4.2 Zrozumienie potrzeb i oczekiwań zainteresowanych stron
W skrócie: ustal, komu zależy na bezpieczeństwie twoich informacji, czego od ciebie oczekuje i które z tych oczekiwań bierzesz na siebie w ramach SZBI.
Czego wymaga norma
Organizacja musi określić:
- zainteresowane strony istotne dla SZBI,
- ich wymagania istotne dla bezpieczeństwa informacji,
- które z tych wymagań będą realizowane przez SZBI — ten punkt doszedł w wydaniu 2022.
Norma dodaje w uwagach, że wymagania mogą wynikać z prawa, regulacji i umów, a od poprawki Amd 1:2024 — że mogą dotyczyć także zmian klimatu.
W praktyce
Typowy rejestr zainteresowanych stron to tabela: strona — jej wymagania — źródło (ustawa, umowa, SLA) — czy i jak SZBI je realizuje. Przykłady:
| Strona | Przykładowe wymaganie |
|---|---|
| Klienci | poufność danych, dostępność usługi według SLA, wyniki audytu |
| Regulator / UODO | zgodność z RODO, zgłaszanie naruszeń w terminie |
| Pracownicy | ochrona danych kadrowych, jasne zasady |
| Dostawcy | warunki umów, wymiana informacji |
| Właściciele / zarząd | ciągłość działania, reputacja |
Punkt 3 daje prawo powiedzieć „tego wymagania nie realizujemy w SZBI” — ale to decyzja, którą trzeba podjąć świadomie.
Co pokazać audytorowi
- rejestr stron i wymagań z oznaczeniem, które są objęte SZBI,
- powiązanie tych wymagań z zakresem (4.3), oceną ryzyka i rejestrem wymagań prawnych (zabezpieczenie 5.31).