5.35 Niezależny przegląd bezpieczeństwa informacji
W skrócie: ktoś niezależny od ocenianego obszaru regularnie sprawdza, czy podejście organizacji do bezpieczeństwa jest właściwe i skuteczne.
Cel: zapewnienie ciągłej przydatności, adekwatności i skuteczności podejścia organizacji do zarządzania bezpieczeństwem informacji.
Atrybuty
| Typ atrybutu | Wartości |
|---|---|
| Typ zabezpieczenia | #Preventive (prewencyjne), #Corrective (korygujące) |
| Właściwości bezpieczeństwa informacji | #Confidentiality (poufność), #Integrity (integralność), #Availability (dostępność) |
| Koncepcje cyberbezpieczeństwa | #Identify (identyfikacja), #Protect (ochrona) |
| Zdolności operacyjne | #Information_security_assurance (zapewnienie bezpieczeństwa informacji) |
| Domeny bezpieczeństwa | #Governance_and_Ecosystem (ład i ekosystem) |
Znaczenie atrybutów opisuje 4.2 Tematy i atrybuty.
Wytyczne
- Kierownictwo zleca niezależne przeglądy i przygotowuje dla nich proces. Przeglądy obejmują ocenę możliwości doskonalenia i potrzebę zmian w podejściu, politykach i zabezpieczeniach.
- Przeprowadzają je osoby niezależne od ocenianego obszaru — np. audyt wewnętrzny, niezależny kierownik albo firma zewnętrzna — z odpowiednimi kompetencjami. Osoby te nie powinny podlegać kierownikom ocenianego obszaru.
- Wyniki są zapisywane i raportowane kierownictwu, które zlecało przegląd, oraz w razie potrzeby najwyższemu kierownictwu.
- Przegląd wykonuje się w zaplanowanych odstępach i przy istotnych zmianach: w przepisach, po poważnych incydentach, przy rozpoczęciu nowej działalności, przy wdrożeniu nowych produktów lub usług, przy istotnych zmianach w zabezpieczeniach.
- Gdy przegląd wykaże, że podejście jest nieadekwatne, kierownictwo inicjuje działania korygujące.
W praktyce
Przykłady i narzędzia poniżej to praktyka branżowa, nie treść normy.
- Audyt wewnętrzny SZBI (klauzula 9.2 ISO/IEC 27001) jest typowym sposobem realizacji tego zabezpieczenia.
- Testy penetracyjne wykonywane przez firmę zewnętrzną jako uzupełnienie przeglądu procesowego.
- Rotacja audytorów lub firm co kilka lat, by uniknąć „ślepoty” na znane problemy.
Powiązania
- ISO/IEC 27001:2022: Załącznik A, A.5.35 — wykaz zabezpieczeń organizacyjnych; klauzula 9.2 Audyt wewnętrzny.
- Pokrewne zabezpieczenia: 5.36 Zgodność z politykami, zasadami i standardami bezpieczeństwa informacji, 8.34 Ochrona systemów informacyjnych podczas testów audytowych.
- ISO/IEC 27002:2013: 18.2.1.