5.8 Bezpieczeństwo informacji w zarządzaniu projektami
W skrócie: każdy projekt — niezależnie od rodzaju i metodyki — ma ocenione ryzyka bezpieczeństwa i określone wymagania, które są sprawdzane przed zakończeniem.
Cel: skuteczne uwzględnienie ryzyk bezpieczeństwa informacji związanych z projektami i ich produktami przez cały cykl życia projektu.
Atrybuty
| Typ atrybutu | Wartości |
|---|---|
| Typ zabezpieczenia | #Preventive (prewencyjne) |
| Właściwości bezpieczeństwa informacji | #Confidentiality (poufność), #Integrity (integralność), #Availability (dostępność) |
| Koncepcje cyberbezpieczeństwa | #Identify (identyfikacja), #Protect (ochrona) |
| Zdolności operacyjne | #Governance (ład i nadzór) |
| Domeny bezpieczeństwa | #Governance_and_Ecosystem (ład i ekosystem), #Protection (ochrona) |
Znaczenie atrybutów opisuje 4.2 Tematy i atrybuty.
Wytyczne
- Bezpieczeństwo informacji wpisuje się w metodykę zarządzania projektami — dotyczy projektów każdego typu, nie tylko IT.
- Ryzyka bezpieczeństwa ocenia się i postępuje z nimi wcześnie i okresowo w trakcie projektu.
- Wymagania bezpieczeństwa wobec produktów projektu określa się na podstawie m.in. klasyfikacji informacji, potrzeb biznesowych, wymagań prawnych i umownych oraz oczekiwanego poziomu zaufania do tożsamości użytkowników.
- Wymagania obejmują też kwestie takie jak dostęp, informowanie użytkowników o ich obowiązkach, ochronę przetwarzanych informacji i zgodność z otoczeniem prawnym.
- Postęp w realizacji wymagań bezpieczeństwa sprawdza się na kolejnych etapach projektu. Odpowiedzialności za bezpieczeństwo w projekcie są zdefiniowane.
- Przy produktach i usługach pozyskiwanych od dostawców wymagania bezpieczeństwa przenosi się do umów (zob. 5.20).
W praktyce
Przykłady i narzędzia poniżej to praktyka branżowa, nie treść normy.
- Bramka bezpieczeństwa (security gate) w cyklu projektu — przegląd ryzyk na starcie, przed wdrożeniem i przy zamknięciu.
- Ocena skutków dla ochrony danych (DPIA) uruchamiana przez kartę projektu, gdy projekt przetwarza dane osobowe.
- W metodykach zwinnych: wymagania bezpieczeństwa jako elementy backlogu i kryteria akceptacji, a nie osobny dokument.
Powiązania
- ISO/IEC 27001:2022: Załącznik A, A.5.8 — wykaz zabezpieczeń organizacyjnych.
- Pokrewne zabezpieczenia: 8.25 Bezpieczny cykl życia wytwarzania, 8.26 Wymagania bezpieczeństwa aplikacji, 8.27 Bezpieczna architektura i zasady inżynierii systemów, 5.20 Uwzględnianie bezpieczeństwa informacji w umowach z dostawcami.
- ISO/IEC 27002:2013: 6.1.5, 14.1.1.