5.2 Role i odpowiedzialności w zakresie bezpieczeństwa informacji
W skrócie: każde zadanie związane z bezpieczeństwem ma przypisaną osobę, a każda osoba wie, za co odpowiada.
Cel: ustanowienie jasnej, zatwierdzonej i zrozumiałej struktury odpowiedzialności za wdrożenie, działanie i zarządzanie bezpieczeństwem informacji.
Atrybuty
| Typ atrybutu | Wartości |
|---|---|
| Typ zabezpieczenia | #Preventive (prewencyjne) |
| Właściwości bezpieczeństwa informacji | #Confidentiality (poufność), #Integrity (integralność), #Availability (dostępność) |
| Koncepcje cyberbezpieczeństwa | #Identify (identyfikacja) |
| Zdolności operacyjne | #Governance (ład i nadzór) |
| Domeny bezpieczeństwa | #Governance_and_Ecosystem (ład i ekosystem), #Protection (ochrona), #Resilience (odporność) |
Znaczenie atrybutów opisuje 4.2 Tematy i atrybuty.
Wytyczne
- Role i odpowiedzialności definiuje się zgodnie z polityką główną i politykami tematycznymi (5.1), dopasowując je do potrzeb organizacji.
- Norma kładzie nacisk na właścicieli informacji i innych aktywów oraz na właścicieli ryzyka — to oni odpowiadają za ochronę swoich zasobów i akceptację ryzyka.
- Wskazuje się odpowiedzialnych za konkretne procesy bezpieczeństwa, np. zarządzanie ryzykiem, incydentami, dostępem.
- Osoba z rolą może delegować zadania, ale nadal odpowiada za ich wykonanie i powinna sprawdzać, czy delegowane zadania są wykonane właściwie.
- Dla każdego obszaru określa się poziomy uprawnień decyzyjnych i dokumentuje je.
- Osoby w rolach związanych z bezpieczeństwem powinny mieć kompetencje do ich pełnienia i możliwość rozwoju wiedzy.
- Koordynację i nadzór nad całością bezpieczeństwa przypisuje się konkretnej osobie lub zespołowi. Norma nie narzuca nazwy stanowiska — CISO, pełnomocnik czy komitet to wybór organizacji.
W praktyce
Przykłady i narzędzia poniżej to praktyka branżowa, nie treść normy.
- Macierz RACI dla procesów bezpieczeństwa: kto jest odpowiedzialny, kto zatwierdza, kogo się konsultuje, kogo informuje.
- Pole „właściciel” w rejestrze aktywów (5.9) i w rejestrze ryzyk — bez niego trudno wykazać, kto akceptuje ryzyko.
- Zapis odpowiedzialności w zakresach obowiązków i opisach stanowisk, a nie tylko w polityce.
Powiązania
- ISO/IEC 27001:2022: Załącznik A, A.5.2 — wykaz zabezpieczeń organizacyjnych; klauzula 5.3 Role, odpowiedzialności i uprawnienia.
- Pokrewne zabezpieczenia: 5.1 Polityki bezpieczeństwa informacji, 5.3 Rozdzielenie obowiązków, 5.4 Obowiązki kierownictwa, 5.9 Inwentaryzacja informacji i innych powiązanych aktywów.
- ISO/IEC 27002:2013: 6.1.1.