23. člen
(varnostna presoja informacijskih sistemov)
(1)
Skrbnik informacijskega sistema zagotovi izvedbo neodvisne varnostne presoje informacijskega sistema vsaj pred prvim prenosom v obratovalno okolje in po vsaki večji spremembi, ki ima oziroma bi lahko imela vpliv na varnost v informacijskem sistemu obravnavanega informacijskega premoženja.
(2)
Neodvisna varnostna presoja informacijskega sistema iz prejšnjega odstavka je presoja, ki jo izvede oseba, ki ni povezana z razvojem ali upravljanjem tega sistema.
(3)
V postopku varnostne presoje se najmanj:
-
pregleda sistemska arhitektura, da se preveri, ali temelji na dobrih varnostnih načelih in izpolnjuje varnostne zahteve,
-
pregledajo ocena tveganja in varnostne zahteve informacijskega sistema, da se preveri, ali je zagotovljena ustrezna zaščita informacijskega premoženja, ki ga informacijski sistem obdeluje, hrani ali prenaša,
-
pregleda preostala dokumentacija informacijskega sistema (operativna navodila, postopki v sili in načrt varnostnega kopiranja in okrevanja po nenadnem dogodku, ki povzroči škodo večjih razsežnosti), da se preveri, ali je celovita in ustreza okolju, v katerem obratuje informacijski sistem, ter
-
oceni uvedba nadzorstev, da se preveri, ali so bila nadzorstva uvedena in ali delujejo učinkovito.
(4)
Postopek varnostne presoje se dokumentira.