5.1 Polityki bezpieczeństwa informacji
ISO/IEC 27002 5.1 — polityka główna i polityki tematyczne: kto je zatwierdza, co powinny zawierać, jak je ogłaszać i kiedy przeglądać. Omówienie z atrybutami i praktyką.
5.2 Role i odpowiedzialności w zakresie bezpieczeństwa informacji
ISO/IEC 27002 5.2 — przypisanie ról i odpowiedzialności za bezpieczeństwo informacji: właściciele aktywów, delegowanie zadań, kompetencje. Omówienie z atrybutami.
5.3 Rozdzielenie obowiązków
ISO/IEC 27002 5.3 — rozdzielenie sprzecznych obowiązków i obszarów odpowiedzialności, by ograniczyć oszustwa, błędy i obchodzenie zabezpieczeń. Omówienie z przykładami.
5.4 Obowiązki kierownictwa
ISO/IEC 27002 5.4 — kierownictwo wymaga od personelu stosowania polityk i procedur bezpieczeństwa: informowanie, motywowanie, zgodność, kanał zgłaszania naruszeń.
5.5 Kontakt z organami
ISO/IEC 27002 5.5 — ustalone kontakty z organami ścigania, regulatorami i nadzorem: kto, kiedy i jak się z nimi kontaktuje, także przy zgłaszaniu incydentów.
5.6 Kontakt z grupami specjalistycznymi
ISO/IEC 27002 5.6 — kontakt z grupami specjalistycznymi, forami i stowarzyszeniami bezpieczeństwa jako źródło wiedzy, ostrzeżeń i wsparcia przy incydentach.
5.7 Analiza zagrożeń (threat intelligence) ★
ISO/IEC 27002 5.7 — zbieranie i analiza informacji o zagrożeniach na poziomie strategicznym, taktycznym i operacyjnym oraz wykorzystanie ich do ochrony. Nowe w 2022.
5.8 Bezpieczeństwo informacji w zarządzaniu projektami
ISO/IEC 27002 5.8 — uwzględnianie bezpieczeństwa informacji w każdym projekcie: ryzyka projektowe, wymagania bezpieczeństwa dla produktów i ich weryfikacja.
5.9 Inwentaryzacja informacji i innych powiązanych aktywów
ISO/IEC 27002 5.9 — inwentarz informacji i innych powiązanych aktywów z właścicielami: kompletność, aktualność, poziom szczegółowości i zadania właściciela.
5.10 Dopuszczalne użycie informacji i innych powiązanych aktywów
ISO/IEC 27002 5.10 — zasady dopuszczalnego użycia i procedury postępowania z informacjami i aktywami, dopasowane do klasyfikacji. Omówienie z przykładami.
5.11 Zwrot aktywów
ISO/IEC 27002 5.11 — zwrot sprzętu, nośników i informacji przy zmianie lub zakończeniu zatrudnienia, umowy lub współpracy, także z urządzeń prywatnych.
5.12 Klasyfikacja informacji
ISO/IEC 27002 5.12 — klasyfikacja informacji według potrzeb ochrony: poufność, integralność, dostępność, wymagania prawne. Przykładowy schemat poziomów i praktyka.
5.13 Oznaczanie informacji
ISO/IEC 27002 5.13 — procedury oznaczania informacji zgodnie ze schematem klasyfikacji: etykiety fizyczne i elektroniczne, metadane, wyjątki i ryzyka oznaczania.
5.14 Przekazywanie informacji
ISO/IEC 27002 5.14 — zasady i umowy dla przekazywania informacji drogą elektroniczną, na nośnikach fizycznych i ustnie, wewnątrz organizacji i do stron trzecich.
5.15 Kontrola dostępu
ISO/IEC 27002 5.15 — polityka kontroli dostępu fizycznego i logicznego: wiedza konieczna, minimalne uprawnienia, reguły dostępu, modele RBAC, ABAC, MAC, DAC.
5.16 Zarządzanie tożsamością
ISO/IEC 27002 5.16 — pełny cykl życia tożsamości: unikalność, tożsamości współdzielone i nieosobowe, wyłączanie nieużywanych, zapisy zdarzeń dotyczących tożsamości.
5.17 Informacje uwierzytelniające
ISO/IEC 27002 5.17 — przydział i ochrona haseł, kluczy i innych informacji uwierzytelniających, obowiązki użytkowników i systemy zarządzania hasłami.
5.18 Prawa dostępu
ISO/IEC 27002 5.18 — nadawanie, przegląd, zmiana i odbieranie praw dostępu zgodnie z polityką; przeglądy okresowe, zmiany ról, odejścia i dostęp tymczasowy.
5.19 Bezpieczeństwo informacji w relacjach z dostawcami
ISO/IEC 27002 5.19 — proces zarządzania ryzykiem dostawców: identyfikacja, ocena, wymagania, dostęp, monitorowanie, wyjście z relacji. Omówienie z praktyką.
5.20 Uwzględnianie bezpieczeństwa informacji w umowach z dostawcami
ISO/IEC 27002 5.20 — co powinna zawierać umowa z dostawcą: informacje, klasyfikacja, wymagania prawne, zabezpieczenia, incydenty, audyt, podwykonawcy, zakończenie.
5.21 Zarządzanie bezpieczeństwem informacji w łańcuchu dostaw ICT
ISO/IEC 27002 5.21 — ryzyka łańcucha dostaw produktów i usług ICT: przenoszenie wymagań na podwykonawców, komponenty, integralność, pochodzenie, wycofanie wsparcia.
5.22 Monitorowanie, przegląd i zarządzanie zmianami usług dostawców
ISO/IEC 27002 5.22 — regularne monitorowanie i przegląd usług dostawców, ocena zmian po stronie dostawcy i reakcja na pogorszenie poziomu bezpieczeństwa.
5.23 Bezpieczeństwo informacji przy korzystaniu z usług chmurowych ★
ISO/IEC 27002 5.23 — pozyskiwanie, używanie, zarządzanie i wyjście z usług chmurowych: podział odpowiedzialności, wymagania w umowie, strategia wyjścia. Nowe w 2022.
5.24 Planowanie i przygotowanie zarządzania incydentami bezpieczeństwa informacji
ISO/IEC 27002 5.24 — przygotowanie do incydentów: procesy, role, procedury, kanały zgłaszania, szkolenia i komunikacja, zanim incydent wystąpi.
5.25 Ocena zdarzeń bezpieczeństwa informacji i decyzja
ISO/IEC 27002 5.25 — ocena zgłoszonych zdarzeń bezpieczeństwa i decyzja, czy są incydentami: skala kategoryzacji, priorytety, dokumentowanie wyników.
5.26 Reagowanie na incydenty bezpieczeństwa informacji
ISO/IEC 27002 5.26 — reagowanie na incydenty według udokumentowanych procedur: powstrzymanie, gromadzenie dowodów, eskalacja, komunikacja, zamknięcie.
5.27 Wyciąganie wniosków z incydentów bezpieczeństwa informacji
ISO/IEC 27002 5.27 — wykorzystanie wiedzy z incydentów do wzmocnienia zabezpieczeń: analiza rodzaju, skali i kosztów, aktualizacja planów, szkolenia.
5.28 Gromadzenie dowodów
ISO/IEC 27002 5.28 — identyfikacja, gromadzenie, pozyskiwanie i zabezpieczanie dowodów związanych ze zdarzeniami bezpieczeństwa na potrzeby postępowań dyscyplinarnych i prawnych.
5.29 Bezpieczeństwo informacji podczas zakłóceń
ISO/IEC 27002 5.29 — utrzymanie bezpieczeństwa informacji na właściwym poziomie w czasie zakłóceń działalności i powrót do normalnego stanu.
5.30 Gotowość ICT do zapewnienia ciągłości działania ★
ISO/IEC 27002 5.30 — planowanie, wdrażanie, utrzymanie i testowanie gotowości ICT na podstawie BIA: RTO, RPO, strategie i plany odtwarzania. Nowe w 2022.
5.31 Wymagania prawne, ustawowe, regulacyjne i umowne
ISO/IEC 27002 5.31 — identyfikacja i dokumentowanie wymagań prawnych, regulacyjnych i umownych dotyczących bezpieczeństwa informacji, w tym przepisów o kryptografii.
5.32 Prawa własności intelektualnej
ISO/IEC 27002 5.32 — ochrona praw własności intelektualnej: legalne oprogramowanie, licencje, dowody nabycia, zakaz kopiowania wbrew prawu, ochrona własnej IP.
5.33 Ochrona zapisów
ISO/IEC 27002 5.33 — ochrona zapisów przed utratą, zniszczeniem, fałszowaniem i nieuprawnionym dostępem: retencja, nośniki, klucze, czytelność w czasie.
5.34 Prywatność i ochrona danych osobowych
ISO/IEC 27002 5.34 — identyfikacja i spełnienie wymagań dotyczących prywatności i ochrony danych osobowych: polityka, role, środki techniczne i organizacyjne.
5.35 Niezależny przegląd bezpieczeństwa informacji
ISO/IEC 27002 5.35 — niezależny przegląd podejścia do zarządzania bezpieczeństwem informacji w zaplanowanych odstępach i przy istotnych zmianach.
5.36 Zgodność z politykami, zasadami i standardami bezpieczeństwa informacji
ISO/IEC 27002 5.36 — regularne sprawdzanie przez kierowników zgodności z polityką bezpieczeństwa, politykami tematycznymi, zasadami i standardami oraz działania korygujące.
5.37 Udokumentowane procedury eksploatacyjne
ISO/IEC 27002 5.37 — udokumentowane procedury eksploatacji środków przetwarzania informacji: kiedy je spisywać, co powinny zawierać i jak je utrzymywać.