A.5 Zabezpieczenia organizacyjne

Jak działa Załącznik A

• Załącznik A zawiera 93 zabezpieczenia w czterech grupach: organizacyjne (37), dotyczące ludzi (8), fizyczne (14) i technologiczne (34).
• Nie trzeba wdrażać wszystkich. Norma wymaga porównania z nim własnego wyboru zabezpieczeń i uzasadnienia każdego włączenia i wyłączenia w Deklaracji Stosowania (zob. 6.1.3).
• Sam Załącznik A podaje tylko jednozdaniowy opis każdego zabezpieczenia. Szczegółowe wytyczne — cel, wskazówki wdrożeniowe i atrybuty — są w ISO/IEC 27002:2022 (zob. opracowanie ISO 27002).
• ★ oznacza zabezpieczenie nowe w wydaniu 2022 (jest ich 11).

Nazwy zabezpieczeń poniżej to moje tłumaczenie robocze — oficjalne polskie nazwy mogą się różnić. Kolumna „O co chodzi” to omówienie, a nie treść normy.

Nr	Zabezpieczenie	O co chodzi
5.1	Polityki bezpieczeństwa informacji	Polityka główna i polityki tematyczne (np. hasła, kopie, praca zdalna): zatwierdzone przez kierownictwo, opublikowane, znane ludziom, których dotyczą, i przeglądane regularnie oraz przy istotnych zmianach.
5.2	Role i odpowiedzialności	Każda rola związana z bezpieczeństwem ma opisany zakres i przypisaną osobę.
5.3	Rozdzielenie obowiązków	Jedna osoba nie powinna sama zlecić, zatwierdzić i wykonać krytycznej operacji — np. założyć dostawcę i zatwierdzić mu przelew.
5.4	Obowiązki kierownictwa	Przełożeni wymagają od swoich ludzi stosowania polityk i procedur bezpieczeństwa — bezpieczeństwo jest częścią zarządzania zespołem.
5.5	Kontakt z organami	Wiadomo, kiedy i jak kontaktować się z UODO, CSIRT, policją czy regulatorem — kontakty są ustalone przed incydentem.
5.6	Kontakt z grupami specjalistycznymi	Udział w społecznościach i stowarzyszeniach branżowych (np. ISAC, grupy CERT) jako źródło wiedzy i ostrzeżeń.
5.7 ★	Analiza zagrożeń (threat intelligence)	Zbieranie i analizowanie informacji o zagrożeniach (np. kampanie wymierzone w branżę, nowe techniki ataku) i wykorzystywanie ich w decyzjach.
5.8	Bezpieczeństwo w zarządzaniu projektami	Wymagania i ryzyka bezpieczeństwa rozpatrywane w każdym projekcie, od startu, a nie dopiero przed wdrożeniem.
5.9	Inwentaryzacja informacji i powiązanych aktywów	Aktualny spis informacji, systemów, urządzeń i usług — razem z ich właścicielami. Bez tego nie da się ocenić ryzyka.
5.10	Dopuszczalne użycie informacji i aktywów	Spisane zasady, co wolno, a czego nie, z informacjami i sprzętem organizacji.
5.11	Zwrot aktywów	Przy odejściu lub zmianie roli osoba oddaje sprzęt, identyfikatory, dokumenty i dane.
5.12	Klasyfikacja informacji	Schemat poziomów (np. publiczna, wewnętrzna, poufna) oparty na potrzebach poufności, integralności i dostępności oraz wymaganiach interesariuszy.
5.13	Oznaczanie informacji	Procedury nadawania etykiet zgodnie ze schematem klasyfikacji — w dokumentach, plikach, e-mailach.
5.14	Przekazywanie informacji	Zasady i porozumienia dla każdego kanału przekazu: e-mail, transfer plików, nośniki, rozmowa — wewnątrz i na zewnątrz.
5.15	Kontrola dostępu	Reguły dostępu fizycznego i logicznego oparte na potrzebach biznesowych i wymaganiach bezpieczeństwa (zasada wiedzy koniecznej i najmniejszych uprawnień).
5.16	Zarządzanie tożsamością	Pełny cykl życia tożsamości: założenie, zmiana, wyłączenie — jedna osoba to jedna tożsamość, konta współdzielone tylko wyjątkowo i z uzasadnieniem.
5.17	Informacje uwierzytelniające	Proces wydawania i zarządzania hasłami, tokenami, kluczami — w tym instruowanie ludzi, jak się z nimi obchodzić.
5.18	Prawa dostępu	Nadawanie, okresowy przegląd, zmiana i odbieranie uprawnień zgodnie z polityką dostępu.
5.19	Bezpieczeństwo w relacjach z dostawcami	Proces zarządzania ryzykiem związanym z korzystaniem z produktów i usług dostawców.
5.20	Bezpieczeństwo w umowach z dostawcami	Wymagania bezpieczeństwa wpisane do umowy z każdym dostawcą, adekwatnie do rodzaju współpracy.
5.21	Bezpieczeństwo w łańcuchu dostaw ICT	Ryzyka związane z dostawcami twoich dostawców, komponentami sprzętu i oprogramowania, w tym open source.
5.22	Monitorowanie i zmiany usług dostawców	Regularna ocena, czy dostawca dotrzymuje wymagań bezpieczeństwa i poziomu usług, oraz kontrola zmian po jego stronie.
5.23 ★	Bezpieczeństwo usług chmurowych	Zasady wyboru, używania, zarządzania i wyjścia z usług chmurowych — z podziałem odpowiedzialności między klienta a dostawcę.
5.24	Planowanie zarządzania incydentami	Przygotowanie do incydentów: procesy, role, odpowiedzialności, komunikacja — zanim coś się stanie.
5.25	Ocena zdarzeń i decyzja	Każde zdarzenie jest oceniane pod kątem tego, czy jest incydentem i jaki ma priorytet.
5.26	Reagowanie na incydenty	Obsługa incydentów według udokumentowanych procedur: ograniczenie, usunięcie, odtworzenie, komunikacja.
5.27	Wnioski z incydentów	Analiza po incydencie i wykorzystanie jej wyników do wzmocnienia zabezpieczeń.
5.28	Gromadzenie dowodów	Procedury identyfikowania, zbierania i zabezpieczania dowodów tak, żeby zachowały wartość, np. w postępowaniu sądowym lub dyscyplinarnym.
5.29	Bezpieczeństwo podczas zakłóceń	Plan, jak utrzymać odpowiedni poziom bezpieczeństwa w czasie awarii czy kryzysu — tryb awaryjny nie może oznaczać wyłączenia zabezpieczeń.
5.30 ★	Gotowość ICT do ciągłości działania	Systemy IT planowane, utrzymywane i testowane tak, żeby spełniały cele ciągłości działania (RTO, RPO).
5.31	Wymagania prawne, ustawowe, regulacyjne i umowne	Rejestr przepisów i zobowiązań umownych dotyczących bezpieczeństwa informacji, aktualizowany i stosowany.
5.32	Prawa własności intelektualnej	Przestrzeganie licencji i praw autorskich — oprogramowanie, treści, materiały.
5.33	Ochrona zapisów	Zapisy (np. księgowe, kadrowe, logi) chronione przed utratą, zniszczeniem, sfałszowaniem i nieuprawnionym dostępem.
5.34	Prywatność i ochrona danych osobowych	Identyfikacja i spełnianie wymagań dotyczących danych osobowych wynikających z prawa (np. RODO) i umów.
5.35	Niezależny przegląd bezpieczeństwa	Okresowa ocena podejścia do bezpieczeństwa przez kogoś niezależnego od ocenianego obszaru — także przy istotnych zmianach.
5.36	Zgodność z politykami i standardami	Kierownicy i właściciele systemów regularnie sprawdzają, czy polityki, reguły i standardy są faktycznie przestrzegane.
5.37	Udokumentowane procedury eksploatacyjne	Procedury obsługi systemów (np. kopie, restart, wdrożenia) spisane i dostępne dla osób, które ich potrzebują.