Czym jest system zarządzania bezpieczeństwem informacji?

To zestaw polityk, ról, procesów i zapisów, dzięki którym organizacja zarządza bezpieczeństwem informacji celowo, a nie przypadkiem. System zarządzania bezpieczeństwem informacji (SZBI, ang. ISMS) stale odpowiada na kilka pytań: jakie informacje i systemy są ważne, jakie ryzyka im zagrażają, jakie środki stosujemy, kto za co odpowiada, skąd wiemy, że środki działają, i jak się poprawiamy, gdy nie działają. W praktyce składa się z dokumentów, takich jak polityka bezpieczeństwa, ocena ryzyka i plan postępowania z ryzykiem, deklaracja stosowanych zabezpieczeń, procedury dotyczące incydentów i dostawców, oraz z dowodów, że są przestrzegane: rejestrów szkoleń, przeglądów uprawnień, wyników audytów i protokołów przeglądów zarządzania. Nazywa się systemem, bo działa w cyklu planuj, wykonaj, sprawdź, działaj. Wymagania wobec niego określa ISO/IEC 27001, ale z tej struktury korzystają nawet firmy, które nigdy nie starają się o certyfikat, a obowiązki zarządzania ryzykiem z NIS2NIS2: druga unijna dyrektywa w sprawie bezpieczeństwa sieci i informacji. Unijne prawo o cyberbezpieczeństwie (dyrektywa (UE) 2022/2555), które nakłada na wiele firm obowiązki bezpieczeństwa i zgłaszania incydentów. naturalnie się w niej mieszczą. Narzędzie monitorujące to jedno z zabezpieczeń w tym systemie i źródło dowodów, a nie sam system.

← Wszystkie pytania (15): Normy bezpieczeństwa: ISO 27001, SOC 2Wszystkie tematy