Przejdź do głównej zawartości

5.1 Polityki bezpieczeństwa informacji

W skrócie: organizacja ma jedną politykę główną bezpieczeństwa informacji i tyle polityk tematycznych, ile potrzebuje. Każda jest zatwierdzona, znana adresatom i przeglądana.

Cel: kierunek i wsparcie kierownictwa dla bezpieczeństwa informacji, zgodne z potrzebami biznesu, prawem, regulacjami i umowami, utrzymywane w czasie.

Atrybuty​

Typ atrybutuWartości
Typ zabezpieczenia#Preventive (prewencyjne)
Właściwości bezpieczeństwa informacji#Confidentiality (poufność), #Integrity (integralność), #Availability (dostępność)
Koncepcje cyberbezpieczeństwa#Identify (identyfikacja)
Zdolności operacyjne#Governance (ład i nadzór)
Domeny bezpieczeństwa#Governance_and_Ecosystem (ład i ekosystem), #Resilience (odporność)

Znaczenie atrybutów opisuje 4.2 Tematy i atrybuty.

Wytyczne​

  • Norma rozróżnia dwa poziomy. Polityka główna wyznacza podejście organizacji do bezpieczeństwa i zatwierdza ją najwyższe kierownictwo. Polityki tematyczne (np. kontrola dostępu, kopie zapasowe, kryptografia, praca zdalna) zatwierdza kierownictwo odpowiedniego szczebla.
  • Treść polityki głównej powinna wynikać ze strategii biznesowej, wymagań prawnych i umownych oraz bieżących i przewidywanych zagrożeń.
  • Polityka główna powinna m.in. definiować bezpieczeństwo informacji, zawierać lub wskazywać cele bezpieczeństwa, zobowiązanie do spełniania wymagań i do ciągłego doskonalenia, przypisywać odpowiedzialności oraz opisywać postępowanie z wyjątkami.
  • Polityki tematyczne muszą być spójne z polityką główną. Gdy się różnią, rozstrzyga polityka główna — albo trzeba ją zaktualizować.
  • Polityki przekazuje się pracownikom i właściwym stronom zewnętrznym w formie przystępnej i zrozumiałej. Adresaci potwierdzają, że je znają i rozumieją.
  • Przegląd odbywa się w zaplanowanych odstępach oraz przy istotnych zmianach w organizacji, prawie lub zagrożeniach. Norma nie podaje konkretnej częstotliwości — roczny cykl to praktyka, nie wymóg.
  • Przegląd powinien oceniać skuteczność polityki, a nie tylko odświeżać datę. Odpowiada za niego wyznaczona osoba.

W praktyce​

Przykłady i narzędzia poniżej to praktyka branżowa, nie treść normy.

  • Polityka główna mieści się zwykle na 2–4 stronach. Szczegóły techniczne lepiej przenieść do polityk tematycznych i procedur — wtedy zmiana hasła minimalnej długości nie wymaga zgody zarządu.
  • Rejestr polityk z polami: właściciel, zatwierdzający, data ostatniego przeglądu, data następnego przeglądu.
  • Potwierdzenie zapoznania się zbierane w systemie HR lub LMS przy zatrudnieniu i po każdej istotnej zmianie.
  • Typowy zestaw polityk tematycznych odpowiada zabezpieczeniom z rozdziałów 5–8: dostęp (5.15), klasyfikacja (5.12), przekazywanie informacji (5.14), dostawcy (5.19), incydenty (5.24), kopie (8.13), kryptografia (8.24), bezpieczne wytwarzanie (8.25).

Powiązania​