Przejdź do głównej zawartości

9.1 Monitorowanie, pomiary, analiza i ocena

W skrócie: zdecyduj, co mierzysz, jak, kiedy i kto ocenia wyniki — a potem oceń, czy SZBI działa.

Czego wymaga norma​

Organizacja musi określić:

  • co monitorować i mierzyć — w tym procesy i zabezpieczenia bezpieczeństwa informacji,
  • metody monitorowania, pomiaru, analizy i oceny, które dadzą wiarygodne wyniki,
  • kiedy monitorować i mierzyć,
  • kto monitoruje i mierzy,
  • kiedy wyniki są analizowane i oceniane,
  • kto je analizuje i ocenia.

Norma zaleca (to jedno z nielicznych „should” w wymaganiach), żeby wybrane metody dawały porównywalne i odtwarzalne wyniki.

Organizacja musi mieć udokumentowane informacje jako dowód wyników i musi oceniać wyniki bezpieczeństwa informacji oraz skuteczność SZBI.

W praktyce​

Przykładowe mierniki:

  • czas od wykrycia do załatania krytycznej podatności,
  • liczba incydentów i średni czas ich obsługi,
  • % pracowników po szkoleniu, wskaźnik kliknięć w testach phishingowych,
  • % udanych testów odtwarzania kopii zapasowych,
  • % przeglądów uprawnień wykonanych w terminie.

Wytyczne do budowy mierników daje ISO/IEC 27004. Lepiej kilka mierników, które ktoś naprawdę ogląda, niż pięćdziesiąt w niezaglądanym arkuszu.

Co pokazać audytorowi​

  • listę mierników z metodą, częstotliwością i odpowiedzialnymi,
  • wyniki pomiarów i ich analizę (zwykle w przeglądzie zarządzania).