6.2 Cele bezpieczeństwa informacji i planowanie ich osiągnięcia
W skrócie: ustal konkretne, mierzalne cele bezpieczeństwa i plan, jak je osiągniesz.
Czego wymaga norma
Organizacja musi ustalić cele bezpieczeństwa informacji dla odpowiednich funkcji i szczebli. Cele muszą:
- być spójne z polityką bezpieczeństwa,
- być mierzalne, jeśli to wykonalne,
- uwzględniać mające zastosowanie wymagania oraz wyniki oceny ryzyka i postępowania z ryzykiem,
- być monitorowane (nowe w 2022),
- być komunikowane,
- być aktualizowane, gdy trzeba,
- być dostępne jako udokumentowana informacja.
Planując ich osiągnięcie, organizacja musi ustalić: co zostanie zrobione, jakie zasoby są potrzebne, kto odpowiada, kiedy zadanie się zakończy i jak zostaną ocenione wyniki.
W praktyce
Przykłady celów:
| Cel | Miernik | Termin | Właściciel |
|---|---|---|---|
| MFA dla wszystkich kont z dostępem zdalnym | % kont z MFA = 100% | koniec Q2 | kierownik IT |
| Krytyczne podatności łatane w 14 dni | % załatanych w terminie ≥ 95% | ciągle, raport miesięczny | administrator |
| Pracownicy przeszkoleni z phishingu | % po szkoleniu ≥ 90%, wskaźnik kliknięć w testach | koniec roku | pełnomocnik SZBI |
„Poprawa bezpieczeństwa” nie jest celem — nie da się go zmierzyć ani ocenić.
Co pokazać audytorowi
- rejestr celów z miernikami, właścicielami i terminami,
- wyniki monitorowania celów i ich omówienie w przeglądzie zarządzania (9.3.2 d).