4.4 System zarządzania bezpieczeństwem informacji

W skrócie: to klauzula-parasol. Organizacja musi mieć działający SZBI i stale go poprawiać.

Czego wymaga norma

Organizacja musi ustanowić, wdrożyć, utrzymywać i ciągle doskonalić SZBI zgodnie z wymaganiami normy. Od wydania 2022 wprost obejmuje to także potrzebne procesy i ich wzajemne powiązania.

W praktyce

Dopisek o procesach oznacza, że SZBI nie jest zbiorem dokumentów, tylko zestawem procesów: zarządzanie ryzykiem, obsługa incydentów, zarządzanie dostępem, zarządzanie dostawcami, audyt itd. Warto mieć prostą mapę procesów z właścicielami, wejściami i wyjściami — pokazuje, jak elementy systemu się ze sobą łączą.

Co pokazać audytorowi

• mapę lub listę procesów SZBI z właścicielami,
• dowody, że te procesy faktycznie działają (zapisy z rozdziałów 6–10).