Kim są strony zainteresowane w normie ISO 27001?
Strony zainteresowane to osoby, grupy lub organizacje, które mogą wpływać na ISMS, być przez niego dotknięte lub uważać się za dotknięte.…
Przegląd
Strony zainteresowane to osoby, grupy lub organizacje, które mogą wpływać na ISMS, być przez niego dotknięte lub uważać się za dotknięte. Identyfikacja stron zainteresowanych jest podstawowym wymogiem normy ISO 27001:2022 w punkcie 4.2, który kształtuje zakres, cele i priorytety ISMS.
Zrozumienie stron zainteresowanych pomaga w określeniu wymagań bezpieczeństwa, które równoważą potrzeby i oczekiwania interesariuszy z praktycznymi kontrolami bezpieczeństwa.
Strony zainteresowane w praktyce
Norma ISO 27001:2022 wymaga określenia:
- Kim są strony zainteresowane istotne dla twojego ISMS
- Ich wymagań związanych z bezpieczeństwem informacji
- Które wymagania zostaną uwzględnione w ramach ISMS
Ta analiza wpływa na zakres ISMS (punkt 4.3), cele bezpieczeństwa informacji (punkt 6.2) oraz na to, które kontrolki z Załącznika A zostaną wdrożone.
Analiza stron zainteresowanych nie jest działaniem jednorazowym. Musisz ją przeglądać i aktualizować w ramach przeglądu zarządzania, gdy zmieniają się okoliczności.
Kategorie stron zainteresowanych
Wewnętrzne strony zainteresowane
Interesariusze w obrębie twojej organizacji:
- Najwyższe kierownictwo: Wymaga zapewnienia, że bezpieczeństwo informacji wspiera cele biznesowe i chroni organizację przed ryzykiem prawnym/finansowym
- Pracownicy: Potrzebują bezpiecznych systemów do wykonywania swoich obowiązków i oczekują ochrony swoich danych osobowych
- Zespoły IT i bezpieczeństwa: Odpowiedzialne za wdrażanie i utrzymanie kontrolek
- Dział prawny i zgodności: Zapewniają spełnienie obowiązków regulacyjnych
- Liderzy jednostek biznesowych: Równoważą wymagania bezpieczeństwa z efektywnością operacyjną
Zewnętrzne strony zainteresowane
Interesariusze spoza organizacji:
- Klienci: Wymagają ochrony swoich danych i mogą narzucać określone kontrolki (np. szyfrowanie, ograniczenia dostępu)
- Dostawcy i partnerzy: Potrzebują bezpiecznej wymiany danych i mogą mieć kontraktowe wymagania dotyczące bezpieczeństwa
- Organy regulacyjne: Egzekwują zgodność z przepisami takimi jak RODO, HIPAA lub regulacjami branżowymi
- Jednostki certyfikujące: Audytują ISMS pod kątem wymagań normy ISO 27001:2022
- Udziałowcy/inwestorzy: Oczekują ochrony ciągłości działania i reputacji
- Dostawcy ubezpieczeń: Mogą wymagać określonych kontrolek w ramach ubezpieczenia cybernetycznego
Różne strony zainteresowane mogą mieć sprzeczne wymagania. Udokumentuj, w jaki sposób priorytetyzujesz i równoważysz je w zakresie ISMS oraz decyzjach dotyczących postępowania z ryzykiem.
Identyfikacja wymagań
Dla każdej strony zainteresowanej określ jej potrzeby w zakresie bezpieczeństwa informacji:
Przykład – Klienci:
- Wymaganie: Ochrona danych osobowych klientów zgodnie z RODO
- Odpowiedź ISMS: Wdrożenie szyfrowania (A.8.24), kontroli dostępu (A.5.15), polityk retencji danych (A.5.34)
Przykład – Organy regulacyjne:
- Wymaganie: Wykazanie zgodności z przepisami branżowymi dotyczącymi ochrony danych
- Odpowiedź ISMS: Przeprowadzanie regularnych ocen ryzyka, utrzymywanie śladów audytowych, wykonywanie audytów wewnętrznych
Przykład – Partnerzy biznesowi:
- Wymaganie: Bezpieczne połączenia API do wymiany danych
- Odpowiedź ISMS: Wdrożenie bezpiecznej autentykacji (A.5.17), zabezpieczeń sieciowych (A.8.20-A.8.23)
Dokumentowanie stron zainteresowanych
Chociaż norma ISO 27001:2022 nie narzuca konkretnego formatu, twoja dokumentacja powinna zawierać:
- Listę zidentyfikowanych stron zainteresowanych (wewnętrznych i zewnętrznych)
- Ich wymagania dotyczące bezpieczeństwa informacji
- Sposób, w jaki wymagania są uwzględniane w ISMS (powiązane z kontrolkami, celami lub politykami)
- Wszelkie wymagania wyraźnie wyłączone wraz z uzasadnieniem
Nieuwzględnienie wymagań krytycznej strony zainteresowanej może prowadzić do luk w bezpieczeństwie, naruszeń zgodności lub niepowodzeń w audytach. Dokumentuj wyłączenia wraz z jasnym uzasadnieniem biznesowym.
Powiązanie z innymi elementami ISMS
Analiza stron zainteresowanych bezpośrednio wpływa na:
- Zakres ISMS (punkt 4.3): Określa granice na podstawie wymagań stron zainteresowanych
- Politykę bezpieczeństwa informacji (punkt 5.2): Odzwierciedla zobowiązania wobec interesariuszy
- Ocenę ryzyka (punkt 6.1.2): Uwzględnia ryzyka związane z wymaganiami stron zainteresowanych
- Cele bezpieczeństwa informacji (punkt 6.2): Są zgodne z oczekiwaniami stron zainteresowanych
- Komunikację (punkt 7.4): Określa, co i komu należy przekazywać
Praktyczne przykłady
Organizacja opieki zdrowotnej
Strony zainteresowane: Pacjenci (prywatność danych), organy regulacyjne ochrony zdrowia (zgodność z HIPAA), firmy ubezpieczeniowe (bezpieczeństwo danych dotyczących roszczeń), dostawcy urządzeń medycznych (bezpieczne integracje).
Kluczowe wymagania: Zarządzanie zgodą pacjentów, rejestrowanie działań audytowych, szyfrowanie dokumentacji medycznej, oceny bezpieczeństwa dostawców.
Firma SaaS
Strony zainteresowane: Klienci korporacyjni (certyfikacja SOC 2/ISO 27001), użytkownicy końcowi (ochrona danych), dostawcy chmury (współdzielona odpowiedzialność), inwestorzy (ciągłość działania).
Kluczowe wymagania: Audyty stron trzecich, zdolności reagowania na incydenty, kontrola lokalizacji danych, planowanie ciągłości działania.
Użyj ISMS Copilot, aby zidentyfikować strony zainteresowane w twojej branży, powiązać ich wymagania z kontrolkami Załącznika A lub wygenerować szablony dokumentacji do analizy interesariuszy.
Powiązane terminy
- ISMS – Kształtowany przez wymagania stron zainteresowanych
- Ocena ryzyka – Uwzględnia ryzyka związane ze stronami zainteresowanymi
- Polityka bezpieczeństwa informacji – Komunikuje zobowiązania wobec interesariuszy
- Przegląd zarządzania – Przegląda opinie stron zainteresowanych