5.4 Obowiązki kierownictwa
W skrócie: przełożeni wymagają od swoich ludzi stosowania polityk i procedur bezpieczeństwa i tworzą warunki, żeby było to możliwe.
Cel: zapewnienie, że kierownictwo rozumie swoją rolę w bezpieczeństwie informacji i działa tak, by wszyscy pracownicy znali i wypełniali swoje obowiązki.
Atrybuty
| Typ atrybutu | Wartości |
|---|---|
| Typ zabezpieczenia | #Preventive (prewencyjne) |
| Właściwości bezpieczeństwa informacji | #Confidentiality (poufność), #Integrity (integralność), #Availability (dostępność) |
| Koncepcje cyberbezpieczeństwa | #Identify (identyfikacja) |
| Zdolności operacyjne | #Governance (ład i nadzór) |
| Domeny bezpieczeństwa | #Governance_and_Ecosystem (ład i ekosystem) |
Znaczenie atrybutów opisuje 4.2 Tematy i atrybuty.
Wytyczne
- To zabezpieczenie dotyczy kierowników wobec ich zespołów, a nie przywództwa najwyższego kierownictwa w SZBI — to opisuje klauzula 5.1 ISO/IEC 27001.
- Kierownictwo dba, by pracownicy i kontraktorzy przed uzyskaniem dostępu zostali poinformowani o swoich rolach i obowiązkach bezpieczeństwa.
- Pracownicy dostają wytyczne określające, czego się od nich oczekuje w zakresie bezpieczeństwa w ich roli.
- Kierownictwo motywuje do przestrzegania polityk i pokazuje swoim zachowaniem, że traktuje je poważnie.
- Kierownicy dbają o świadomość bezpieczeństwa adekwatną do roli (zob. 6.3) i o zgodność z warunkami zatrudnienia (6.2).
- Pracownicy powinni mieć umiejętności i kwalifikacje potrzebne do bezpiecznej pracy oraz okresowo je odświeżać.
- Należy zapewnić poufny kanał zgłaszania naruszeń polityk (whistleblowing), w miarę możliwości z opcją anonimowości.
- Kierownictwo zapewnia zasoby i czas na realizację procesów bezpieczeństwa.
W praktyce
Przykłady i narzędzia poniżej to praktyka branżowa, nie treść normy.
- Wdrożenie nowego pracownika: przełożony omawia zasady bezpieczeństwa obowiązujące w zespole, zanim osoba dostanie dostęp do systemów.
- Kanał zgłoszeń zgodny z ustawą o ochronie sygnalistów — może służyć także zgłoszeniom naruszeń bezpieczeństwa informacji.
- Cele bezpieczeństwa zespołu (np. ukończone szkolenia, przeglądy uprawnień) w ocenach okresowych kierowników.
Powiązania
- ISO/IEC 27001:2022: Załącznik A, A.5.4 — wykaz zabezpieczeń organizacyjnych; klauzula 5.1 Przywództwo i zaangażowanie.
- Pokrewne zabezpieczenia: 5.1 Polityki bezpieczeństwa informacji, 5.2 Role i odpowiedzialności w zakresie bezpieczeństwa informacji, 6.2 Warunki zatrudnienia, 6.3 Świadomość, edukacja i szkolenia w zakresie bezpieczeństwa informacji, 6.4 Postępowanie dyscyplinarne.
- ISO/IEC 27002:2013: 7.2.1.