9.3.2 Dane wejściowe do przeglądu zarządzania
W skrócie: norma podaje listę tematów, które przegląd musi omówić. Najprościej zrobić z niej agendę spotkania.
Czego wymaga norma
Przegląd zarządzania musi uwzględniać:
- stan działań z poprzednich przeglądów,
- zmiany kwestii zewnętrznych i wewnętrznych istotnych dla SZBI (4.1),
- zmiany potrzeb i oczekiwań zainteresowanych stron istotnych dla SZBI (4.2) — nowe w 2022,
- informacje o wynikach bezpieczeństwa informacji, w tym trendy dotyczące:
- niezgodności i działań korygujących,
- wyników monitorowania i pomiarów,
- wyników audytów,
- realizacji celów bezpieczeństwa informacji,
- informacje zwrotne od zainteresowanych stron,
- wyniki oceny ryzyka i stan realizacji planu postępowania z ryzykiem,
- możliwości ciągłego doskonalenia.
W praktyce
Protokół przeglądu z tymi siedmioma punktami jako nagłówkami wprost pokazuje audytorowi, że wszystko zostało omówione. Warto dołożyć incydenty, stan zasobów (7.1) i decyzję w sprawie klimatu (4.1) — norma nie wymienia ich osobno, ale mieszczą się w punktach 2 i 4.