Przejdź do głównej zawartości

03.1 Terminy i definicje

ISO/IEC 27002:2022 ma własną listę definicji w rozdziale 3 — nie odsyła do ISO/IEC 27000, jak robiło wydanie 2013. Poniżej najważniejsze pojęcia omówione własnymi słowami, nie przytoczone. Oficjalne definicje ISO można sprawdzić bezpłatnie w ISO Online Browsing Platform.

Pojęcia podstawowe​

  • Zabezpieczenie (control) — środek, który utrzymuje lub zmienia ryzyko: polityka, procedura, praktyka, rozwiązanie techniczne lub organizacyjne. W tym opracowaniu „zabezpieczenie”, w starszych tekstach także „środek kontroli” lub „kontrola”.
  • Aktywo (asset) — wszystko, co ma wartość dla organizacji. Norma odróżnia aktywa podstawowe (informacje, procesy biznesowe) od wspierających (sprzęt, oprogramowanie, sieci, ludzie, lokalizacje).
  • Informacje i inne powiązane aktywa — sformułowanie, którym norma obejmuje informacje oraz wszystko, co służy do ich przetwarzania.
  • Właściciel — osoba lub zespół odpowiedzialny za aktywo lub ryzyko. Nie musi mieć praw własności w sensie prawnym (zob. 5.9).

Właściwości bezpieczeństwa​

  • Poufność — informacja nie jest udostępniana ani ujawniana nieuprawnionym osobom, podmiotom ani procesom.
  • Integralność — informacja jest dokładna i kompletna.
  • Dostępność — informacja jest dostępna i użyteczna na żądanie uprawnionego podmiotu.

Dostęp​

  • Uwierzytelnianie (authentication) — potwierdzenie, że deklarowana cecha podmiotu, np. jego tożsamość, jest prawdziwa. Odpowiada na pytanie „czy jesteś tym, za kogo się podajesz?” — samo podanie identyfikatora to identyfikacja.
  • Autoryzacja — przyznanie uprawnień do określonych działań. Odpowiada na pytanie „co ci wolno?”. To dwa różne pojęcia, a mylenie ich prowadzi do błędów w politykach dostępu.
  • Kontrola dostępu — środki zapewniające, że dostęp fizyczny i logiczny do aktywów jest uprawniony i ograniczony według wymagań biznesowych i bezpieczeństwa.

Zdarzenia i incydenty​

  • Zdarzenie bezpieczeństwa informacji (event) — sytuacja wskazująca na możliwe naruszenie bezpieczeństwa albo zawiedzenie zabezpieczeń. Zgłasza się zdarzenia (6.8), a nie tylko potwierdzone incydenty.
  • Incydent bezpieczeństwa informacji (incident) — jedno lub więcej powiązanych zdarzeń, które mogą zaszkodzić aktywom organizacji lub zakłócić jej działanie. O tym, czy zdarzenie jest incydentem, decyduje ocena (5.25).

Każdy incydent jest zdarzeniem, ale nie każde zdarzenie jest incydentem.

Polityki i dokumenty​

  • Polityka — intencje i kierunek organizacji formalnie wyrażone przez kierownictwo.
  • Polityka tematyczna (topic-specific policy) — polityka dla konkretnego obszaru, np. kontroli dostępu albo kopii zapasowych. Pojęcie nowe w wydaniu 2022 (zob. 5.1).
  • Procedura — określony sposób wykonania działania lub procesu.
  • Zapis (record) — informacja tworzona lub przechowywana jako dowód działalności (zob. 5.33).

Inne pojęcia z wydania 2022​

  • Urządzenie końcowe użytkownika — urządzenie, z którego użytkownik korzysta z usług przetwarzania informacji: komputer stacjonarny, laptop, smartfon, tablet (zob. 8.1).
  • Dane osobowe (PII, personally identifiable information) — informacje, które pozwalają zidentyfikować osobę lub mogą być z nią powiązane. W UE ich ochronę reguluje RODO (zob. 5.34).
  • Podmiot przetwarzający PII — strona przetwarzająca dane osobowe w imieniu i według poleceń administratora.
  • Systemy eksploatowane (operational systems) — systemy w środowisku produkcyjnym. To nie są systemy operacyjne (operating systems) — ta pomyłka w tłumaczeniu często zmienia sens zabezpieczeń 8.9, 8.19 i 8.34.