Przejdź do głównej zawartości

6.1.3 Postępowanie z ryzykiem bezpieczeństwa informacji

W skrócie: dla każdego istotnego ryzyka zdecyduj, co z nim robisz, dobierz zabezpieczenia, sprawdź je z Załącznikiem A, spisz to w Deklaracji Stosowania i uzyskaj zgodę właścicieli ryzyka.

Czego wymaga norma​

Organizacja musi zdefiniować i stosować proces postępowania z ryzykiem, w ramach którego:

  1. wybiera opcje postępowania z ryzykiem, biorąc pod uwagę wyniki oceny;
  2. określa wszystkie zabezpieczenia potrzebne do realizacji tych opcji — może je projektować sama albo brać z dowolnego źródła;
  3. porównuje je z Załącznikiem A i sprawdza, czy nie pominięto żadnego potrzebnego zabezpieczenia. Załącznik A nie jest listą zamkniętą — można dodać zabezpieczenia spoza niego;
  4. przygotowuje Deklarację Stosowania (SoA), która zawiera:
    • potrzebne zabezpieczenia,
    • uzasadnienie ich włączenia,
    • informację, czy są wdrożone,
    • uzasadnienie wyłączenia zabezpieczeń z Załącznika A;
  5. przygotowuje plan postępowania z ryzykiem;
  6. uzyskuje od właścicieli ryzyka zatwierdzenie planu i akceptację ryzyka rezydualnego.

Organizacja musi zachować udokumentowaną informację o procesie postępowania z ryzykiem. Norma zaznacza, że jej proces oceny i postępowania z ryzykiem jest zgodny z zasadami ISO 31000.

W praktyce​

  • Opcje postępowania (według ISO/IEC 27005 i ISO 31000, nie samej 27001): modyfikacja ryzyka zabezpieczeniami, unikanie — rezygnacja z działania, dzielenie — np. ubezpieczenie lub outsourcing, zachowanie — świadoma akceptacja.
  • Kolejność ma znaczenie: najpierw ryzyko, potem zabezpieczenie, na końcu porównanie z Załącznikiem A. Częsty błąd to odwrotność — traktowanie Załącznika A jak listy kontrolnej i dopisywanie ryzyk pod zabezpieczenia.
  • SoA obejmuje wszystkie 93 zabezpieczenia z Załącznika A plus ewentualne własne. „Nie dotyczy” bez uzasadnienia to niezgodność.
  • Akceptacja ryzyka rezydualnego musi pochodzić od właściciela ryzyka, a nie od zespołu bezpieczeństwa.

Co pokazać audytorowi​

  • aktualną Deklarację Stosowania z wersją i datą,
  • plan postępowania z ryzykiem (działania, odpowiedzialni, terminy),
  • zatwierdzenie planu i akceptację ryzyk rezydualnych przez właścicieli.