Przejdź do głównej zawartości

5.29 Bezpieczeństwo informacji podczas zakłóceń

W skrócie: kiedy organizacja działa w trybie awaryjnym, bezpieczeństwo informacji nie znika — jest zaplanowane, w razie potrzeby zastąpione zabezpieczeniami kompensującymi.

Cel: ochrona informacji i innych powiązanych aktywów podczas zakłóceń.

Atrybuty​

Typ atrybutuWartości
Typ zabezpieczenia#Preventive (prewencyjne), #Corrective (korygujące)
Właściwości bezpieczeństwa informacji#Confidentiality (poufność), #Integrity (integralność), #Availability (dostępność)
Koncepcje cyberbezpieczeństwa#Protect (ochrona), #Respond (reagowanie)
Zdolności operacyjne#Continuity (ciągłość działania)
Domeny bezpieczeństwa#Protection (ochrona), #Resilience (odporność)

Znaczenie atrybutów opisuje 4.2 Tematy i atrybuty.

Wytyczne​

  • Organizacja określa wymagania dotyczące dostosowania zabezpieczeń w czasie zakłóceń i ujmuje je w procesie zarządzania ciągłością działania.
  • Plany opracowuje się, wdraża, testuje, przegląda i ocenia tak, by utrzymać lub przywrócić bezpieczeństwo informacji krytycznych procesów biznesowych po przerwie lub awarii.
  • Plany obejmują zabezpieczenia w czasie zakłócenia, procesy utrzymywania istniejących zabezpieczeń i zabezpieczenia kompensujące dla tych, których nie da się utrzymać.
  • Analiza wpływu na działalność (BIA) i ocena ryzyka uwzględniają skutki utraty poufności i integralności, a nie tylko dostępności.

W praktyce​

Przykłady i narzędzia poniżej to praktyka branżowa, nie treść normy.

  • Procedura „break glass” dla kont awaryjnych — z rejestracją użycia i obowiązkową zmianą haseł po zakończeniu.
  • Zapasowa lokalizacja z tym samym poziomem kontroli dostępu co główna.
  • Plan komunikacji na wypadek niedostępności poczty firmowej — ustalony kanał alternatywny, a nie prywatne komunikatory.

Powiązania​