemu poprawy jego systemu zarządzania, •spełnienie wymagań wynikających z przepisów, •certyfikacja systemu zarządzania.

126

Kryteria audytu Zestaw polityk, procedur lub wymagań, stosowanych jako odniesienie. UWAGA Kryteria audytu są stosowane jako odniesienie, z którym porównuje się dowody z audytu.

127

Dowód z audytu Zapisy, stwierdzenie faktów lub inne informacje, które są istotne dla kryteriów audytu i możliwe do zweryfikowania. UWAGA Dowód z audytu może być jakościowy i ilościowy.

128

Przykładowe dowody z audytu • Temperatura w serwerowni wynosi 25 stopni i przewyższa o 2 stopnie C temperaturę podaną w kryteriach określonych w instrukcji IJ2. • Brak przeglądu dzienników logów, zgodnie z Deklaracją stosowania. • Używane do szkoleń wyposażenie w postaci komputerów nie posiada zapisów z przeglądów oprogramowania czego wymaga procedura PR B2.

129

Ćwiczenie „fakt czy domniemanie”

Pan Kowalski, współpracujący z firmą XYZ, miał umówione na 10 rano spotkanie w biurze Pana Nowaka w sprawie negocjacji warunków dużego zamówienia. W drodze do jego biura poślizgnął się na świeżo wypastowanej podłodze i w skutek upadku doznał silnego stłuczenia nogi. W czasie, kiedy Pan Nowak został poinformowany o zdarzeniu Pan Kowalski jechał do szpitala na prześwietlenie. Pan Nowak zadzwonił do szpitala zasięgnąć informacji, ale nikt nic nie wiedział na temat Pana Kowalskiego. Być może Pan Nowak zadzwonił do niewłaściwego szpitala.

Co audytujemy – założenia, zasady, metody określone w: • Polityce Bezpieczeństwa Informacji, • Wymaganiach prawnych i umowach, • Politykach, • Instrukcjach, • Deklaracji stosowania • innych dokumentach systemu zarządzania (plany).

132

Co audytujemy – realizację i wdrażanie założeń, zasad i metod • oględziny (zapoznanie się z dokumentami), • znajomość założeń, zasad i metod (realizowanie dokumentów w praktyce), • sprawdzenie dokumentacji wyników - zapisy. – skuteczność założeń, zasad i metod • skuteczność działań, • zgodność wyników z przyjętymi założeniami, • konsekwentne prowadzenie działań. 133

Co audytujemy Prowadząc audyt nie zapomnij o obszarach związanych z przetwarzaniem informacji elektronicznej (serwerownie, okablowanie, monitoring, instalacje pomocnicze, sprzęt , itp.) !!! Prowadzą audyt tych obszarów należy zapewnić odpowiednie kwalifikacje i kompetencje audytorów.

134

Ustalenia z audytu Wyniki oceny zebranych dowodów z audytu w stosunku do kryteriów audytu. UWAGA Ustalenia z audytu mogą wskazywać albo na zgodność, albo na niezgodność z kryteriami audytu lub na możliwości doskonalenia.

135

Wniosek z audytu

Wynik audytu, przedstawiony przez zespół audytujący po rozważeniu celów audytu i wszystkich ustaleń z audytu.

136

Stwierdzenie niezgodności zwięzły zapis słowny zawierający wymagania i przedstawiający dowód nie spełnienia tego wymagania Wymagania:

– normy – polityk, procedury, instrukcji – umowy, standardu akredytacyjnego Dowody:

– spostrzeżenia audytora – wypowiedź pracownika

137

Zasady zapisywania niezgodności ∗ ∗ ∗

dokładny opis faktów określenie miejsca wykrycia niezgodności podanie odnośnika niezgodności FORMA ZAPISYWANIA NIEZGODNOŚCI

∗ ∗

zrozumiała terminologia zwięzłość sformułowań

138

Formułowanie wniosków z audytu Sformułowania nie zalecane ZAWSZE

Sformułowania zalecane

NIGDY

MOJE OBSERWACJE WSKAZUJĄ, ŻE... NIE ZAWSZE

MUSI

ZALECA SIĘ...

TO TRZEBA ZMIENIĆ

KORZYSTNIEJSZE BYŁOBY...

NIE MOŻE

NALEŻY UNIKAĆ

139

Ćwiczenie

Ćwiczenie Proszę określić, które z podanych poniżej zdarzeń to incydenty. Dla incydentów proszę określić działania korygujące

Ćwiczenie 1. Na terenie hali nr. 3 stwierdzono kradzież wiertarki 2. W Dziale Kadr doszło do awarii zasilacza w stacji roboczej, 3. W firmie ochrony mienia dyspozytor nie przekazał informacji grupie interwencyjnej o tym, że Właściciel ochranianego domu wymienił klucz do drzwi wejściowych. 4. Podczas naprawy kserokopiarki pozostawiono pracownika firmy obcej bez opieki. 5. Informatyk powiadomił Pełnomocnika ds. SZBI o ataku na system informatyczny. 6. Pracownik pozostawił klucz na zewnątrz w drzwiach. 7. Pracownik Działu Organizacyjnego korzystał z poczty elektronicznej w celach prywatnych. 8. W dziale informatycznym wgrano aktualizację oprogramowania bez wcześniejszych testów.

Krzysztof Janicki