4.3 Określenie zakresu systemu zarządzania bezpieczeństwem informacji

W skrócie: wyznacz granice SZBI — które lokalizacje, procesy, usługi i systemy obejmuje.

Czego wymaga norma

Określając zakres, organizacja musi wziąć pod uwagę:

kwestie z 4.1,
wymagania z 4.2,
styki i zależności między tym, co robi sama, a tym, co robią dla niej inne organizacje.

Zakres musi być dostępny jako udokumentowana informacja.

Zakres może być węższy niż cała firma, np. „projektowanie, rozwój i utrzymanie platformy X świadczonej z biura w Krakowie”. Musi jednak być logiczny — nie da się wyłączyć działu IT, który utrzymuje systemy objęte zakresem.
Zależności to m.in. dostawcy chmury, hostingu, outsourcing IT, biuro rachunkowe. Nie muszą być w zakresie, ale trzeba je opisać i zarządzać nimi (zabezpieczenia 5.19–5.23).
Zakres trafia na certyfikat, więc klienci go czytają. Zbyt wąski zakres bywa uznawany za „certyfikat na pokaz”.

dokument zakresu: lokalizacje, procesy, usługi, systemy, wyłączenia z uzasadnieniem,
opis styków z dostawcami i innymi organizacjami.