Przejdź do głównej zawartości

5.6 Kontakt z grupami specjalistycznymi

W skrócie: organizacja uczestniczy w społecznościach specjalistów bezpieczeństwa — forach, stowarzyszeniach, grupach wymiany informacji — i korzysta z ich wiedzy.

Cel: zapewnienie właściwego przepływu informacji o bezpieczeństwie między organizacją a grupami specjalistycznymi i forami branżowymi.

Atrybuty​

Typ atrybutuWartości
Typ zabezpieczenia#Preventive (prewencyjne), #Corrective (korygujące)
Właściwości bezpieczeństwa informacji#Confidentiality (poufność), #Integrity (integralność), #Availability (dostępność)
Koncepcje cyberbezpieczeństwa#Protect (ochrona), #Respond (reagowanie), #Recover (odtwarzanie)
Zdolności operacyjne#Governance (ład i nadzór)
Domeny bezpieczeństwa#Defence (obrona)

Znaczenie atrybutów opisuje 4.2 Tematy i atrybuty.

Wytyczne​

  • Special interest groups to grupy specjalistyczne, a nie ogół interesariuszy. Klienci i dostawcy należą do innych zabezpieczeń (5.19–5.22).
  • Członkostwo pomaga poszerzać wiedzę o dobrych praktykach i być na bieżąco z informacjami o bezpieczeństwie.
  • Pozwala dowiedzieć się, że środowisko bezpieczeństwa organizacji jest aktualne i kompletne.
  • Daje wczesne ostrzeżenia o atakach, podatnościach i dostępnych poprawkach.
  • Daje dostęp do porad specjalistów i umożliwia wymianę informacji o nowych technologiach, produktach, zagrożeniach i podatnościach.
  • Zapewnia punkty kontaktu przy obsłudze incydentów.

W praktyce​

Przykłady i narzędzia poniżej to praktyka branżowa, nie treść normy.

  • Sektorowe centra wymiany informacji (ISAC), np. dla finansów czy energetyki, oraz współpraca z CERT Polska.
  • Stowarzyszenia zawodowe (ISSA, ISACA, OWASP — lokalne oddziały) i konferencje branżowe.
  • Subskrypcje biuletynów bezpieczeństwa dostawców i list dyskusyjnych — z ustaleniem, kto je czyta i przekazuje dalej.
  • Zasady, co wolno udostępniać grupie (np. protokół TLP), żeby wymiana nie stała się wyciekiem.

Powiązania​