Załącznik A — używanie atrybutów

Załącznik informacyjny. Opis poniżej to omówienie, a macierz to zestawienie wartości atrybutów z normy.

Po co ten załącznik

Atrybuty (zob. 4.2) pozwalają patrzeć na zabezpieczenia inaczej niż przez cztery tematy. Załącznik A normy pokazuje, jak to robić, i zawiera macierz wszystkich zabezpieczeń z wartościami atrybutów. Macierz najwygodniej przenieść do arkusza lub bazy danych i tam filtrować.

Własne atrybuty organizacji

Atrybuty z normy są przykładowe. Organizacja może je pominąć, zmienić ich wartości albo dodać własne. Norma opisuje to w kilku krokach:

Ustal, po co ci atrybut. Przykład z normy: organizacja, która planuje postępowanie z ryzykiem według scenariuszy zdarzeń (np. kradzież urządzenia, oszustwo, inżynieria społeczna), może dodać atrybut „scenariusz”. Ułatwia to sprawdzenie, czy żadne potrzebne zabezpieczenie nie zostało pominięte przy porównaniu z Załącznikiem A ISO/IEC 27001 (klauzula 6.1.3).
Zdefiniuj wartości — np. identyfikatory scenariuszy S1, S2, S3.
Przypisz wartości do zabezpieczeń w arkuszu. Jedno zabezpieczenie może mieć kilka wartości.
Filtruj i sortuj, by uzyskać potrzebny widok.

Inne przykłady atrybutów organizacyjnych podawane przez normę i praktykę:

dojrzałość (np. według modeli z serii ISO/IEC 33000),
stan wdrożenia (planowane, w toku, częściowo, w pełni),
priorytet,
zaangażowane obszary organizacji (bezpieczeństwo, IT, HR, kadra zarządzająca, prawnicy),
powiązania z innymi ramami i przepisami (np. NIST CSF, NIS2, DORA).

Macierz atrybutów

Skróty kolumn: Typ — typ zabezpieczenia; CIA — właściwości bezpieczeństwa informacji; Koncepcje — koncepcje cyberbezpieczeństwa; Zdolności — zdolności operacyjne; Domeny — domeny bezpieczeństwa. Numer prowadzi do strony zabezpieczenia. ★ oznacza zabezpieczenie nowe w 2022.

Wartości sprawdziłem na dwóch niezależnych zestawieniach open source: edison-enriquez/ISO27001 i sourcentis/deming. W razie rozbieżności rozstrzyga tekst normy.

Zabezpieczenia organizacyjne (5.1–5.37)

Nr	Zabezpieczenie	Typ	CIA	Koncepcje	Zdolności	Domeny
5.1	Polityki bezpieczeństwa informacji	`#Preventive`	C I A	`#Identify`	`#Governance`	`#Governance_and_Ecosystem` `#Resilience`
5.2	Role i odpowiedzialności w zakresie bezpieczeństwa informacji	`#Preventive`	C I A	`#Identify`	`#Governance`	`#Governance_and_Ecosystem` `#Protection` `#Resilience`
5.3	Rozdzielenie obowiązków	`#Preventive`	C I A	`#Protect`	`#Governance` `#Identity_and_access_management`	`#Governance_and_Ecosystem`
5.4	Obowiązki kierownictwa	`#Preventive`	C I A	`#Identify`	`#Governance`	`#Governance_and_Ecosystem`
5.5	Kontakt z organami	`#Preventive` `#Corrective`	C I A	`#Identify` `#Protect` `#Respond` `#Recover`	`#Governance`	`#Defence` `#Resilience`
5.6	Kontakt z grupami specjalistycznymi	`#Preventive` `#Corrective`	C I A	`#Protect` `#Respond` `#Recover`	`#Governance`	`#Defence`
5.7 ★	Analiza zagrożeń (threat intelligence)	`#Preventive` `#Detective` `#Corrective`	C I A	`#Identify` `#Detect` `#Respond`	`#Threat_and_vulnerability_management`	`#Defence` `#Resilience`
5.8	Bezpieczeństwo informacji w zarządzaniu projektami	`#Preventive`	C I A	`#Identify` `#Protect`	`#Governance`	`#Governance_and_Ecosystem` `#Protection`
5.9	Inwentaryzacja informacji i innych powiązanych aktywów	`#Preventive`	C I A	`#Identify`	`#Asset_management`	`#Governance_and_Ecosystem` `#Protection`
5.10	Dopuszczalne użycie informacji i innych powiązanych aktywów	`#Preventive`	C I A	`#Protect`	`#Asset_management` `#Information_protection`	`#Governance_and_Ecosystem` `#Protection`
5.11	Zwrot aktywów	`#Preventive`	C I A	`#Protect`	`#Asset_management`	`#Protection`
5.12	Klasyfikacja informacji	`#Preventive`	C I A	`#Identify`	`#Information_protection`	`#Protection` `#Defence`
5.13	Oznaczanie informacji	`#Preventive`	C I A	`#Protect`	`#Information_protection`	`#Protection` `#Defence`
5.14	Przekazywanie informacji	`#Preventive`	C I A	`#Protect`	`#Asset_management` `#Information_protection`	`#Protection`
5.15	Kontrola dostępu	`#Preventive`	C I A	`#Protect`	`#Identity_and_access_management`	`#Protection`
5.16	Zarządzanie tożsamością	`#Preventive`	C I A	`#Protect`	`#Identity_and_access_management`	`#Protection`
5.17	Informacje uwierzytelniające	`#Preventive`	C I A	`#Protect`	`#Identity_and_access_management`	`#Protection`
5.18	Prawa dostępu	`#Preventive`	C I A	`#Protect`	`#Identity_and_access_management`	`#Protection`
5.19	Bezpieczeństwo informacji w relacjach z dostawcami	`#Preventive`	C I A	`#Identify`	`#Supplier_relationships_security`	`#Governance_and_Ecosystem` `#Protection`
5.20	Uwzględnianie bezpieczeństwa informacji w umowach z dostawcami	`#Preventive`	C I A	`#Identify`	`#Supplier_relationships_security`	`#Governance_and_Ecosystem` `#Protection`
5.21	Zarządzanie bezpieczeństwem informacji w łańcuchu dostaw ICT	`#Preventive`	C I A	`#Identify`	`#Supplier_relationships_security`	`#Governance_and_Ecosystem` `#Protection`
5.22	Monitorowanie, przegląd i zarządzanie zmianami usług dostawców	`#Preventive`	C I A	`#Identify`	`#Supplier_relationships_security` `#Information_security_assurance`	`#Governance_and_Ecosystem` `#Protection` `#Defence`
5.23 ★	Bezpieczeństwo informacji przy korzystaniu z usług chmurowych	`#Preventive`	C I A	`#Protect`	`#Supplier_relationships_security`	`#Governance_and_Ecosystem` `#Protection`
5.24	Planowanie i przygotowanie zarządzania incydentami bezpieczeństwa informacji	`#Corrective`	C I A	`#Respond` `#Recover`	`#Governance` `#Information_security_event_management`	`#Defence`
5.25	Ocena zdarzeń bezpieczeństwa informacji i decyzja	`#Detective`	C I A	`#Detect` `#Respond`	`#Information_security_event_management`	`#Defence`
5.26	Reagowanie na incydenty bezpieczeństwa informacji	`#Corrective`	C I A	`#Respond` `#Recover`	`#Information_security_event_management`	`#Defence`
5.27	Wyciąganie wniosków z incydentów bezpieczeństwa informacji	`#Preventive`	C I A	`#Identify` `#Protect`	`#Information_security_event_management`	`#Defence`
5.28	Gromadzenie dowodów	`#Corrective`	C I A	`#Detect` `#Respond`	`#Information_security_event_management`	`#Defence`
5.29	Bezpieczeństwo informacji podczas zakłóceń	`#Preventive` `#Corrective`	C I A	`#Protect` `#Respond`	`#Continuity`	`#Protection` `#Resilience`
5.30 ★	Gotowość ICT do zapewnienia ciągłości działania	`#Corrective`	A	`#Respond`	`#Continuity`	`#Resilience`
5.31	Wymagania prawne, ustawowe, regulacyjne i umowne	`#Preventive`	C I A	`#Identify`	`#Legal_and_compliance`	`#Governance_and_Ecosystem` `#Protection`
5.32	Prawa własności intelektualnej	`#Preventive`	C I A	`#Identify`	`#Legal_and_compliance`	`#Governance_and_Ecosystem`
5.33	Ochrona zapisów	`#Preventive`	C I A	`#Identify` `#Protect`	`#Asset_management` `#Information_protection` `#Legal_and_compliance`	`#Defence`
5.34	Prywatność i ochrona danych osobowych	`#Preventive`	C I A	`#Identify` `#Protect`	`#Information_protection` `#Legal_and_compliance`	`#Protection`
5.35	Niezależny przegląd bezpieczeństwa informacji	`#Preventive` `#Corrective`	C I A	`#Identify` `#Protect`	`#Information_security_assurance`	`#Governance_and_Ecosystem`
5.36	Zgodność z politykami, zasadami i standardami bezpieczeństwa informacji	`#Preventive`	C I A	`#Identify` `#Protect`	`#Legal_and_compliance` `#Information_security_assurance`	`#Governance_and_Ecosystem`
5.37	Udokumentowane procedury eksploatacyjne	`#Preventive` `#Corrective`	C I A	`#Protect` `#Recover`	`#Asset_management` `#Physical_security` `#System_and_network_security` `#Application_security` `#Secure_configuration` `#Identity_and_access_management` `#Threat_and_vulnerability_management` `#Continuity` `#Information_security_event_management`	`#Governance_and_Ecosystem` `#Protection` `#Defence`

Zabezpieczenia dotyczące ludzi (6.1–6.8)

Nr	Zabezpieczenie	Typ	CIA	Koncepcje	Zdolności	Domeny
6.1	Weryfikacja kandydatów	`#Preventive`	C I A	`#Protect`	`#Human_resource_security`	`#Governance_and_Ecosystem`
6.2	Warunki zatrudnienia	`#Preventive`	C I A	`#Protect`	`#Human_resource_security`	`#Governance_and_Ecosystem`
6.3	Świadomość, edukacja i szkolenia w zakresie bezpieczeństwa informacji	`#Preventive`	C I A	`#Protect`	`#Human_resource_security`	`#Governance_and_Ecosystem`
6.4	Postępowanie dyscyplinarne	`#Preventive` `#Corrective`	C I A	`#Protect` `#Respond`	`#Human_resource_security`	`#Governance_and_Ecosystem`
6.5	Obowiązki po zakończeniu lub zmianie zatrudnienia	`#Preventive`	C I A	`#Protect`	`#Asset_management` `#Human_resource_security`	`#Governance_and_Ecosystem`
6.6	Umowy o zachowaniu poufności	`#Preventive`	C	`#Protect`	`#Information_protection` `#Human_resource_security` `#Supplier_relationships_security`	`#Governance_and_Ecosystem`
6.7	Praca zdalna	`#Preventive`	C I A	`#Protect`	`#Asset_management` `#Information_protection` `#Physical_security` `#System_and_network_security`	`#Protection`
6.8	Zgłaszanie zdarzeń bezpieczeństwa informacji	`#Detective`	C I A	`#Detect`	`#Information_security_event_management`	`#Defence`

Zabezpieczenia fizyczne (7.1–7.14)

Nr	Zabezpieczenie	Typ	CIA	Koncepcje	Zdolności	Domeny
7.1	Fizyczne granice bezpieczeństwa	`#Preventive`	C I A	`#Protect`	`#Physical_security`	`#Protection`
7.2	Fizyczne wejście	`#Preventive`	C I A	`#Protect`	`#Physical_security` `#Identity_and_access_management`	`#Protection`
7.3	Zabezpieczenie biur, pomieszczeń i obiektów	`#Preventive`	C I A	`#Protect`	`#Asset_management` `#Physical_security`	`#Protection`
7.4 ★	Monitorowanie bezpieczeństwa fizycznego	`#Preventive` `#Detective`	C I A	`#Protect` `#Detect`	`#Physical_security`	`#Protection` `#Defence`
7.5	Ochrona przed zagrożeniami fizycznymi i środowiskowymi	`#Preventive`	C I A	`#Protect`	`#Physical_security`	`#Protection`
7.6	Praca w strefach chronionych	`#Preventive`	C I A	`#Protect`	`#Physical_security`	`#Protection`
7.7	Czyste biurko i czysty ekran	`#Preventive`	C	`#Protect`	`#Physical_security`	`#Protection`
7.8	Rozmieszczenie i ochrona sprzętu	`#Preventive`	C I A	`#Protect`	`#Asset_management` `#Physical_security`	`#Protection`
7.9	Bezpieczeństwo aktywów poza siedzibą	`#Preventive`	C I A	`#Protect`	`#Asset_management` `#Physical_security`	`#Protection`
7.10	Nośniki danych	`#Preventive`	C I A	`#Protect`	`#Asset_management` `#Physical_security`	`#Protection`
7.11	Media i instalacje wspierające	`#Preventive` `#Detective`	I A	`#Protect` `#Detect`	`#Physical_security`	`#Protection`
7.12	Bezpieczeństwo okablowania	`#Preventive`	C A	`#Protect`	`#Physical_security`	`#Protection`
7.13	Konserwacja sprzętu	`#Preventive`	C I A	`#Protect`	`#Asset_management` `#Physical_security`	`#Protection` `#Resilience`
7.14	Bezpieczna utylizacja lub ponowne użycie sprzętu	`#Preventive`	C	`#Protect`	`#Asset_management` `#Physical_security`	`#Protection`

Zabezpieczenia technologiczne (8.1–8.34)

Nr	Zabezpieczenie	Typ	CIA	Koncepcje	Zdolności	Domeny
8.1	Urządzenia końcowe użytkowników	`#Preventive`	C I A	`#Protect`	`#Asset_management` `#Information_protection`	`#Protection`
8.2	Uprawnienia uprzywilejowane	`#Preventive`	C I A	`#Protect`	`#Identity_and_access_management`	`#Protection`
8.3	Ograniczenie dostępu do informacji	`#Preventive`	C I A	`#Protect`	`#Identity_and_access_management`	`#Protection`
8.4	Dostęp do kodu źródłowego	`#Preventive`	C I A	`#Protect`	`#Application_security` `#Secure_configuration` `#Identity_and_access_management`	`#Protection`
8.5	Bezpieczne uwierzytelnianie	`#Preventive`	C I A	`#Protect`	`#Identity_and_access_management`	`#Protection`
8.6	Zarządzanie pojemnością	`#Preventive` `#Detective`	I A	`#Identify` `#Protect` `#Detect`	`#Continuity`	`#Governance_and_Ecosystem` `#Protection`
8.7	Ochrona przed złośliwym oprogramowaniem	`#Preventive` `#Detective` `#Corrective`	C I A	`#Protect` `#Detect`	`#Information_protection` `#System_and_network_security`	`#Protection` `#Defence`
8.8	Zarządzanie podatnościami technicznymi	`#Preventive`	C I A	`#Identify` `#Protect`	`#Threat_and_vulnerability_management`	`#Governance_and_Ecosystem` `#Protection` `#Defence`
8.9 ★	Zarządzanie konfiguracją	`#Preventive`	C I A	`#Protect`	`#Secure_configuration`	`#Protection`
8.10 ★	Usuwanie informacji	`#Preventive`	C	`#Protect`	`#Information_protection` `#Legal_and_compliance`	`#Protection`
8.11 ★	Maskowanie danych	`#Preventive`	C	`#Protect`	`#Information_protection`	`#Protection`
8.12 ★	Zapobieganie wyciekom danych	`#Preventive` `#Detective`	C	`#Protect` `#Detect`	`#Information_protection`	`#Protection` `#Defence`
8.13	Kopie zapasowe informacji	`#Corrective`	I A	`#Recover`	`#Continuity`	`#Protection`
8.14	Redundancja środków przetwarzania informacji	`#Preventive`	A	`#Protect`	`#Asset_management` `#Continuity`	`#Protection` `#Resilience`
8.15	Rejestrowanie zdarzeń	`#Detective`	C I A	`#Detect`	`#Information_security_event_management`	`#Protection` `#Defence`
8.16 ★	Monitorowanie działań	`#Detective` `#Corrective`	C I A	`#Detect` `#Respond`	`#Information_security_event_management`	`#Defence`
8.17	Synchronizacja zegarów	`#Detective`	I	`#Protect` `#Detect`	`#Information_security_event_management`	`#Protection` `#Defence`
8.18	Używanie uprzywilejowanych programów narzędziowych	`#Preventive`	C I A	`#Protect`	`#System_and_network_security` `#Application_security` `#Secure_configuration`	`#Protection`
8.19	Instalowanie oprogramowania w systemach eksploatowanych	`#Preventive`	C I A	`#Protect`	`#Application_security` `#Secure_configuration`	`#Protection`
8.20	Bezpieczeństwo sieci	`#Preventive` `#Detective`	C I A	`#Protect` `#Detect`	`#System_and_network_security`	`#Protection`
8.21	Bezpieczeństwo usług sieciowych	`#Preventive`	C I A	`#Protect`	`#System_and_network_security`	`#Protection`
8.22	Podział sieci	`#Preventive`	C I A	`#Protect`	`#System_and_network_security`	`#Protection`
8.23 ★	Filtrowanie stron internetowych	`#Preventive`	C I A	`#Protect`	`#System_and_network_security`	`#Protection`
8.24	Stosowanie kryptografii	`#Preventive`	C I A	`#Protect`	`#Secure_configuration`	`#Protection`
8.25	Bezpieczny cykl życia wytwarzania	`#Preventive`	C I A	`#Protect`	`#System_and_network_security` `#Application_security`	`#Protection`
8.26	Wymagania bezpieczeństwa aplikacji	`#Preventive`	C I A	`#Protect`	`#System_and_network_security` `#Application_security`	`#Protection` `#Defence`
8.27	Bezpieczna architektura i zasady inżynierii systemów	`#Preventive`	C I A	`#Protect`	`#System_and_network_security` `#Application_security`	`#Protection`
8.28 ★	Bezpieczne programowanie	`#Preventive`	C I A	`#Protect`	`#System_and_network_security` `#Application_security`	`#Protection`
8.29	Testy bezpieczeństwa w wytwarzaniu i odbiorze	`#Preventive`	C I A	`#Identify`	`#System_and_network_security` `#Application_security` `#Information_security_assurance`	`#Protection`
8.30	Wytwarzanie zlecone na zewnątrz	`#Preventive` `#Detective`	C I A	`#Identify` `#Protect` `#Detect`	`#System_and_network_security` `#Application_security` `#Supplier_relationships_security`	`#Governance_and_Ecosystem` `#Protection`
8.31	Rozdzielenie środowisk rozwojowych, testowych i produkcyjnych	`#Preventive`	C I A	`#Protect`	`#System_and_network_security` `#Application_security`	`#Protection`
8.32	Zarządzanie zmianami	`#Preventive`	C I A	`#Protect`	`#System_and_network_security` `#Application_security`	`#Protection`
8.33	Dane testowe	`#Preventive`	C I	`#Protect`	`#Information_protection`	`#Protection`
8.34	Ochrona systemów informacyjnych podczas testów audytowych	`#Preventive`	C I A	`#Protect`	`#Information_protection` `#System_and_network_security`	`#Governance_and_Ecosystem` `#Protection`

W kolumnie CIA: C — poufność, I — integralność, A — dostępność.

Po co ten załącznik​

Własne atrybuty organizacji​

Macierz atrybutów​

Zabezpieczenia organizacyjne (5.1–5.37)​

Zabezpieczenia dotyczące ludzi (6.1–6.8)​

Zabezpieczenia fizyczne (7.1–7.14)​

Zabezpieczenia technologiczne (8.1–8.34)​