Co zawierają pliki
- zakres SZBI z kwestiami wewnętrznymi i zewnętrznymi, pytaniem o zmianę klimatu ze zmiany 1:2024, stronami zainteresowanymi i ich wymaganiami, lokalizacjami, wyłączeniami i interfejsami (punkty 4.1–4.3);
- politykę bezpieczeństwa informacji ze zobowiązaniami najwyższego kierownictwa, rolami i Państwa politykami tematycznymi (5.2);
- szacowanie ryzyka: metodę, skale od 1 do 5, próg akceptacji i rejestr z obliczonym prawdopodobieństwem × skutkiem dla każdego ryzyka (6.1.2);
- plan postępowania z ryzykiem z opcją, zabezpieczeniami z załącznika A, działaniem, osobą odpowiedzialną i terminem oraz kolumną na zatwierdzenie przez każdego właściciela ryzyka (6.1.3);
- deklarację stosowania: wszystkie 93 zabezpieczenia z załącznika A, włączone lub wyłączone, uzasadnienie (ryzyka, które zabezpieczenie ogranicza, są wpisywane automatycznie) i stan wdrożenia (6.1.3 d), także jako plik CSV do arkusza;
- cele bezpieczeństwa informacji z miernikiem, zasobami, osobą odpowiedzialną i terminem (6.2) oraz plik „przeczytaj najpierw” z tym, czego norma wymaga poza tymi plikami.
Co pakiet sprawdza
Poziom ryzyka jest obliczany tylko z ocen całkowitych od 1 do 5; wszystko inne jest oznaczane do uzupełnienia. Numer zabezpieczenia, którego nie ma w załączniku A, jest pokazywany jako odrzucony, nigdy zgadywany. Zabezpieczenie wyłączone, choć opiera się na nim któreś z ryzyk, jest oznaczane w formularzu i w deklaracji stosowania. Nic nie zostaje puste bez ostrzeżenia: każda luka ma oznaczenie DO UZUPEŁNIENIA lub jego odpowiednik w języku dokumentu.
ISO 27001 a NIS2
Dyrektywa NIS2 (UE) 2022/2555 nie wymaga certyfikacji ISO/IEC 27001. Jej art. 21 zobowiązuje podmioty kluczowe i ważne do środków zarządzania ryzykiem uwzględniających, w stosownych przypadkach, odpowiednie normy europejskie i międzynarodowe, a art. 25 nakazuje państwom członkowskim zachęcać do ich stosowania. Szacowanie ryzyka, polityka i deklaracja stosowania to typowy sposób pokazania, jak te środki dobrano. Jak pakiet przypisuje polityki do SOC 2 i art. 21: polityki SOC 2 i NIS2.
Czego pakiet nie robi
Nie zawiera tekstu normy: nazwy zabezpieczeń to nasze własne słowa, a do lektury wymagań potrzebny jest własny egzemplarz ISO/IEC 27001 (w Polsce jako PN-EN ISO/IEC 27001 w PKN). Nie pisze procedur do poszczególnych zabezpieczeń, nie prowadzi audytu wewnętrznego ani przeglądu zarządzania i niczego nie certyfikuje: certyfikat daje tylko audyt akredytowanej jednostki certyfikującej. Dokumenty są po polsku, angielsku, niemiecku, hiszpańsku, francusku i włosku.
Nic, co Państwo wpisują, nie opuszcza przeglądarki; pliki powstają na Państwa urządzeniu. Wzory, nie porada prawna.