8.1 Planowanie i nadzór operacyjny
W skrócie: to, co zaplanowano w rozdziale 6, ma działać na co dzień — według ustalonych kryteriów i pod kontrolą.
Czego wymaga norma
Organizacja musi planować, wdrażać i nadzorować procesy potrzebne do spełnienia wymagań i realizacji działań z rozdziału 6, przez:
- ustalenie kryteriów dla tych procesów,
- nadzór nad procesami zgodnie z tymi kryteriami.
Udokumentowane informacje muszą być dostępne w zakresie, który pozwala mieć pewność, że procesy przebiegły zgodnie z planem.
Organizacja musi też:
- nadzorować planowane zmiany i przeglądać skutki niezamierzonych zmian, ograniczając w razie potrzeby ich negatywne skutki,
- zapewnić nadzór nad procesami, produktami i usługami dostarczanymi z zewnątrz, które są istotne dla SZBI.
W praktyce
- Kryteria procesu to np. „wnioski o dostęp zatwierdza przełożony i właściciel systemu w ciągu 2 dni roboczych”.
- Dostarczane z zewnątrz to chmura, SaaS, outsourcing IT, hosting. Szczegóły nadzoru opisują zabezpieczenia A 5.19–5.23.
Co pokazać audytorowi
- zapisy z działania procesów (zgłoszenia, logi, raporty),
- przykłady nadzoru nad zmianą i nad dostawcą.