5.2 Polityka

W skrócie: jeden dokument najwyższego poziomu, w którym zarząd mówi, po co i na jakich zasadach organizacja chroni informacje.

Czego wymaga norma

Najwyższe kierownictwo musi ustanowić politykę bezpieczeństwa informacji, która:

• pasuje do celu organizacji,
• zawiera cele bezpieczeństwa (zob. 6.2) albo daje ramy do ich ustalania,
• zawiera zobowiązanie do spełniania mających zastosowanie wymagań bezpieczeństwa informacji,
• zawiera zobowiązanie do ciągłego doskonalenia SZBI.

Polityka musi być udokumentowana, zakomunikowana w organizacji i dostępna dla zainteresowanych stron, gdy to stosowne.

W praktyce

• Polityka SZBI to dokument krótki — zwykle 1–3 strony. Szczegóły idą do polityk tematycznych (hasła, kopie zapasowe, praca zdalna, kryptografia), których dotyczy zabezpieczenie A 5.1.
• Dwa zobowiązania (spełnianie wymagań i ciągłe doskonalenie) muszą być w niej wprost. Ich brak to częsta, łatwa do uniknięcia niezgodność.

Co pokazać audytorowi

• zatwierdzoną politykę z datą i wersją,
• dowód komunikacji (intranet, szkolenie, potwierdzenia zapoznania),
• sposób udostępniania jej na zewnątrz, jeśli jest udostępniana.