Jak zidentyfikować systemy informacyjne, w których należy wdrożyć system zarządzania bezpieczeństwem informacji (SZBI)?

Należy przeanalizować procesy świadczenia usług (zadań publicznych) w organizacji oraz zidentyfikować systemy informacyjne, które są wykorzystywane w procesach mających wpływ na świadczenie tych usług.

Przy identyfikacji procesów należy nie tylko wziąć pod uwagę procesy techniczne czy organizacyjne, ale także te procesy które są związane z daną usługą i są wymagane przez przepisy prawa np. procesy służące realizacji uprawnień użytkownika, klienta, konsumenta czy abonenta.

Przy identyfikacji systemów należy zwrócić uwagę na to, czy dany system jest konieczny do świadczenia usługi, czy przetwarza dane oraz steruje procesami, od których zależy świadczenie usługi, a także czy zdarzenie w tym systemie może spowodować zaprzestanie świadczenia usługi. Każdorazowo należy wziąć pod uwagę charakter danego podmiotu. Systemy, które są w pełni odseparowane od świadczenia usługi i nie mają na nie wpływu nie podlegają obowiązkowi wdrożenia w nich systemu zarządzania bezpieczeństwem informacji. Jednocześnie może być tak, że systemy te są niezbędne w procesie świadczenia usługi, np. do zapewnienia realizacji świadczeń publicznych na rzecz obywateli niezbędne są systemy księgowe, bowiem bez nich podmiot publiczny nie będzie mógł tych świadczeń realizować. Wtedy należy również ująć te systemy w SZBI.

Obowiązkiem wdrożenia SZBI należy objąć systemy informacyjne związane z działalnością danego podmiotu zgodną z załącznikiem nr 1 lub nr 2 do ustawy.