Wydanie 5.8 jest wydaniem ostatecznym.
Wprowadza dwie zmiany: pięć domen wiodących zamiast dziewięciu reżimów prawnych oraz żywotność jako trzeci poziom oceny.
Czym jest MAB
MAB to metodyka prowadzenia audytu bezpieczeństwa opracowana w 2007 roku i rozwijana do wydania 5.8. Opisuje proces audytu jako ciąg logiczny - od określenia celu i zakresu, przez przegląd dokumentacji i badanie realizacji, po ocenę skuteczności i żywotności systemu oraz działania poaudytowe.
Filozofia MAB jest prosta: proces zarządzania bezpieczeństwem jest zawsze ten sam. Zmienia się nazewnictwo, akty prawne i specyfika domeny - nie logika. Dlatego metodyka porządkuje rzecz trzema niezależnymi wymiarami:
- Domeny - co chronimy. Audyt może objąć jedną domenę we wszystkich fazach albo kilka domen jednocześnie.
- Procesy operacyjne - co robimy. Te same we wszystkich domenach: inwentaryzacja i wartościowanie, szacowanie ryzyka, dobór i wdrożenie zabezpieczeń, realizacja ochrony, incydenty, audyty.
- Ramy systemowe - jak organizacja porządkuje ochronę: zakres systemu zarządzania, struktura dokumentacji, podział odpowiedzialności, tryb przeglądu.
MAB nie jest wydawana w strukturze HLS norm ISO - jej architektura odpowiada logice procesu audytowego, nie logice systemu zarządzania.
Domeny bezpieczeństwa
Domenę wyznacza przedmiot ochrony i rodzaj szkody, jaką niesie naruszenie ochrony. Akt prawny, regulator ani rodzaj zasobu domeny nie tworzą. Przepisy, normy i umowy są w domenie kryteriami.
Domenami wiodącymi w wydaniu 5.8 jest pięć poniższych. Katalog nie jest zamknięty - wiodące znaczy tyle, że te pokrywają dorobek audytowy, na którym metodyka stoi.
| Domena | Przedmiot ochrony | Rodzaj szkody |
|---|---|---|
| Bezpieczeństwo osób | życie i zdrowie ludzi | uraz, choroba, śmierć |
| Bezpieczeństwo fizyczne | mienie: obiekty, instalacje, wyposażenie, teren | zniszczenie, utrata, nieuprawniony dostęp |
| Bezpieczeństwo informacji | informacja w każdej postaci i o każdym statusie prawnym | utrata poufności, integralności lub dostępności |
| Bezpieczeństwo środowiska | środowisko i jego komponenty | zanieczyszczenie, emisja, skażenie |
| Ciągłość działania | procesy, usługi i systemy, od których zależy działanie organizacji | przerwa, degradacja, utrata zdolności do działania |
Test przynależności jest jeden: czy naruszenie danego wymagania kończy się tym samym rodzajem szkody dla tego samego przedmiotu ochrony. Stosuje się go na poziomie pojedynczego wymagania, nie aktu prawnego. Dlatego jeden przepis potrafi zasilić dwie domeny: wymagania ewakuacyjne z ochrony przeciwpożarowej trafiają do bezpieczeństwa osób, a drogi pożarowe i instalacje gaśnicze do bezpieczeństwa fizycznego.
Konsekwencja praktyczna: bezpieczeństwo informacji bada się raz, a wyniki rozprowadza na reżimy. Audyt RODO nie jest osobnym bytem - jest audytem bezpieczeństwa informacji, w którym RODO wyznacza cel i zakres, a całe badanie sprowadza się na końcu do miary tego reżimu: ryzyka dla osoby fizycznej.
Trzy poziomy oceny
Zgodność - wymaganie jest formalnie spełnione, dokument lub proces istnieje.
Skuteczność - spełnienie realizuje cel przepisu lub normy, nie tylko jego literę.
Żywotność - system jest utrzymywany, rozwijany i dostosowywany do zmian, więc pozostanie skuteczny także jutro.
Zgodność bez skuteczności to zgodność pozorna. Skuteczność bez żywotności to skuteczność na dziś.
Żywotność bada się przez cztery mechanizmy: monitorowanie zmian i stanu, opracowywanie rozwiązań, doskonalenie oraz reagowanie na zdarzenia. Organizacja bez tych mechanizmów bywa zgodna w dniu audytu i niezgodna pół roku później, nie wiedząc o tym.
Fazy audytu
Inicjowanie
Określenie celu i zakresu audytu, identyfikacja stron, skład zespołu audytowego, harmonogram faz. Zakres określa wyłącznie czynności sprawdzające będące przedmiotem audytu, nie obszary ogólne. Dokumentem wyjściowym F0 jest zlecenie audytu - precyzuje, co jest przedmiotem audytu i na jakich warunkach jest realizowany.
Przegląd dokumentacji
Zrozumienie systemu, który ktoś zaprojektował i wdrożył, zanim audytor przejdzie do badania realizacji. FI obejmuje gromadzenie i analizę dokumentacji według trzech Stron kryteriów:
- Strona III - akty prawne, normy i standardy mające zastosowanie do audytowanego podmiotu. Wymagania zewnętrzne, którym podmiot podlega niezależnie od swojej woli.
- Strona II - wymagania kontrahentów zawarte w umowach i porozumieniach. Organizacja zobowiązała się je spełniać dobrowolnie, ale są prawnie wiążące.
- Strona I - wymagania z własnych regulacji wewnętrznych: polityk, procedur, instrukcji. Organizacja sama je ustanowiła i sama się do nich zobowiązała.
Niezgodności formalnoprawne mogą być identyfikowane już w fazie FI. Żywotność systemu także widać już z dokumentów - procedura bez wskazanego właściciela i bez trybu przeglądu mówi o niej wszystko pierwszego dnia audytu.
Badanie realizacji
Weryfikacja, czy to, co zostało zapisane w dokumentach, jest rzeczywiście realizowane. Metodyka nie zna kategorii audytu zdalnego ani lokalnego - audyt wykonany w całości metodami zdalnymi jest audytem pełnym, jeżeli tak zebrane dowody są wystarczające i weryfikowalne. O tym rozstrzyga dobór metod, nie miejsce pobytu audytora.
Każda obserwacja z FII zamienia się w jedną z dwóch encji:
- Niezgodność - stan faktyczny odbiega od wymagań. Dokumentowana Protokołem Niezgodności.
- Potencjał doskonalenia - obszar działający zgodnie z wymaganiami, ale z możliwością poprawy skuteczności.
Wynik FII odpowiada na pytanie: czy organizacja robi to, co sama postanowiła robić. Nie odpowiada jeszcze na pytanie, czy to działa.
Wnioskowanie
Synteza ustaleń z FI i FII. Audytor bada próbę, a orzeka o systemie - miarą wielkości próby jest możliwość wnioskowania, nie procent zbadanych pozycji. Wnioskowanie idzie w górę na trzech poziomach: jednostkowym, domenowym i firmowym. Jedna niezgodność nie przesądza o domenie, ale zbieżność ustaleń w kilku miejscach przesądza o systemie.
Ocena skuteczności i żywotności
Ocena, czy wdrożony system jest skuteczny i czy pozostanie skuteczny po zmianie prawa, techniki, skali działalności albo zagrożenia. System może być formalnie zgodny i jednocześnie nieskuteczny, a także skuteczny dziś i niezdolny do utrzymania tej skuteczności. Raport końcowy zawiera ustalenia, ocenę zgodności, niezgodności z dowodem, ocenę skuteczności i żywotności oraz rekomendacje.
Audytor ocenia, nie projektuje. Rekomendacja wskazuje stan do osiągnięcia i skutek, który wywołuje jego brak. Co z tym zrobić i w jakiej kolejności, decyduje Zlecający.
Działania poaudytowe (poza zakresem audytu)
Weryfikacja realizacji rekomendacji i działań korygujących po upływie uzgodnionego terminu. Aktywowana na wniosek zlecającego lub gdy przewiduje ją zakres zlecenia.
Licencja
Wersja podstawowa MAB jest dostępna na licencji Creative Commons Uznanie autorstwa 4.0 (CC BY 4.0) - wolno ją kopiować, rozpowszechniać i przerabiać, także komercyjnie, pod warunkiem oznaczenia autorstwa: Grzegorz Krzemiński, Fabryka Bezpieczeństwa P.S.A.
Licencja obejmuje wersję podstawową: przebieg audytu, role, dokumenty i definicje niezbędne do pracy. Uzasadnienia, przykłady i dobre praktyki zawiera wersja pełna. Narzędzia operacyjne - druki, listy wymagań jednostkowych, check-listy domenowe - są dostępne w modelu subskrypcyjnym dla audytorów z potwierdzeniem kompetencji MAB.
Jak otrzymać wydanie 5.8
Wydanie 5.8 podstawowe jest gotowe.
Napisz, a odeślemy plik. Bez formularzy i bez zapisu na listę.