Wzór polityki bezpieczeństwa informacji (SZBI) według ustawy o KSC

Sam wzór polityki bezpieczeństwa informacji nie wystarczy. Ustawa o KSC wymaga także działań rozłożonych w czasie: kierownik podejmuje decyzje w zakresie przeglądu i nadzoru SZBI (art. 8d), incydent poważny zgłasza się w dwóch krokach, najpóźniej 24 godziny i 72 godziny od wykrycia (art. 11 ust. 1 pkt 4 i 4a), a kierownik raz w roku kalendarzowym przechodzi szkolenie (art. 8e ust. 1). Plan Firma w SZBIhub możesz sprawdzić w ramach okresu próbnego.

W skrócie

• Polityka bezpieczeństwa informacji to dokument, który ustanawia system zarządzania bezpieczeństwem informacji (SZBI) w organizacji i opisuje jego zakres, role oraz zasady przeglądu.
• System zarządzania bezpieczeństwem informacji wdraża podmiot kluczowy i podmiot ważny (art. 8 ust. 1 ustawy o KSC). Podmiot ważny będący podmiotem publicznym stosuje zamiast tego wymogi z załącznika nr 4 do ustawy (art. 8 ust. 3).
• Ustawa nie narzuca formy dokumentu. Dokumentacja SZBI jest częścią dokumentacji normatywnej podmiotu (art. 10 ust. 3 pkt 1).
• Wzór SZBIhub ma sekcje: cel i zakres SZBI, zaangażowanie i odpowiedzialność kierownictwa, role i odpowiedzialności, środki bezpieczeństwa i dokumenty powiązane, przegląd, dokumentacja i doskonalenie oraz metryka dokumentu. Postanowienia dla podmiotu publicznego i aneks o dostawcach usług ICT pojawiają się tylko wtedy, gdy dotyczą organizacji.

Co polityka musi zawierać według ustawy

Ustawa o KSC nie podaje listy rozdziałów polityki. Nazywa natomiast elementy, które dokumentacja SZBI ma utrwalić:

1. Zakres SZBI. System obejmuje system informacyjny wykorzystywany w procesach wpływających na świadczenie usługi przez podmiot (art. 8 ust. 1 ustawy o KSC). Polityka wskazuje więc, które usługi, procesy i systemy są w zakresie.
2. Zakres i zasady utrwalone w dokumentacji. Zakres i zasady SZBI utrwala się w dokumentacji SZBI, która jest częścią dokumentacji normatywnej podmiotu (art. 10 ust. 3 pkt 1).
3. Odrębność podmiotu publicznego. Podmiot ważny będący podmiotem publicznym stosuje wymogi SZBI określone w załączniku nr 4 do ustawy (art. 8 ust. 3).
4. Decyzje kierownika. Kierownik podmiotu podejmuje decyzje w zakresie przygotowania, wdrażania, stosowania, przeglądu i nadzoru SZBI (art. 8d ustawy o KSC).

Dobra praktyka, a nie wymóg ustawy, to struktura polityki według PN-EN ISO/IEC 27001 (pkt 4.3 o zakresie SZBI i pkt 5.2 o polityce bezpieczeństwa informacji). Wzór SZBIhub przyjmuje to podejście, ale forma dokumentu pozostaje decyzją organizacji.

Obowiązki kierownictwa, nadzór i środki bezpieczeństwa opisuje artykuł Zarządzanie i nadzór. Ta strona pokazuje sam dokument.

Fragment wzoru

Poniżej dosłowny fragment sekcji „Cel i zakres SZBI” z wzoru polityki SZBIhub. Pola w nawiasach kwadratowych w wygenerowanym dokumencie wypełniają dane organizacji.

Podstawa prawna: art. 8 ust. 1 oraz art. 10 ust. 3 pkt 1 ustawy o KSC.

Niniejsza Polityka ustanawia system zarządzania bezpieczeństwem informacji (dalej: SZBI) w organizacji [nazwa organizacji] oraz określa zasady jego utrzymania, przeglądu i doskonalenia.

Podmiot kluczowy lub podmiot ważny wdraża system zarządzania bezpieczeństwem informacji w systemie informacyjnym wykorzystywanym w procesach wpływających na świadczenie usługi (art. 8 ust. 1 ustawy o KSC). Zakres SZBI organizacji [nazwa organizacji] obejmuje w związku z tym:

1. usługi i procesy, których świadczenie zależy od systemów informacyjnych: [usługi i procesy objęte SZBI];
2. systemy informacyjne oraz inne aktywa wspierające te procesy - ich aktualny wykaz prowadzony jest w rejestrze aktywów, zgodnie z Procedurą zarządzania aktywami;
3. personel oraz strony trzecie (dostawców), w zakresie, w jakim uczestniczą w procesach objętych SZBI.

Sektor działalności organizacji według załączników do ustawy o KSC: [sektor działalności według załączników do ustawy].

Niniejsza Polityka wraz z dokumentami wskazanymi w sekcji “Środki bezpieczeństwa i dokumenty powiązane” stanowi dokumentację systemu zarządzania bezpieczeństwem informacji, będącą częścią dokumentacji normatywnej podmiotu (art. 10 ust. 3 pkt 1 ustawy o KSC).

Forma i struktura niniejszego dokumentu nie są narzucone przez ustawę; jako dobrą praktykę przyjęto podejście PN-EN ISO/IEC 27001 (pkt 4.3: określenie zakresu SZBI; pkt 5.2: polityka bezpieczeństwa informacji). Wyłączenie jakiegokolwiek systemu lub procesu z zakresu SZBI wymaga udokumentowanego uzasadnienia zatwierdzonego przez kierownika podmiotu (propozycja domyślna platformy - organizacja może przyjąć własną regułę).

Jak dopasować wzór do firmy

1. Wypisz usługi i procesy w zakresie. To pole wzoru, od którego zależy reszta dokumentu. Wpisz usługi, których świadczenie zależy od systemów informacyjnych, a nie listę wszystkich działów firmy.
2. Wpisz sektor działalności. Sektor podajesz według załączników do ustawy o KSC.
3. Uzasadnij wyłączenia. Wzór przyjmuje regułę, że wyłączenie systemu lub procesu z zakresu SZBI wymaga udokumentowanego uzasadnienia zatwierdzonego przez kierownika podmiotu. To propozycja domyślna, organizacja może przyjąć własną regułę.
4. Powiąż politykę z innymi dokumentami. Polityka odsyła do rejestru aktywów i Procedury zarządzania aktywami. Zakres SZBI i lista aktywów powinny opisywać te same systemy.
5. Wygeneruj dokument na danych organizacji. Dokument stanowi wzór wspierający realizację danego obowiązku i wymaga dostosowania do organizacji. W SZBIhub plan Firma zaczyna się od 14 dni bezpłatnie, bez podawania karty. W okresie próbnym PDF ma znak wodny SPECIMEN, a plik DOCX do edycji jest dostępny po opłaceniu planu Firma.