ISO/IEC 27001 – sistem upravljanja informacijske varnosti
Certifikabilni standard za sistem upravljanja informacijske varnosti (ISMS), izdaja 2022 s spremembo 1:2024.
Katero težavo rešujemo
Organizacija ima več varnostnih ukrepov, nima pa sistema, ki bi jih povezal z tveganji, določil odgovornosti, zahteval dokazila in se redno izboljševal. Ob zahtevi naročnika ali pred zunanjo presojo se to pokaže kot vrzel.
Zakaj je to pomembno
Standard zahteva upravljanje po načelu planiraj–izvedi–preveri–ukrepaj: kontekst, vodstvo, tveganja, kontrole, notranja presoja, pregled vodstva in korektivni ukrepi. Prav slednje presojevalci najpogosteje najdejo kot neizvedeno.
Za koga je
- Organizacije, ki jim naročniki, regulatorji ali javna naročila nalagajo dokazljivo informacijsko varnost.
- Ponudniki storitev in programske opreme, ki jih partnerji preverjajo z varnostnimi vprašalniki.
- Podjetja, ki se pripravljajo na prvo certifikacijsko presojo ali na nadzorno presojo.
- Organizacije, ki želijo uskladiti obstoječe ukrepe z ZInfV-1 / NIS2 in drugimi zahtevami.
Kaj obsega delo
- Kontekst organizacije, zainteresirane strani in obseg sistema (točke 4 in 5).
- Metodologija ocene tveganj, register tveganj in načrt obravnave tveganj (točka 6).
- Izjava o uporabnosti z utemeljitvijo izbire kontrol iz Priloge A (93 kontrol v štirih skupinah, usklajeno z ISO/IEC 27002:2022).
- Politike, postopki in zapisi, ki jih presojevalec pričakuje kot dokazila.
- Priprava na notranjo presojo (točka 9.2), pregled vodstva in korektivni ukrepi (točki 9.3 in 10).
- Kontrole za incidente, dobavitelje, neprekinjenost, dostope in spremembe.
Potek dela
GAP analiza glede na zahteve točk 4 do 10 in kontrole iz Priloge A.
Določitev obsega in metodologije ter ocena tveganj.
Priprava izjave o uporabnosti in ključne dokumentacije.
Izvedba ukrepov in zbiranje dokazil o delovanju.
Priprava na notranjo presojo in pregled vodstva.
Obravnava ugotovitev in svetovalni pregled pripravljenosti pred zunanjo presojo.
Kaj potrebujemo od vas
- Opis organizacije, lokacij, ključnih procesov in sistemov v obsegu.
- Obstoječe politike, seznam sredstev, pogodbe z ključnimi dobavitelji.
- Ime odgovorne osebe za sistem in dostop do vodstva.
- Zahteve naročnikov ali predpisov, ki jih želite pokriti.
Kaj prejmete
- GAP analiza z oceno vrzeli po zahtevah in kontrolah.
- Metodologija in register tveganj z načrtom obravnave.
- Osnutek izjave o uporabnosti in ključnih dokumentov.
- Načrt ukrepov s prioritetami in odgovornimi osebami.
- Svetovalno poročilo o pripravljenosti pred zunanjo presojo.
Kaj ni vključeno in kje so meje
- Certifikacija, ki jo izvaja akreditiran certifikacijski organ.
- Tehnična izvedba kontrol, konfiguracija sistemov in penetracijski testi.
- Izvedba notranje presoje po točki 9.2 (opravi jo organizacija ali presojevalec, ki ga izberete).
- Jamstvo za uspešno certifikacijo.
Certifikacije in presoj ne izvajamo, delujemo kot svetovalec. Certifikacijsko presojo izvaja akreditiran certifikacijski organ, ki mora biti neodvisen od svetovalca. Plačljivega besedila standarda ne povzemamo in ne ponatiskujemo. Za zahteve v celoti uporabite uradno izdajo standarda.
Pogosta vprašanja
Je notranja presoja ISO 27001 isto kot certifikacijska presoja?
Ne. Notranjo presojo izvaja organizacija sama ali jo naroči pri zunanjem presojevalcu kot del svojega sistema. Certifikacijsko presojo izvaja akreditiran certifikacijski organ in je podlaga za izdajo certifikata.
Ali svetovanje zagotovi certifikat?
Ne. O certifikaciji odloča certifikacijski organ na podlagi dokazil o delovanju sistema. Priprava zmanjša tveganje neskladnosti, ne more pa zagotoviti izida.
Ali je ISO 27001 dovolj za skladnost z ZInfV-1?
Ni. Standard pokriva velik del upravljanja tveganj, vendar ZInfV-1 vsebuje samostojne zahteve, na primer registracijo, prijavo incidentov in odgovornost vodstva. Prekrivanja je treba preveriti posebej.
Koliko časa traja priprava?
Trajanje je odvisno od obsega, velikosti organizacije in zrelosti obstoječega sistema. Realno oceno podamo po GAP analizi, ne vnaprej.
Uradni viri
Potrebujete svetovalni pregled ali pomoč pri pripravi na skladnost?
Opišite organizacijo in izziv. Predlagamo smiseln obseg dela, brez obvezujočih obljub o rezultatu.