Jak napisać politykę bezpieczeństwa informacji (ISO 27001, punkt 5.2)

Polityka bezpieczeństwa informacji wymagana przez punkt 5.2 normy ISO 27001 to pojedynczy, nadrzędny dokument ustanowiony przez najwyższe kierownictwo. Mówi, do czego organizacja się zobowiązuje i dlaczego — i jest celowo krótka. Jedna, dwie strony to norma. Dziesięć to sygnał, że wkradło się do niej coś, co należy do polityki szczegółowej.

To dokument najczęściej mylony z całą biblioteką polityk. Jeśli tym, czego naprawdę potrzebujesz, jest zestaw polityk — dopuszczalnego użytkowania, kontroli dostępu, reagowania na incydenty i reszta — zacznij od minimalnego zestawu polityk odwzorowanego na Trust Services Criteria albo od naszych dziewięciu wewnętrznych polityk firmowych z szablonami. Ten artykuł dotyczy tej jednej polityki, która stoi ponad nimi wszystkimi.

Czego wymaga punkt 5.2

Norma jest tu wyjątkowo konkretna. Najwyższe kierownictwo musi ustanowić politykę bezpieczeństwa informacji, która:

• Jest odpowiednia do celu organizacji. Firma płatnicza i studio projektowe nie powinny mieć tej samej polityki. Ogólnikowy tekst to najszybszy sposób, żeby pokazać, że nikt z góry się nią nie zajął.
• Zawiera cele bezpieczeństwa informacji albo daje ramy do ich ustanawiania. Albo podajesz cele, albo opisujesz, jak i przez kogo są ustalane oraz przeglądane. Większość organizacji wybiera wariant z ramami, a same cele trzyma w osobnym, częściej aktualizowanym dokumencie.
• Zawiera zobowiązanie do spełniania mających zastosowanie wymagań związanych z bezpieczeństwem informacji — prawnych, regulacyjnych i umownych.
• Zawiera zobowiązanie do ciągłego doskonalenia systemu zarządzania bezpieczeństwem informacji.

A sama polityka musi:

• być dostępna jako udokumentowana informacja
• być zakomunikowana wewnątrz organizacji
• być dostępna dla stron zainteresowanych, jeśli jest to właściwe

To właśnie na tych trzech ostatnich liniach audyty naprawdę się wykładają. Napisanie polityki to łatwiejsza połowa; udowodnienie, że dotarła do ludzi, to ta połowa, o której zespoły zapominają. Więcej o tym niżej.

Szkielet sekcja po sekcji

Struktura, która spełnia punkt 5.2 bez rozdymania dokumentu:

1. Cel i zakres — jeden akapit o tym, po co polityka istnieje i czego dotyczy, spójny z Twoją deklaracją zakresu SZBI. Nie powtarzaj zakresu; odwołaj się do niego.
2. Deklaracja zobowiązania — co organizacja zobowiązuje się chronić, prostym językiem: poufność, integralność i dostępność informacji klientów i firmy.
3. Cele albo ramy ich ustanawiania — albo same cele, albo zdanie wyjaśniające, że cele są ustalane co roku podczas przeglądu zarządzania i utrzymywane jako udokumentowana informacja.
4. Zobowiązanie do spełniania mających zastosowanie wymagań — obowiązków prawnych, regulacyjnych i umownych istotnych dla bezpieczeństwa informacji.
5. Zobowiązanie do ciągłego doskonalenia — SZBI, w praktyce odwołujące się do punktu 10, nawet jeśli nie z numeru.
6. Role i odpowiedzialności — kto odpowiada za SZBI, kto zatwierdza polityki, czego oczekuje się od każdego pracownika. Trzymaj się nazw ról, a nie nazwisk, żeby dokument nie zmieniał się przy każdej rekrutacji.
7. Polityki wspierające — lista polityk szczegółowych podległych tej jednej, żeby czytelnik wiedział, gdzie szukać detali.
8. Konsekwencje nieprzestrzegania — krótkie, uczciwe zdanie, spójne z Twoimi warunkami zatrudnienia.
9. Zatwierdzenie i przegląd — kto ją zatwierdził, kiedy i w jakim cyklu jest przeglądana.

Czego w niej nie umieszczać

Najprostszy sposób, żeby ten dokument został krótki, to pilnowanie, co ma trafić gdzie indziej. Szczegóły operacyjne należą do polityk szczegółowych i procedur:

• Długość haseł i szczegóły MFA → polityka kontroli dostępu
• Co pracownik może zainstalować na laptopie → polityka dopuszczalnego użytkowania
• Poziomy istotności i ścieżki eskalacji → plan reagowania na incydenty
• Harmonogramy kopii zapasowych i okresy retencji → dokumentacja kopii zapasowych i ciągłości działania
• Jak oceniani są dostawcy → polityka bezpieczeństwa dostawców

Powód nie jest estetyczny. Chodzi o tempo zmian. Nadrzędna polityka powinna być na tyle stabilna, żeby najwyższe kierownictwo mogło ją co roku zatwierdzić ponownie bez czytania diffa. Wszystko, co Twoim zdaniem będzie się zmieniać co kwartał, musi żyć tam, gdzie da się to zmienić co kwartał bez cyklu przeglądu zarządzania. O prowadzeniu tego cyklu życia dla całego zestawu piszemy w tekście o zarządzaniu politykami wewnętrznymi.

Test, który warto zrobić

Daj politykę założycielowi albo menedżerowi wyższego szczebla, który jej nie pisał, odczekaj tydzień i poproś o streszczenie, do czego firma się zobowiązuje. Jeśli potrafi — trafnie, bez dokumentu przed sobą — to jest ona odpowiednia do celu organizacji w tym sensie, o który chodzi w punkcie 5.2. Jeśli tylko wzruszy ramionami, masz szablon z własnym logo, a audytor przepytujący tę samą osobę dojdzie do tego samego wniosku.

To nie jest hipotetyczna technika audytowa. Audytorzy naprawdę rozmawiają z pracownikami, a "najwyższe kierownictwo wykazuje przywództwo i zaangażowanie" ocenia się częściowo po tym, czy ludzie na górze potrafią mówić o własnej polityce. Zobacz punkt 5 o przywództwie, żeby sprawdzić, co jeszcze się pod tym kryje.

Jak ją zakomunikować — i jak to udowodnić

"Zakomunikowana wewnątrz organizacji" to wymaganie, a audytor poprosi o dowody. Wrzucenie dokumentu na współdzielony dysk nie jest komunikacją; to dostępność. Nie bez powodu są to w normie dwa osobne wymagania.

Co działa jako dowód:

• Rejestry potwierdzeń — zapis dla każdego pracownika, że przeczytał aktualną wersję, z datą i numerem potwierdzonej wersji.
• Ujęcie we wdrożeniu nowych osób — polityka jest częścią onboardingu, z zapisem dla każdej nowej osoby.
• Ponowne potwierdzenie przy istotnej zmianie — gdy polityka zmienia się merytorycznie, ludzie potwierdzają nową wersję, zamiast zostawiać starą po cichu jako "zaakceptowaną".
• Dostępność dla stron zainteresowanych — tam, gdzie to właściwe, publiczne streszczenie albo wersja przekazywana klientom pod NDA. Trust center to typowy sposób, żeby to spełnić bez publikowania wewnętrznych szczegółów.

Kontrola wersji ma tu większe znaczenie, niż zespoły zakładają. Jeśli potwierdzenia nie są powiązane z wersją, nie pokażesz, kto co zaakceptował, a zapis przestaje być dowodem.

Zatwierdzanie i cykl przeglądów

Politykę zatwierdza najwyższe kierownictwo — w startupie założyciel albo CTO, ktokolwiek naprawdę ma władzę nad SZBI. Roczny przegląd to typowy cykl, zwykle wpięty w przegląd zarządzania z punktu 9.3, plus przegląd poza cyklem, gdy zmieni się coś istotnego: nowy obowiązek regulacyjny, poważny incydent, zmiana zakresu albo przejęcie.

Zapisz zatwierdzenie. Polityka, której cała historia zatwierdzeń to metadana "ostatnio zmodyfikowane przez" w edytorze dokumentów, jest cienkim dowodem na to, że najwyższe kierownictwo cokolwiek ustanowiło.

Podsumowanie

Napisz jedną, dwie strony, które brzmią jak Twoja firma, opisz cztery rzeczy wymienione w punkcie 5.2 i wskaż polityki szczegółowe, w których siedzą detale. A resztę wysiłku włóż w to, co naprawdę wykłada audyty: doprowadzenie do potwierdzeń, wersjonowania i przeglądów w cyklu, który da się pokazać.

Dalej: punkt 5 w całości, minimalny zestaw polityk — czyli to, co leży pod tą polityką — albo cały przewodnik po punktach 4–10.