7.5.3 Nadzór nad udokumentowanymi informacjami

W skrócie: dokumentacja ma być dostępna tam, gdzie trzeba, chroniona i pod kontrolą wersji.

Czego wymaga norma

Udokumentowane informacje wymagane przez SZBI i normę muszą być nadzorowane tak, żeby były:

• dostępne i przydatne tam i wtedy, gdzie i kiedy są potrzebne,
• odpowiednio chronione — np. przed utratą poufności, niewłaściwym użyciem, utratą integralności.

Nadzór musi obejmować, w stosownym zakresie:

• dystrybucję, dostęp, wyszukiwanie i użycie,
• przechowywanie i zabezpieczenie, w tym zachowanie czytelności,
• nadzór nad zmianami (np. wersjonowanie),
• okres przechowywania i usuwanie (retention and disposition).

Dokumenty pochodzące z zewnątrz, które organizacja uzna za potrzebne do planowania i działania SZBI, też muszą być zidentyfikowane i nadzorowane. Norma zaznacza, że „dostęp” może oznaczać prawo tylko do odczytu albo także do zmian.

W praktyce

• Rozróżnij miejsce przechowywania (gdzie leży dokument, jak jest chroniony) od okresu przechowywania (jak długo go trzymasz i kiedy usuwasz). Okresy często wynikają z prawa, np. dla dokumentacji kadrowej.
• Dokumenty zewnętrzne to np. normy, umowy z klientami, wytyczne regulatora — wystarczy ich rejestr z wersjami.