6.8 Zgłaszanie zdarzeń bezpieczeństwa informacji
W skrócie: każdy pracownik wie, jak szybko zgłosić coś podejrzanego — i zgłasza zdarzenia, a nie tylko potwierdzone incydenty.
Cel: wsparcie terminowego, spójnego i skutecznego zgłaszania zdarzeń bezpieczeństwa informacji, które personel może zauważyć.
Atrybuty
| Typ atrybutu | Wartości |
|---|---|
| Typ zabezpieczenia | #Detective (wykrywające) |
| Właściwości bezpieczeństwa informacji | #Confidentiality (poufność), #Integrity (integralność), #Availability (dostępność) |
| Koncepcje cyberbezpieczeństwa | #Detect (wykrywanie) |
| Zdolności operacyjne | #Information_security_event_management (zarządzanie zdarzeniami bezpieczeństwa informacji) |
| Domeny bezpieczeństwa | #Defence (obrona) |
Znaczenie atrybutów opisuje 4.2 Tematy i atrybuty.
Wytyczne
- Zabezpieczenie dotyczy zdarzeń (events), a nie incydentów. To zdarzenia obejmują incydenty, naruszenia i podatności — nie odwrotnie. O tym, czy zdarzenie jest incydentem, decyduje ocena (5.25).
- Wszyscy pracownicy i użytkownicy powinni znać swój obowiązek zgłaszania, procedurę i punkt kontaktowy. Mechanizm zgłaszania ma być jak najprostszy, dostępny i zawsze działający.
- Przykładowe sytuacje do zgłoszenia: nieskuteczne zabezpieczenia, naruszenie poufności, integralności lub dostępności, błędy ludzkie, niezgodność z politykami, naruszenia bezpieczeństwa fizycznego, niezatwierdzone zmiany w systemach, awarie i nietypowe zachowanie systemów, naruszenia dostępu, podatności, podejrzenie malware.
- Pracownicy nie powinni samodzielnie sprawdzać podejrzewanych podatności. Takie testy mogą uszkodzić systemy, zniszczyć dowody i narazić osobę na odpowiedzialność prawną.
W praktyce
Przykłady i narzędzia poniżej to praktyka branżowa, nie treść normy.
- Przycisk „Zgłoś phishing” w kliencie poczty oraz jeden adres lub numer do zgłoszeń, znany z każdego szkolenia.
- Potwierdzenie przyjęcia zgłoszenia i podziękowanie — ludzie zgłaszają chętniej, gdy widzą, że to coś zmienia.
- Zgłoszenia od osób z zewnątrz (badacze bezpieczeństwa) przez plik security.txt i politykę ujawniania podatności (ISO/IEC 29147).
Powiązania
- ISO/IEC 27001:2022: Załącznik A, A.6.8 — wykaz zabezpieczeń dotyczących ludzi.
- Pokrewne zabezpieczenia: 5.24 Planowanie i przygotowanie zarządzania incydentami bezpieczeństwa informacji, 5.25 Ocena zdarzeń bezpieczeństwa informacji i decyzja, 6.3 Świadomość, edukacja i szkolenia w zakresie bezpieczeństwa informacji, 8.8 Zarządzanie podatnościami technicznymi.
- ISO/IEC 27002:2013: 16.1.2, 16.1.3.
- Dalsza lektura: seria ISO/IEC 27035.