Przejdź do głównej zawartości

5.37 Udokumentowane procedury eksploatacyjne

W skrócie: czynności eksploatacyjne związane z przetwarzaniem informacji są spisane i dostępne dla osób, które ich potrzebują.

Cel: zapewnienie poprawnej i bezpiecznej eksploatacji środków przetwarzania informacji.

Atrybuty​

Typ atrybutuWartości
Typ zabezpieczenia#Preventive (prewencyjne), #Corrective (korygujące)
Właściwości bezpieczeństwa informacji#Confidentiality (poufność), #Integrity (integralność), #Availability (dostępność)
Koncepcje cyberbezpieczeństwa#Protect (ochrona), #Recover (odtwarzanie)
Zdolności operacyjne#Asset_management (zarządzanie aktywami), #Physical_security (bezpieczeństwo fizyczne), #System_and_network_security (bezpieczeństwo systemów i sieci), #Application_security (bezpieczeństwo aplikacji), #Secure_configuration (bezpieczna konfiguracja), #Identity_and_access_management (zarządzanie tożsamością i dostępem), #Threat_and_vulnerability_management (zarządzanie zagrożeniami i podatnościami), #Continuity (ciągłość działania), #Information_security_event_management (zarządzanie zdarzeniami bezpieczeństwa informacji)
Domeny bezpieczeństwa#Governance_and_Ecosystem (ład i ekosystem), #Protection (ochrona), #Defence (obrona)

Znaczenie atrybutów opisuje 4.2 Tematy i atrybuty.

Wytyczne​

  • Procedury spisuje się szczególnie, gdy czynność wykonuje wiele osób w ten sam sposób, gdy jest wykonywana rzadko i łatwo ją zapomnieć, gdy jest nowa i niesie ryzyko, oraz przed przekazaniem jej nowemu personelowi.
  • Procedury wskazują osoby odpowiedzialne oraz opisują m.in. bezpieczną instalację i konfigurację systemów, przetwarzanie informacji (automatyczne i ręczne), kopie zapasowe i odporność, harmonogramy i zależności między systemami, obsługę błędów i wyjątków, kontakty wsparcia i eskalację, postępowanie z nośnikami, restart i odtwarzanie po awarii, zarządzanie dziennikami, monitorowanie wydajności i bezpieczeństwa, konserwację.
  • Procedury przegląda się i aktualizuje, a zmiany zatwierdza. Spójne procedury, narzędzia i rozwiązania techniczne w różnych systemach ułatwiają ich stosowanie.

W praktyce​

Przykłady i narzędzia poniżej to praktyka branżowa, nie treść normy.

  • Runbooki w wiki lub repozytorium, wersjonowane razem z kodem infrastruktury.
  • Infrastruktura jako kod (Terraform, Ansible) jako forma udokumentowanej i powtarzalnej procedury — pod warunkiem, że ktoś ją przegląda.
  • Test procedury przez osobę, która jej nie pisała — najszybszy sposób na wykrycie brakujących kroków.

Powiązania​