Как да определим заинтересованите страни съгласно ISO/IEC 27001:2022?

Разбирането на потребностите и очакванията на заинтересованите страни е изискване на т.4.2 от ISO/IEC 27001. Определянето на заинтересованите страни не е сложен процес, когато е ясно какво стои зад понятието заинтересована страна.

Какво е заинтересована страна?

Заинтересованата страна е лице или организацията, които могат да повлияят на СУСИ или да бъдат засегнати от дейностите по сигурност на информацията. Това могат да бъдат собственици, ръководство, акционери, служители, регулаторни и контролни органи, клиенти, доставчици, партньори, правителствени агенции и др.

Как могат да бъдат определени?

т.4.2.а от ISO/IEC 27001:2022 изисква да се определят заинтересованите страни. Тук не става въпрос за всички заинтересовани страни, а само за тези които имат отношение към сигурността на информацията. Добра практика е да се установят важните за бизнеса заинтересовани страни и след това да се прецени, кои от тях имат отношение към сигурността на организацията. Възможно е в организацията да е налична подобен вид информация предвид внедрена система за управление на качеството или друг вид документи като бизнес планове, анализи и др.

Изисквания на заинтересованите страни

Важен момент тук е определянето на изискванията на заинтересованите страни – изискване на т.4.2.b. За целта е необходимо да се разбере какво изискват заинтересованите страни от организацията. Тази информация е необходима, за да може организацията да удовлетвори тези изисквания чрез своята СУСИ.

Примери за изисквания на заинтересовани страни:

• акционери – сигурност на инвестициите, добра възвръщаемост;
• служители – сигурност на личните данни, ясни роли и отговорности;
• клиенти – спазване на клаузите за сигурност в договорите;
• доставчици – спазване на клаузите за сигурност в договорите/споразуменията;
• контролни и регулаторни органи – спазване на приложимите закони, наредби по отношение на сигурността на информацията.

За да има полза от това упражнение е необходимо да се подготви по-конкретна информация за изискванията – кои точно закони и разпоредби и кои клаузи за сигурност.

Примери на закони от българското законодателство:

• закон за защита на класифицираната информация – Обн. ДВ. бр.45 от 30 Април 2002г., последно доп. ДВ. бр.62 от 5 Август 2022г.;
• закон за защита на личните данни – Обн. ДВ. бр.1 от 4 Януари 2002г., последно изм. ДВ. бр.93 от 26 Ноември 2019г.;
• закон за достъп до обществена информация – Обн. ДВ. бр.55 от 7 Юли 2000г., последно изм. ДВ. бр.15 от 22 Февруари 2022г.;
• закон за електронната търговия – Обн. ДВ. бр.51 от 23 Юни 2006г., последно доп. ДВ. бр.53 от 8 Юли 2022г.;
• закон за електронния документ и електронния подпис – Обн. ДВ. бр.34 от 6 Април 2001г., последно изм. ДВ. бр.58 от 23 Юли 2019г.;
• закон за авторското право и сродните му права – Обн. ДВ. бр.56 от 29 Юни 1993г., последно изм. ДВ. бр.98 от 13 Декември 2019г.;
• закон за електронните съобщения – Обн. ДВ. бр.41 от 22 Май 2007г., последно изм. ДВ. бр.32 от 26 Април 2022г. и др.

Информацията за изискванията на заинтересованите страни е необходима, за да може организацията да определи процесите и дейностите в своята СУСИ за тяхното удовлетворяване. За целта е необходимо да се определи кои от тези изисквания имат отношение към СУСИ – ново изискване в ISO/IEC 27001 – т.4.2.c.

Документиране на информацията за заинтересованите страни

Точка 4.2 от ISO/IEC 27001:2022 не поставя изрично изискване за документиране на информацията относно потребностите и очакванията на заинтересованите страни. Въпреки това информацията е необходима за системата във връзка с определяне на рисковете и съответните механизми за контрол, като например А.5.31. Освен това за изпълнение на процеса е необходимо да бъдат разпределени отговорностите за:

• определяне на заинтересованите страни и на техните изисквания;
• актуализиране на информацията за заинтересованите страни;
• спазването на изискванията на заинтересованите страни, които могат да бъдат възложени на различни лица/отдели, като например човешки ресурси относно защита на личните данни, ИТ отдел за спазване на техническите изисквания и др.

В тази връзка информацията може да бъде документирана в отделна политика/процедура, допълнена към съществуваща или представена в друга подходяща за целта форма.

 

Източник на изображението