6.1.1 Działania odnoszące się do ryzyk i szans — postanowienia ogólne

W skrócie: zaplanuj, co może przeszkodzić SZBI w osiągnięciu celów (ryzyka) i co może mu pomóc (szanse).

Czego wymaga norma

Planując SZBI, organizacja musi uwzględnić kwestie z 4.1 i wymagania z 4.2, a następnie określić ryzyka i szanse, którymi trzeba się zająć, żeby:

• SZBI mógł osiągnąć zamierzone rezultaty,
• zapobiec niepożądanym skutkom albo je ograniczyć,
• osiągać ciągłe doskonalenie.

Musi też zaplanować działania wobec tych ryzyk i szans oraz sposób włączenia ich w procesy SZBI i oceny ich skuteczności.

W praktyce

W normie są dwa poziomy ryzyka i łatwo je pomylić:

	6.1.1	6.1.2–6.1.3
Czego dotyczy	samego systemu zarządzania	informacji — utraty poufności, integralności, dostępności
Przykład	„brak wsparcia zarządu”, „odejście jedynej osoby znającej SZBI”, „szansa: integracja z ISO 9001”	„wyciek bazy klientów przez podatność w aplikacji”
Narzędzie	krótka lista w planie SZBI lub przeglądzie zarządzania	formalny proces oceny ryzyka

Wiele organizacji łączy oba poziomy w jednym rejestrze — to dopuszczalne, jeśli oba są faktycznie pokryte.

Co pokazać audytorowi

• listę ryzyk i szans dla SZBI z zaplanowanymi działaniami,
• ślad oceny, czy te działania zadziałały (np. w przeglądzie zarządzania).