8.2 Ocena ryzyka bezpieczeństwa informacji
W skrócie: proces z 6.1.2 trzeba faktycznie stosować — regularnie i przy istotnych zmianach.
Czego wymaga norma
Organizacja musi przeprowadzać oceny ryzyka:
- w zaplanowanych odstępach czasu,
- gdy istotne zmiany są proponowane lub zachodzą,
uwzględniając kryteria ustalone w 6.1.2. Musi zachować udokumentowane informacje o wynikach ocen.
W praktyce
- 6.1.2 to opis procesu („jak oceniamy”), a 8.2 to jego wykonanie („co wyszło”).
- Typowo: pełna ocena raz w roku plus ocena przy zmianie — nowy system, nowy dostawca, reorganizacja, poważny incydent.
Co pokazać audytorowi
- aktualny rejestr ryzyk z datą oceny,
- przykład oceny wywołanej zmianą.