5.9 Inwentaryzacja informacji i innych powiązanych aktywów
W skrócie: organizacja wie, jakie ma informacje i inne powiązane aktywa, gdzie one są i kto jest ich właścicielem.
Cel: identyfikacja informacji i innych powiązanych aktywów organizacji, aby chronić ich bezpieczeństwo i przypisać właściwą własność.
Atrybuty
| Typ atrybutu | Wartości |
|---|---|
| Typ zabezpieczenia | #Preventive (prewencyjne) |
| Właściwości bezpieczeństwa informacji | #Confidentiality (poufność), #Integrity (integralność), #Availability (dostępność) |
| Koncepcje cyberbezpieczeństwa | #Identify (identyfikacja) |
| Zdolności operacyjne | #Asset_management (zarządzanie aktywami) |
| Domeny bezpieczeństwa | #Governance_and_Ecosystem (ład i ekosystem), #Protection (ochrona) |
Znaczenie atrybutów opisuje 4.2 Tematy i atrybuty.
Wytyczne
- Inwentarz obejmuje informacje oraz inne aktywa z nimi związane: sprzęt, oprogramowanie, usługi, a także ludzi i obiekty, jeśli są istotne dla przetwarzania informacji.
- Inwentarz powinien być dokładny, aktualny, spójny i zgodny z innymi rejestrami. Może składać się z kilku spisów prowadzonych w różnych miejscach — nie musi to być jedna baza.
- Poziom szczegółowości dobiera się do potrzeb organizacji. Ważne, by inwentarz wskazywał lokalizację aktywów.
- Każde aktywo ma właściciela — osobę lub zespół odpowiedzialny za zarządzanie aktywem przez cały cykl życia. Właściciel nie musi mieć praw własności w sensie prawnym.
- Właściciel dba m.in. o wpis do inwentarza, klasyfikację i ochronę (5.12), przegląd uprawnień dostępu, właściwe postępowanie przy usuwaniu lub niszczeniu.
- Inwentarz aktualizuje się przy nabyciu, zmianie i wycofaniu aktywów, a nie tylko podczas okresowego spisu.
W praktyce
Przykłady i narzędzia poniżej to praktyka branżowa, nie treść normy.
- Narzędzia CMDB lub ITAM (np. GLPI, Snipe-IT, moduły ServiceNow) zasilane automatycznie przez agentów i skanery sieci.
- Osobny rejestr czynności przetwarzania danych osobowych (art. 30 RODO) jako część inwentarza informacji.
- Inwentarz usług chmurowych i SaaS — często pomijany, a właśnie tam trafia wiele danych.
Powiązania
- ISO/IEC 27001:2022: Załącznik A, A.5.9 — wykaz zabezpieczeń organizacyjnych.
- Pokrewne zabezpieczenia: 5.10 Dopuszczalne użycie informacji i innych powiązanych aktywów, 5.11 Zwrot aktywów, 5.12 Klasyfikacja informacji, 5.2 Role i odpowiedzialności w zakresie bezpieczeństwa informacji, 8.1 Urządzenia końcowe użytkowników.
- ISO/IEC 27002:2013: 8.1.1, 8.1.2.