8.6 Zarządzanie pojemnością
W skrócie: organizacja wie, ile zasobów zużywa i ile będzie potrzebować, i reaguje, zanim czegoś zabraknie.
Cel: zapewnienie wymaganej pojemności środków przetwarzania informacji, zasobów ludzkich, biur i innych obiektów.
Atrybuty
| Typ atrybutu | Wartości |
|---|---|
| Typ zabezpieczenia | #Preventive (prewencyjne), #Detective (wykrywające) |
| Właściwości bezpieczeństwa informacji | #Integrity (integralność), #Availability (dostępność) |
| Koncepcje cyberbezpieczeństwa | #Identify (identyfikacja), #Protect (ochrona), #Detect (wykrywanie) |
| Zdolności operacyjne | #Continuity (ciągłość działania) |
| Domeny bezpieczeństwa | #Governance_and_Ecosystem (ład i ekosystem), #Protection (ochrona) |
Znaczenie atrybutów opisuje 4.2 Tematy i atrybuty.
Wytyczne
- Wymagania dotyczące pojemności określa się z uwzględnieniem krytyczności systemu.
- Systemy dostraja się i monitoruje, aby zapewnić i — gdzie trzeba — poprawić ich dostępność i wydajność.
- Testy obciążeniowe sprawdzają, czy systemy poradzą sobie ze szczytowym zapotrzebowaniem.
- Stosuje się kontrolę wykrywającą, która sygnalizuje problemy z pojemnością na czas.
- Prognozy przyszłych potrzeb uwzględniają nowe wymagania biznesowe i systemowe oraz trendy w możliwościach przetwarzania.
- Szczególną uwagę poświęca się zasobom o długim czasie pozyskania lub wysokim koszcie.
- Pojemność zwiększa się (nowe zasoby, ludzie, lokalizacje) albo zmniejsza zapotrzebowanie: usuwanie przestarzałych danych, wycofywanie nieużywanych systemów, optymalizacja procesów wsadowych i kodu, ograniczanie przepustowości dla usług niekrytycznych.
- Dla systemów krytycznych rozważa się udokumentowany plan zarządzania pojemnością.
W praktyce
Przykłady i narzędzia poniżej to praktyka branżowa, nie treść normy.
- Alerty na progach (np. dysk powyżej 80%) i prognozy trendu w systemie monitorowania (Prometheus, Zabbix).
- Autoskalowanie w chmurze z limitami budżetowymi.
- Pojemność zespołu bezpieczeństwa i dyżurów też jest pojemnością — norma wprost obejmuje zasoby ludzkie.
Powiązania
- ISO/IEC 27001:2022: Załącznik A, A.8.6 — wykaz zabezpieczeń technologicznych.
- Pokrewne zabezpieczenia: 5.30 Gotowość ICT do zapewnienia ciągłości działania, 8.14 Redundancja środków przetwarzania informacji, 8.16 Monitorowanie działań.
- ISO/IEC 27002:2013: 12.1.3.