Co powinna zawierać dokumentacja systemu zarządzania bezpieczeństwem informacji (SZBI)?

Dokumentacja dotyczy bezpieczeństwa systemu informacyjnego wykorzystywanego w procesie świadczenia usługi i może być prowadzona w postaci elektronicznej lub w postaci papierowej.

Zakres dokumentacji podzielono na 2 części. Dokumentacja normatywna to ta część dokumentacji, która opisuje świadczoną usługę, systemy, infrastrukturę oraz funkcjonowanie bezpieczeństwa informacji w podmiocie. Dokumentacja operacyjna potwierdza wykonywanie czynności opisanych w dokumentacji normatywnej.

Zakres przedmiotowy dokumentacji ochrony infrastruktury

Może powstać z tego jeden dokument albo kilka. To należy już do decyzji podmiotu kluczowego i podmiotu ważnego. Istotne jest, aby zakres dokumentacji został zachowany.

Zakres dokumentacji operacyjnej powinien być adekwatny do danego systemu operacyjnego.

W dokumentacji SZBI powinny być ujęte wszystkie elementy wskazane w art. 8.

Ważne jest, aby podmiot dbał o bezpieczeństwo dokumentacji. Należy zapewnić dostępność dokumentacji dla uprawnionych osób (zasada need to know) w zakresie niezbędnym do realizacji zadań. Ograniczy to ryzyko ujawnienia informacji z dokumentacji osobom nieuprawnionym. Organizacja powinna ustalić kto i w jakim zakresie ma dostęp do dokumentacji – na żądanie kontroli należy przedstawić dowód przypisania dostępu do dokumentacji. Podmiot powinien także chronić dokumenty pod kątem fizycznym – ochrona przed uszkodzeniem (uszkodzenie papieru czy dysku), zniszczeniem, utratą, nieuprawnionym dostępem, niewłaściwym użyciem lub utratą integralności. Konieczne jest wskazanie kto odpowiada za dokumentację, kto ma ją chronić oraz jakie środki wdrożono, aby chronić dokumentację np. szkolenia, środki fizyczne (przechowywanie papierowej dokumentacji w zamkniętym pomieszczeniu czy szafie), środki techniczne np. szyfrowanie plików z dokumentacją. Pamiętać także należy o oznaczaniu kolejnych wersji dokumentów – ułatwi to identyfikację zmian i odnalezienie aktualnej wersji. Aby potwierdzić, że zniszczona dokumentacja w ogóle zaistniała, czynność zniszczenia potwierdza się protokołem brakowania. Te protokoły przechowuje się w sposób trwały, aby były dostępne dla kontrolerów.