7.5.1 Udokumentowane informacje — postanowienia ogólne

W skrócie: SZBI musi mieć dokumentację wymaganą przez normę oraz tę, którą organizacja sama uzna za potrzebną.

Czego wymaga norma

SZBI musi obejmować:

• udokumentowane informacje wymagane przez normę,
• udokumentowane informacje, które organizacja uzna za potrzebne do skuteczności SZBI.

Norma zaznacza, że ilość dokumentacji zależy od wielkości organizacji i rodzaju jej działalności, złożoności procesów oraz kompetencji ludzi.

W praktyce — gdzie norma wymaga udokumentowanych informacji

Klauzula	Co
4.3	zakres SZBI
5.2	polityka bezpieczeństwa informacji
6.1.2	proces oceny ryzyka
6.1.3	proces postępowania z ryzykiem, Deklaracja Stosowania
6.2	cele bezpieczeństwa informacji
7.2	dowody kompetencji
8.1	informacje potwierdzające, że procesy przebiegły zgodnie z planem
8.2	wyniki ocen ryzyka
8.3	wyniki postępowania z ryzykiem
9.1	wyniki monitorowania i pomiarów
9.2	program audytów i ich wyniki
9.3	wyniki przeglądów zarządzania
10.2	charakter niezgodności, podjęte działania i wyniki działań korygujących

Do tego dochodzi dokumentacja wynikająca z wybranych zabezpieczeń Załącznika A (np. polityki tematyczne, procedury operacyjne z A 5.37).

Norma nie rozróżnia już „dokumentów” i „zapisów” — oba są udokumentowaną informacją.