5.5 Kontakt z organami
W skrócie: organizacja wie z góry, kiedy i jak kontaktować się z organami — regulatorem, organem nadzorczym, policją czy CSIRT — i kto to robi.
Cel: zapewnienie właściwego przepływu informacji o bezpieczeństwie między organizacją a właściwymi organami prawnymi, regulacyjnymi i nadzorczymi.
Atrybuty
| Typ atrybutu | Wartości |
|---|---|
| Typ zabezpieczenia | #Preventive (prewencyjne), #Corrective (korygujące) |
| Właściwości bezpieczeństwa informacji | #Confidentiality (poufność), #Integrity (integralność), #Availability (dostępność) |
| Koncepcje cyberbezpieczeństwa | #Identify (identyfikacja), #Protect (ochrona), #Respond (reagowanie), #Recover (odtwarzanie) |
| Zdolności operacyjne | #Governance (ład i nadzór) |
| Domeny bezpieczeństwa | #Defence (obrona), #Resilience (odporność) |
Znaczenie atrybutów opisuje 4.2 Tematy i atrybuty.
Wytyczne
- Organizacja ustala, kiedy i przez kogo kontaktuje się z organami oraz jak terminowo zgłasza zidentyfikowane incydenty.
- „Organy” to szerzej niż regulator branżowy: także organy ścigania i nadzoru. Norma wspomina również o kontaktach z innymi instytucjami ważnymi przy zakłóceniach, np. służbami ratunkowymi czy dostawcami mediów.
- Kontakty z organami służą też wymianie informacji o nadchodzących zmianach prawa, które wpłyną na organizację.
- W czasie incydentu kontakty te pomagają w działaniach — np. gdy trzeba skontaktować się z dostawcą usług internetowych albo zgłosić atak do organów ścigania.
- Ustalone wcześniej kanały wspierają też zarządzanie ciągłością działania i reagowanie na incydenty.
W praktyce
Przykłady i narzędzia poniżej to praktyka branżowa, nie treść normy.
- Lista kontaktów w planie reagowania na incydenty: UODO (naruszenia danych osobowych — 72 godziny według art. 33 RODO), właściwy CSIRT według ustawy o KSC — poziomu krajowego (CSIRT NASK, czyli CERT Polska, CSIRT GOV prowadzony przez ABW, CSIRT MON) albo sektorowy (np. CSIRT KNF), policja, regulator sektorowy.
- Gotowe szablony zgłoszeń i wskazana osoba upoważniona do kontaktu w imieniu organizacji.
- Przegląd listy przy aktualizacji planu incydentowego — nieaktualny numer odkryty w trakcie incydentu to strata czasu.
Powiązania
- ISO/IEC 27001:2022: Załącznik A, A.5.5 — wykaz zabezpieczeń organizacyjnych.
- Pokrewne zabezpieczenia: 5.6 Kontakt z grupami specjalistycznymi, 5.24 Planowanie i przygotowanie zarządzania incydentami bezpieczeństwa informacji, 5.26 Reagowanie na incydenty bezpieczeństwa informacji, 5.31 Wymagania prawne, ustawowe, regulacyjne i umowne.
- ISO/IEC 27002:2013: 6.1.3.