4.2 Tematy i atrybuty
Cztery tematy
Każde zabezpieczenie należy do dokładnie jednego tematu. Norma przydziela je według tego, czego dotyczy zabezpieczenie:
| Temat | Rozdział | Kiedy zabezpieczenie tu trafia |
|---|---|---|
| ludzie (people) | 6 | dotyczy poszczególnych osób — np. weryfikacja, szkolenia, umowy, praca zdalna |
| fizyczne (physical) | 7 | dotyczy obiektów fizycznych — budynków, pomieszczeń, sprzętu, nośników |
| technologiczne (technological) | 8 | dotyczy technologii — systemów, sieci, oprogramowania |
| organizacyjne (organizational) | 5 | wszystkie pozostałe |
Temat „ludzie” to więc nie „ludzkie aspekty zarządzania ryzykiem”, tylko zabezpieczenia skierowane do konkretnych osób.
Pięć typów atrybutów
Atrybuty to etykiety, które pozwalają patrzeć na te same 93 zabezpieczenia z różnych stron — np. wybrać
wszystkie wykrywające albo wszystkie dotyczące dostawców. Norma podaje pięć typów. Każde zabezpieczenie
ma w każdym typie jedną lub więcej wartości, zapisywanych z krzyżykiem, np. #Preventive.
| Typ atrybutu | Wartości | Do czego służy |
|---|---|---|
| Typ zabezpieczenia | #Preventive (prewencyjne), #Detective (wykrywające), #Corrective (korygujące) | kiedy działa zabezpieczenie: przed zdarzeniem, w trakcie, po |
| Właściwości bezpieczeństwa informacji | #Confidentiality, #Integrity, #Availability | którą z właściwości chroni (poufność, integralność, dostępność) |
| Koncepcje cyberbezpieczeństwa | #Identify, #Protect, #Detect, #Respond, #Recover | powiązanie z funkcjami ram cyberbezpieczeństwa (ISO/IEC TS 27110, NIST CSF) |
| Zdolności operacyjne | 15 wartości, np. #Governance, #Asset_management, #Identity_and_access_management | z perspektywy praktyka: który obszar pracy działu bezpieczeństwa |
| Domeny bezpieczeństwa | #Governance_and_Ecosystem, #Protection, #Defence, #Resilience | cztery domeny bezpieczeństwa |
Zdolności operacyjne — pełna lista
#Governance (ład i nadzór), #Asset_management (zarządzanie aktywami), #Information_protection (ochrona informacji),
#Human_resource_security (bezpieczeństwo zasobów ludzkich), #Physical_security (bezpieczeństwo fizyczne),
#System_and_network_security (bezpieczeństwo systemów i sieci), #Application_security (bezpieczeństwo aplikacji),
#Secure_configuration (bezpieczna konfiguracja), #Identity_and_access_management (zarządzanie tożsamością i dostępem),
#Threat_and_vulnerability_management (zarządzanie zagrożeniami i podatnościami), #Continuity (ciągłość działania),
#Supplier_relationships_security (bezpieczeństwo relacji z dostawcami), #Legal_and_compliance (prawo i zgodność),
#Information_security_event_management (zarządzanie zdarzeniami bezpieczeństwa informacji),
#Information_security_assurance (zapewnienie bezpieczeństwa informacji).
Domeny bezpieczeństwa
#Governance_and_Ecosystem(ład i ekosystem) — ład w zakresie bezpieczeństwa, zarządzanie ryzykiem, relacje z otoczeniem.#Protection(ochrona) — architektura, administrowanie, zarządzanie tożsamością i dostępem, utrzymanie.#Defence(obrona) — wykrywanie i zarządzanie incydentami.#Resilience(odporność) — ciągłość działania i zarządzanie kryzysowe.
Jak korzystać z atrybutów
- Atrybuty są przykładowe. Organizacja może ich nie używać, dodać własne (np. priorytet, stan wdrożenia, właściciel) albo przypisać inne wartości, jeśli inaczej widzi swoje zabezpieczenia.
- Najprościej: wkleić macierz z Załącznika A do arkusza i filtrować, np. „wszystkie
#Detectivez#Availability”. - Wartości atrybutów na stronach tego opracowania odpowiadają tabeli z normy. Sprawdziłem je na dwóch niezależnych zestawieniach open source (edison-enriquez/ISO27001 i sourcentis/deming) — w razie rozbieżności rozstrzyga tekst normy.