- Znaczenie
- Środki bezpieczeństwa ograniczające ryzyko
- Przykłady
- MFA, kopie zapasowe, modele uprawnień, monitorowanie
- Norma
- Załącznik A do ISO 27001 (93 zabezpieczenia)
- Inna nazwa
- środki techniczne i organizacyjne
- Stan na
- czerwiec 2026
- Redakcja
- Compliance Compass
Czym są zabezpieczenia?
Zabezpieczenia (ang. controls) to konkretne dźwignie, którymi obniża się ryzyko – choćby MFA, regularne kopie zapasowe, jasne uprawnienia dostępu, szyfrowanie czy monitorowanie. To praktyczne wdrożenie bezpieczeństwa: tam, gdzie zarządzanie ryzykiem opisuje, co trzeba chronić, zabezpieczenia odpowiadają na pytanie, jak to zrobić. Pojęcie pochodzi ze świata standardów międzynarodowych; w prawie ochrony danych używa się synonimu, jakim są środki techniczne i organizacyjne.
Rodzaje zabezpieczeń
- Zapobiegawcze: zapobiegają incydentom (np. kontrola dostępu, szyfrowanie, MFA).
- Wykrywające: uwidaczniają incydenty (np. monitorowanie, rejestrowanie zdarzeń, alarmowanie).
- Reagujące: ograniczają szkody (np. kopie zapasowe, reagowanie na incydenty, plany awaryjne).
Zabezpieczenia, środki organizacyjne i standardy
Załącznik A do normy ISO/IEC 27001 wymienia 93 uznane zabezpieczenia w czterech obszarach tematycznych (organizacyjnym, osobowym, fizycznym, technologicznym) – to sprawdzona na świecie orientacja, przydatna także przy wdrażaniu NIS2. Uzupełniająco odpowiednie środki, zależnie od poziomu wymaganej ochrony, opisuje niemiecki katalog BSI IT-Grundschutz-Kompendium. Treściowo te zabezpieczenia w dużej mierze pokrywają się z tym, czym są środki techniczne i organizacyjne znane z prawa ochrony danych – różnią się tylko nazwy.
Zabezpieczenia a zarządzanie ryzykiem
Zabezpieczeń nie dobiera się przypadkowo, lecz systematycznie wyprowadza z tego, czym jest analiza ryzyka – dla każdego istotnego ryzyka właściwy środek, nie więcej i nie mniej. Dokładnie takiego podejścia opartego na ryzyku wymaga też NIS2, wdrożone w Polsce ustawą o KSC obowiązującą od 3 kwietnia 2026 r. Konkretnie: Średniej wielkości sklep internetowy stwierdza w analizie ryzyka, że jego największym zagrożeniem są przejęte konta administracyjne. Jako zabezpieczenia zapobiegawcze wprowadza MFA na wszystkich kontach administracyjnych, ogranicza uprawnienia administratora do kilku osób zgodnie z zasadą minimalnych uprawnień i szyfruje powiązane bazy danych. Uzupełnia to zabezpieczeniami wykrywającymi: rejestruje logowania i każe automatycznie zgłaszać nietypowe dostępy. Na wypadek incydentu trzyma w pogotowiu regularnie testowane kopie zapasowe i jasny plan awaryjny – to środek reagujący. Każdy pojedynczy środek jest udokumentowany, przypisany osobie odpowiedzialnej i konkretnemu ryzyku oraz opatrzony datą przeglądu. Dzięki temu da się wykazać wobec organu nadzoru, że ochrona jest adekwatna i że spełnione są wymagania dyrektywy NIS2 wobec zarządzania bezpieczeństwem opartego na ryzyku.
Najczęstsze pytania
Czym są zabezpieczenia w bezpieczeństwie IT?
Zabezpieczenia (ang. controls) to konkretne środki bezpieczeństwa, które ograniczają ryzyko – uwierzytelnianie wieloskładnikowe, regularne kopie zapasowe, kontrola dostępu, szyfrowanie czy monitorowanie. Są praktycznym wdrożeniem tego, czego ochrony wymaga zarządzanie ryzykiem, i dzielą się na zapobiegawcze, wykrywające i reagujące. W prawie ochrony danych mówi się o tym samym, tylko innymi słowami: o środkach technicznych i organizacyjnych.
Gdzie zdefiniowano zabezpieczenia?
Uznane zabezpieczenia znajdziesz przede wszystkim w załączniku A do ISO/IEC 27001, który od wydania z 2022 r. zbiera dokładnie 93 środki w czterech obszarach tematycznych: organizacyjnym, osobowym, fizycznym i technologicznym. Odpowiednie zabezpieczenia dla różnych poziomów wymaganej ochrony opisuje też niemiecki katalog IT-Grundschutz-Kompendium, wydawany przez urząd BSI. Oba źródła dają sprawdzoną orientację, którą dobrze wykorzystać przy wdrażaniu wymogów NIS2.
Jak dobrać właściwe zabezpieczenia?
Właściwe zabezpieczenia wyprowadza się systematycznie z analizy ryzyka: dla każdego istotnego ryzyka dobiera się adekwatny środek – nie więcej i nie mniej. Dzięki temu nakład pracy i efekt ochronny pozostają w rozsądnej proporcji. Dokładnie takiego podejścia opartego na ryzyku wymaga też ustawa o KSC, obowiązująca od 3 kwietnia 2026 r. Każde zabezpieczenie powinno być udokumentowane, przypisane osobie odpowiedzialnej i konkretnemu ryzyku oraz możliwe do wykazania wobec organu nadzoru.
Źródło uzupełniające: ISO/IEC 27001 (systemy zarządzania bezpieczeństwem informacji)