ISO/IEC 27001 zahteva dokumentirane informacije med drugim za obseg ISMS, politiko informacijske varnosti, proces ocene in obravnave tveganj, izjavo o uporabnosti, cilje, zapise o usposobljenosti ter rezultate nadzora, presoj, vodstvenega pregleda in korektivnih ukrepov.
Standard govori o »dokumentiranih informacijah«. To so lahko dokumenti (politike, postopki) ali zapisi (dokazi o izvedbi). Spodaj je pregled po točkah standarda, ne prepis besedila.
Dokumenti, ki jih standard zahteva
| Točka | Dokumentirana informacija |
|---|---|
| 4.3 | obseg sistema upravljanja informacijske varnosti |
| 5.2 | politika informacijske varnosti |
| 6.1.2 | proces ocenjevanja tveganj |
| 6.1.3 | proces obravnave tveganj in izjava o uporabnosti |
| 6.2 | cilji informacijske varnosti |
| 7.2 | dokazi o usposobljenosti |
| 8.1 | dokumentacija, potrebna za zaupanje, da se procesi izvajajo kot načrtovano |
Zapisi, ki dokazujejo delovanje
| Točka | Zapis |
|---|---|
| 8.2 | rezultati ocene tveganj |
| 8.3 | rezultati obravnave tveganj |
| 9.1 | rezultati spremljanja in merjenja |
| 9.2 | program presoj in rezultati presoj |
| 9.3 | rezultati vodstvenega pregleda |
| 10.2 | neskladnosti in korektivni ukrepi |
Izjava o uporabnosti navaja vse kontrole iz Priloge A, ali so uvedene, in zakaj so vključene ali izključene.
Dokumenti, ki jih organizacije pogosto dodajo
Standard jih ne predpisuje izrecno, a jih kontrole iz Priloge A pogosto predpostavljajo:
- pravilnik o dopustni uporabi sredstev,
- pravila za nadzor dostopa,
- postopek upravljanja incidentov,
- načrt neprekinjenosti poslovanja in obnove,
- pravila za varnostne kopije in kriptografijo,
- postopek upravljanja sprememb,
- pravila za dobavitelje,
- postopek ob zaposlitvi in odhodu.
Lahko jih združite v manjše število dokumentov, če je tako pregledneje.
Kako dokumentacijo vzdrževati
- vsak dokument naj ima lastnika, verzijo in datum pregleda,
- skupno mesto hrambe z nadzorom dostopa,
- pregled vsaj enkrat letno in ob večjih spremembah,
- dokumenti naj so kratki in jih zaposleni res uporabljajo.
Pogoste napake
- predloge, prevzete brez prilagoditve (v dokumentu je omenjen oddelek, ki ne obstaja),
- izjava o uporabnosti ni usklajena z oceno tveganj,
- politike brez lastnika in brez datuma pregleda,
- zapisov ni, ker »vsi vedo«.
Več o pripravi najdete na strani Priprava dokumentacije. Če želite najprej videti, kaj že imate, je pravi začetek GAP analiza.
Pogosta vprašanja
Ali moramo imeti dokument za vsako kontrolo iz Priloge A?
Ne. Standard zahteva izjavo o uporabnosti, ne pa posebnega dokumenta za vsako kontrolo. Obseg dokumentacije določi organizacija glede na velikost, kompleksnost in tveganja.
Je več dokumentov boljši sistem?
Ne. Presojevalec preverja, ali dokumenti ustrezajo praksi. Obsežni dokumenti, ki jih nihče ne uporablja, so pogosta neskladnost.
Viri
Članek je strokovni povzetek in ne nadomešča pravnega mnenja. Obveznosti so odvisne od položaja posamezne organizacije.