5.3 Role organizacyjne, odpowiedzialności i uprawnienia

W skrócie: każda rola związana z bezpieczeństwem ma mieć przypisaną osobę, zakres odpowiedzialności i uprawnienia — i wszyscy mają o tym wiedzieć.

Czego wymaga norma

Najwyższe kierownictwo musi zapewnić, że odpowiedzialności i uprawnienia dla ról związanych z bezpieczeństwem informacji są przypisane i zakomunikowane w organizacji. W szczególności musi przypisać odpowiedzialność za:

• zapewnienie, że SZBI spełnia wymagania normy,
• raportowanie najwyższemu kierownictwu o wynikach SZBI.

Kierownictwo może też przypisać odpowiedzialność za raportowanie wyników SZBI wewnątrz organizacji.

W praktyce

• Najczęściej powstaje rola pełnomocnika lub kierownika SZBI (ISM / CISO), ale norma nie narzuca nazwy stanowiska.
• Warto opisać role w macierzy RACI: właściciele ryzyk, właściciele aktywów, administratorzy, zespół incydentowy, audytorzy wewnętrzni.
• Uprawnienia są równie ważne jak odpowiedzialności — pełnomocnik bez prawa do zatrzymania zmiany czy eskalacji do zarządu nie jest w stanie wypełnić roli.

Co pokazać audytorowi

• dokument przypisania ról (zakres obowiązków, powołanie, RACI),
• dowód, że role są znane w organizacji,
• raporty pełnomocnika dla zarządu.