4.3 Układ opisu zabezpieczenia
Układ w normie
Każde z 93 zabezpieczeń ma w normie ten sam układ, w tej kolejności:
- Tytuł — krótka nazwa zabezpieczenia.
- Tabela atrybutów — wartości pięciu typów atrybutów (zob. 4.2).
- Control (zabezpieczenie) — jednozdaniowy opis tego, co należy robić. Ten sam opis trafił do Załącznika A ISO/IEC 27001.
- Purpose (cel) — po co stosuje się zabezpieczenie, jakie ryzyko ogranicza.
- Guidance (wytyczne) — jak można je wdrożyć; często z listą elementów do rozważenia.
- Other information (inne informacje) — kontekst, odesłania do innych norm, uwagi. Przy części zabezpieczeń tej sekcji nie ma.
Wytyczne nie zawsze pasują do każdej organizacji. Norma zaznacza, że mogą być potrzebne inne lub dodatkowe zabezpieczenia.
Układ w tym opracowaniu
Strony zabezpieczeń w rozdziałach 5–8 mają układ zbliżony do normy, ale opisany własnymi słowami:
| Sekcja w opracowaniu | Odpowiednik w normie |
|---|---|
| W skrócie | parafraza Control |
| Cel | parafraza Purpose |
| Atrybuty | tabela atrybutów (wartości są faktami z normy) |
| Wytyczne | omówienie Guidance i Other information |
| W praktyce | brak — narzędzia i przykłady autora, nie treść normy |
| Powiązania | odesłania do ISO/IEC 27001, pokrewnych zabezpieczeń i numeru z wydania 2013 |
W wytycznych „powinien” i „zaleca się” są zamierzone — 27002 formułuje zalecenia (should), a nie wymagania (shall).