5.36 Zgodność z politykami, zasadami i standardami bezpieczeństwa informacji
W skrócie: kierownicy i właściciele systemów regularnie sprawdzają, czy w ich obszarze polityki i standardy bezpieczeństwa są przestrzegane, i korygują odstępstwa.
Cel: zapewnienie, że bezpieczeństwo informacji jest wdrażane i stosowane zgodnie z polityką główną, politykami tematycznymi, zasadami i standardami organizacji.
Atrybuty
| Typ atrybutu | Wartości |
|---|---|
| Typ zabezpieczenia | #Preventive (prewencyjne) |
| Właściwości bezpieczeństwa informacji | #Confidentiality (poufność), #Integrity (integralność), #Availability (dostępność) |
| Koncepcje cyberbezpieczeństwa | #Identify (identyfikacja), #Protect (ochrona) |
| Zdolności operacyjne | #Legal_and_compliance (prawo i zgodność), #Information_security_assurance (zapewnienie bezpieczeństwa informacji) |
| Domeny bezpieczeństwa | #Governance_and_Ecosystem (ład i ekosystem) |
Znaczenie atrybutów opisuje 4.2 Tematy i atrybuty.
Wytyczne
- Kierownicy, właściciele usług, produktów lub informacji określają, jak przeglądać zgodność w swoim obszarze. Warto korzystać z narzędzi automatycznego pomiaru i raportowania.
- Gdy przegląd wykaże niezgodność, kierownicy ustalają przyczyny, oceniają potrzebę działań korygujących, wdrażają je i sprawdzają ich skuteczność.
- Wyniki przeglądów i działań korygujących rejestruje się i raportuje osobom wykonującym niezależne przeglądy (5.35).
- Działania korygujące realizuje się terminowo, adekwatnie do ryzyka. Jeśli nie zakończą się przed kolejnym przeglądem, ich postęp omawia się podczas tego przeglądu.
- Do tego zabezpieczenia należy także przegląd zgodności technicznej systemów ze standardami bezpieczeństwa organizacji.
W praktyce
Przykłady i narzędzia poniżej to praktyka branżowa, nie treść normy.
- Skanery konfiguracji porównujące systemy ze standardem (np. benchmarki CIS) i raportujące odchylenia (zob. 8.9).
- Pulpit zgodności dla kierowników: niezamknięte ustalenia, przeterminowane przeglądy uprawnień, szkolenia nieukończone w zespole.
- Rejestr wyjątków od polityk z datą ważności — wyjątek bez terminu staje się stałą niezgodnością.
Powiązania
- ISO/IEC 27001:2022: Załącznik A, A.5.36 — wykaz zabezpieczeń organizacyjnych; klauzula 9.1 Monitorowanie, pomiary, analiza i ocena.
- Pokrewne zabezpieczenia: 5.1 Polityki bezpieczeństwa informacji, 5.35 Niezależny przegląd bezpieczeństwa informacji, 8.8 Zarządzanie podatnościami technicznymi, 8.9 Zarządzanie konfiguracją.
- ISO/IEC 27002:2013: 18.2.2, 18.2.3.