8.3 Postępowanie z ryzykiem bezpieczeństwa informacji

W skrócie: plan z 6.1.3 trzeba zrealizować i mieć na to dowody.

Czego wymaga norma

Organizacja musi wdrożyć plan postępowania z ryzykiem i zachować udokumentowane informacje o wynikach postępowania z ryzykiem.

W praktyce

Audytor porówna plan z rzeczywistością: czy zabezpieczenia oznaczone w Deklaracji Stosowania jako wdrożone naprawdę działają, a działania z planu są wykonane w terminie albo mają uzasadnione przesunięcie.

Co pokazać audytorowi

• status realizacji planu postępowania z ryzykiem,
• dowody wdrożenia wybranych zabezpieczeń,
• zaktualizowany poziom ryzyka po wdrożeniu.