{"id":4779,"date":"2026-08-11T20:59:01","date_gmt":"2026-08-11T18:59:01","guid":{"rendered":"https:\/\/www.sycope.com\/?post_type=dictionary-item&#038;p=4779"},"modified":"2026-08-11T22:47:43","modified_gmt":"2026-08-11T20:47:43","slug":"iso-27001","status":"publish","type":"dictionary-item","link":"https:\/\/www.sycope.com\/pl\/post\/dictionary-item\/iso-27001","title":{"rendered":"ISO 27001"},"content":{"rendered":"<p><strong>ISO\/IEC 27001<\/strong> to mi\u0119dzynarodowa norma, kt\u00f3ra opisuje, jak firma powinna porz\u0105dnie chroni\u0107 swoje informacje. M\u00f3wi\u0105c pro\u015bciej: to zestaw wymaga\u0144, dzi\u0119ki kt\u00f3rym organizacja wie, \u017ce nie pilnuje danych \u201ena czuja&#8221;, tylko ma na to przemy\u015blany, sprawdzalny system. W normie nazywa si\u0119 go <strong>Systemem Zarz\u0105dzania Bezpiecze\u0144stwem Informacji<\/strong> \u2014 po polsku SZBI, po angielsku ISMS. Ca\u0142a idea opiera si\u0119 na <strong>podej\u015bciu opartym na ryzyku<\/strong>: najpierw zastanawiasz si\u0119, co i jak mo\u017ce p\u00f3j\u015b\u0107 nie tak, a potem zabezpieczasz to, co naprawd\u0119 istotne. Certyfikat ISO 27001 nie jest obowi\u0105zkowy z mocy prawa, ale jest powszechnie uznawanym dowodem, \u017ce firma traktuje bezpiecze\u0144stwo powa\u017cnie.<\/p>\n<h2>Po co komu ISO 27001?<\/h2>\n<p>Wyobra\u017a sobie, \u017ce kto\u015b powierza Ci swoje dane \u2014 klient, partner, pacjent. Sk\u0105d ma wiedzie\u0107, \u017ce ich nie zgubisz, nie wyciekn\u0105 i nie wpadn\u0105 w niepowo\u0142ane r\u0119ce? Mo\u017ce uwierzy\u0107 na s\u0142owo albo poprosi\u0107 o dow\u00f3d. ISO 27001 jest w\u0142a\u015bnie takim dowodem: niezale\u017cny audytor sprawdza, czy firma ma uporz\u0105dkowane zasady ochrony informacji i czy faktycznie ich przestrzega.<\/p>\n<p>To troch\u0119 jak r\u00f3\u017cnica mi\u0119dzy \u201emam porz\u0105dek w domu, s\u0142owo honoru&#8221; a pokazaniem, \u017ce wszystko ma swoje miejsce, drzwi si\u0119 zamykaj\u0105, a zapasowe klucze s\u0105 pod kontrol\u0105. Norma nie sprawdza pojedynczego antywirusa czy has\u0142a \u2014 sprawdza, czy ca\u0142o\u015b\u0107 trzyma si\u0119 kupy.<\/p>\n<h2>Co dok\u0142adnie chroni ISO 27001?<\/h2>\n<p>Wa\u017cny szczeg\u00f3\u0142, kt\u00f3ry wiele os\u00f3b myli: ISO 27001 dotyczy <strong>bezpiecze\u0144stwa informacji, a nie tylko komputer\u00f3w<\/strong>. Chroniona jest informacja jako taka \u2014 niezale\u017cnie od tego, czy le\u017cy w systemie informatycznym, jest wydrukowana na kartce, czy kto\u015b przekazuje j\u0105 ustnie przez telefon. Dlatego wydrukowana umowa zamkni\u0119ta w szafie i baza danych w chmurze podlegaj\u0105 tej samej logice.<\/p>\n<p>W praktyce sprowadza si\u0119 to do pilnowania trzech rzeczy (po angielsku nazywanych triad\u0105 CIA):<\/p>\n<ul>\n<li><strong>Poufno\u015b\u0107<\/strong> \u2014 dane widz\u0105 tylko ci, kt\u00f3rzy powinni.<\/li>\n<li><strong>Integralno\u015b\u0107<\/strong> \u2014 dane s\u0105 prawdziwe i nikt ich po cichu nie zmieni\u0142.<\/li>\n<li><strong>Dost\u0119pno\u015b\u0107<\/strong> \u2014 dane s\u0105 pod r\u0119k\u0105 wtedy, gdy s\u0105 potrzebne.<\/li>\n<\/ul>\n<p>Norma jest przy tym neutralna technologicznie \u2014 nie ka\u017ce kupowa\u0107 konkretnego programu ani sprz\u0119tu. To firma sama ocenia swoje ryzyka i dobiera do nich pasuj\u0105ce zabezpieczenia. Aktualna wersja to <strong>ISO\/IEC 27001:2022<\/strong>.<\/p>\n<h2>Czym jest ISMS, czyli \u201esystem&#8221;, o kt\u00f3ry tu chodzi?<\/h2>\n<p><strong>ISMS (po polsku SZBI)<\/strong> to nie jest jeden program ani jednorazowy projekt typu \u201ewdro\u017cyli\u015bmy i koniec&#8221;. To spos\u00f3b dzia\u0142ania: zbi\u00f3r zasad, proces\u00f3w, r\u00f3l i konkretnych zabezpiecze\u0144, kt\u00f3rymi firma na bie\u017c\u0105co zarz\u0105dza bezpiecze\u0144stwem informacji. Pod tym wzgl\u0119dem przypomina inne systemy ISO, np. ISO 9001 dotycz\u0105cy jako\u015bci.<\/p>\n<p>Sercem ISMS jest <strong>analiza ryzyka<\/strong>. Firma zadaje sobie pytania: co cennego mamy, co mo\u017ce temu zagrozi\u0107, gdzie s\u0105 s\u0142abe punkty? Potem decyduje, co z ka\u017cdym ryzykiem zrobi\u0107 \u2014 ograniczy\u0107 je zabezpieczeniem, \u015bwiadomie zaakceptowa\u0107, przerzuci\u0107 (np. na ubezpieczyciela) albo go unikn\u0105\u0107. Ca\u0142o\u015b\u0107 regularnie si\u0119 sprawdza i poprawia, wi\u0119c system \u017cyje i nad\u0105\u017ca za zmianami.<\/p>\n<h2>Jak zbudowana jest norma?<\/h2>\n<p>ISO 27001 ma dwie cz\u0119\u015bci, kt\u00f3re warto rozr\u00f3\u017cnia\u0107.<\/p>\n<p>Pierwsza to <strong>rozdzia\u0142y (klauzule) 4\u201310<\/strong> \u2014 obowi\u0105zkowy \u201eszkielet&#8221; systemu zarz\u0105dzania. W skr\u00f3cie m\u00f3wi\u0105 one, \u017ce firma musi: zrozumie\u0107 sw\u00f3j kontekst i ustali\u0107, czego system dotyczy (klauzula 4), mie\u0107 zaanga\u017cowane kierownictwo (5), zaplanowa\u0107 dzia\u0142ania wobec ryzyk (6), zapewni\u0107 zasoby i kompetencje (7), realizowa\u0107 procesy w praktyce (8), mierzy\u0107 i audytowa\u0107 skuteczno\u015b\u0107 (9) oraz stale si\u0119 poprawia\u0107 (10).<\/p>\n<p>Druga cz\u0119\u015b\u0107 to <strong>Za\u0142\u0105cznik A (Annex A)<\/strong> \u2014 co\u015b w rodzaju katalogu mo\u017cliwych zabezpiecze\u0144. Firma nie musi wdra\u017ca\u0107 wszystkich; wybiera te, kt\u00f3re pasuj\u0105 do jej ryzyk. Za\u0142\u0105cznik A dzia\u0142a jak lista kontrolna, dzi\u0119ki kt\u00f3rej \u0142atwiej upewni\u0107 si\u0119, \u017ce o niczym wa\u017cnym si\u0119 nie zapomnia\u0142o.<\/p>\n<h2>Co jest w Za\u0142\u0105czniku A (wersja 2022)?<\/h2>\n<p>W edycji <strong>2022<\/strong> Za\u0142\u0105cznik A zawiera <strong>93 zabezpieczenia pogrupowane w 4 kategorie<\/strong>:<\/p>\n<ul>\n<li><strong>Organizacyjne (37)<\/strong> \u2014 zasady i procedury, np. polityki bezpiecze\u0144stwa, zarz\u0105dzanie sprz\u0119tem i danymi, wsp\u00f3\u0142praca z dostawcami, reagowanie na incydenty.<\/li>\n<li><strong>Dotycz\u0105ce ludzi (8)<\/strong> \u2014 bo ludzie te\u017c s\u0105 cz\u0119\u015bci\u0105 bezpiecze\u0144stwa: weryfikacja przy zatrudnianiu, szkolenia, zasady pracy zdalnej.<\/li>\n<li><strong>Fizyczne (14)<\/strong> \u2014 drzwi, zamki, strefy z ograniczonym dost\u0119pem, ochrona sprz\u0119tu i no\u015bnik\u00f3w.<\/li>\n<li><strong>Technologiczne (34)<\/strong> \u2014 to, co kojarzy si\u0119 z IT: zarz\u0105dzanie dost\u0119pem, szyfrowanie, ochrona przed z\u0142o\u015bliwym oprogramowaniem, kopie zapasowe, monitorowanie zdarze\u0144.<\/li>\n<\/ul>\n<p>Wersja 2022 do\u0142o\u017cy\u0142a te\u017c jedena\u015bcie nowych zabezpiecze\u0144, odpowiadaj\u0105cych na nowsze realia \u2014 m.in. bezpiecze\u0144stwo w chmurze, gotowo\u015b\u0107 na sytuacje kryzysowe, lepsze monitorowanie czy maskowanie danych.<\/p>\n<h2>Czym r\u00f3\u017cni si\u0119 wersja 2022 od 2013?<\/h2>\n<p>Norma ma swoj\u0105 histori\u0119. Wywodzi si\u0119 z brytyjskiego standardu <strong>BS 7799<\/strong> z lat 90. Pierwsza edycja ISO 27001 ukaza\u0142a si\u0119 w 2005 roku, kolejna w 2013, a najnowsza w <strong>2022<\/strong>.<\/p>\n<p>Najwi\u0119ksza zmiana mi\u0119dzy edycjami 2022 i 2013 dotyczy w\u0142a\u015bnie Za\u0142\u0105cznika A:<\/p>\n<ul>\n<li><strong>2013<\/strong> \u2014 114 zabezpiecze\u0144 w 14 obszarach.<\/li>\n<li><strong>2022<\/strong> \u2014 93 zabezpieczenia w 4 kategoriach.<\/li>\n<\/ul>\n<p>Mniejsza liczba nie oznacza, \u017ce usuni\u0119to po\u0142ow\u0119 wymaga\u0144. Wiele zabezpiecze\u0144 po prostu po\u0142\u0105czono, cz\u0119\u015b\u0107 od\u015bwie\u017cono, a jedena\u015bcie dodano. Firmy z certyfikatem wed\u0142ug starej edycji musia\u0142y w wyznaczonym czasie przej\u015b\u0107 na wersj\u0119 2022.<\/p>\n<h2>ISO 27001 a ISO 27002 i ca\u0142a rodzina 27000<\/h2>\n<p>To cz\u0119ste \u017ar\u00f3d\u0142o zamieszania, wi\u0119c roz\u0142\u00f3\u017cmy je na czynniki pierwsze. <strong>ISO 27001 m\u00f3wi, CO trzeba spe\u0142ni\u0107<\/strong> \u2014 i to wed\u0142ug niej wydaje si\u0119 certyfikat. <strong>ISO 27002 m\u00f3wi, JAK to zrobi\u0107<\/strong> \u2014 to praktyczny poradnik wdra\u017cania poszczeg\u00f3lnych zabezpiecze\u0144 z Za\u0142\u0105cznika A. ISO 27002 nie jest certyfikowane; to dokument pomocniczy.<\/p>\n<p>Obie nale\u017c\u0105 do wi\u0119kszej <strong>rodziny ISO\/IEC 27000<\/strong>, w kt\u00f3rej s\u0105 te\u017c m.in.: ISO 27000 (przegl\u0105d i s\u0142ownik poj\u0119\u0107), ISO 27005 (zarz\u0105dzanie ryzykiem) czy ISO 27701 (rozszerzenie o ochron\u0119 prywatno\u015bci).<\/p>\n<h2>Jak wygl\u0105da certyfikacja?<\/h2>\n<p>Certyfikat wydaje niezale\u017cna <strong>jednostka certyfikuj\u0105ca<\/strong> \u2014 najlepiej akredytowana, czyli sama sprawdzona przez wy\u017csz\u0105 instancj\u0119. Audyt zwykle ma <strong>dwa etapy<\/strong>:<\/p>\n<ol>\n<li><strong>Etap 1<\/strong> \u2014 audytor czyta dokumentacj\u0119 i sprawdza, czy system jest dobrze zaprojektowany: zakres, polityki, analiza ryzyka, Deklaracja Stosowania. Wskazuje, co poprawi\u0107 przed kolejnym krokiem.<\/li>\n<li><strong>Etap 2<\/strong> \u2014 audytor sprawdza, czy to wszystko dzia\u0142a w praktyce, a nie tylko na papierze: czy zabezpieczenia s\u0105 wdro\u017cone i czy ludzie faktycznie ich przestrzegaj\u0105.<\/li>\n<\/ol>\n<p>Po pozytywnym audycie firma dostaje certyfikat wa\u017cny zwykle <strong>3 lata<\/strong>. W tym czasie odbywaj\u0105 si\u0119 coroczne <strong>audyty nadzoru<\/strong> (sprawdzaj\u0105ce, czy nic si\u0119 nie rozjecha\u0142o), a przed ko\u0144cem wa\u017cno\u015bci potrzebna jest <strong>recertyfikacja<\/strong>, czyli pe\u0142ny audyt na nowy okres.<\/p>\n<p>Wa\u017cny jest <strong>zakres certyfikacji<\/strong> \u2014 firma mo\u017ce certyfikowa\u0107 ca\u0142\u0105 dzia\u0142alno\u015b\u0107 albo tylko jej cz\u0119\u015b\u0107 (np. jeden dzia\u0142 lub us\u0142ug\u0119). Zakres jest wpisany na certyfikacie i to on m\u00f3wi, czego naprawd\u0119 dotyczy zgodno\u015b\u0107. Dlatego warto na niego patrze\u0107, gdy kto\u015b macha certyfikatem.<\/p>\n<h2>Deklaracja Stosowania (SoA) i dokumenty<\/h2>\n<p><strong>Deklaracja Stosowania (SoA, Statement of Applicability)<\/strong> to jeden z kluczowych dokument\u00f3w. W skr\u00f3cie jest to lista zabezpiecze\u0144 z Za\u0142\u0105cznika A z adnotacj\u0105: kt\u00f3re firma zastosowa\u0142a, kt\u00f3rych nie i dlaczego. SoA \u0142\u0105czy analiz\u0119 ryzyka z konkretnymi decyzjami i audytor zagl\u0105da do niej w pierwszej kolejno\u015bci.<\/p>\n<p>Poza ni\u0105 norma wymaga m.in.: zakresu systemu, polityki bezpiecze\u0144stwa, opisu i wynik\u00f3w analizy ryzyka wraz z planem post\u0119powania, cel\u00f3w bezpiecze\u0144stwa oraz zapis\u00f3w potwierdzaj\u0105cych kompetencje, audyty wewn\u0119trzne i przegl\u0105dy zarz\u0105dzania.<\/p>\n<h2>Sta\u0142e doskonalenie, czyli cykl PDCA<\/h2>\n<p>ISO 27001 zak\u0142ada, \u017ce bezpiecze\u0144stwa nie da si\u0119 \u201eosi\u0105gn\u0105\u0107 raz na zawsze&#8221;. Opisuje to prosty cykl <strong>PDCA (Plan\u2013Do\u2013Check\u2013Act)<\/strong>: zaplanuj, wdr\u00f3\u017c, sprawd\u017a, popraw \u2014 i tak w k\u00f3\u0142ko. Dzi\u0119ki temu system nad\u0105\u017ca za nowymi zagro\u017ceniami i zmianami w firmie, zamiast si\u0119 zestarze\u0107 rok po wdro\u017ceniu.<\/p>\n<h2>Kto si\u0119ga po ISO 27001 i co z tego ma?<\/h2>\n<p>Norm\u0119 mo\u017ce wdro\u017cy\u0107 firma ka\u017cdej wielko\u015bci i z dowolnej bran\u017cy, kt\u00f3ra przetwarza istotne informacje. Najcz\u0119\u015bciej robi\u0105 to organizacje z sektor\u00f3w: <strong>IT i us\u0142ug chmurowych, finans\u00f3w, ochrony zdrowia, telekomunikacji<\/strong>, a tak\u017ce dostawcy obs\u0142uguj\u0105cy dane swoich klient\u00f3w. Bywa, \u017ce klient albo przetarg po prostu jej wymaga.<\/p>\n<p>Co to daje na co dzie\u0144:<\/p>\n<ul>\n<li>porz\u0105dek i jasne zasady zamiast dzia\u0142ania od przypadku do przypadku,<\/li>\n<li>wiadomo, kto za co odpowiada,<\/li>\n<li>\u0142atwiej udowodni\u0107 klientom i partnerom, \u017ce dane s\u0105 w dobrych r\u0119kach,<\/li>\n<li>gotowe procedury na wypadek incydentu czy awarii,<\/li>\n<li>solidny fundament pod inne wymogi (np. ochrona danych osobowych).<\/li>\n<\/ul>\n<h2>ISO 27001 a inne standardy i przepisy<\/h2>\n<h3>ISO 27001 a SOC 2<\/h3>\n<p>Oba dotycz\u0105 bezpiecze\u0144stwa, ale efekt jest inny. <strong>ISO 27001<\/strong> ko\u0144czy si\u0119 <strong>certyfikatem<\/strong> i jest standardem rozpoznawanym na ca\u0142ym \u015bwiecie. <strong><a href=\"https:\/\/www.sycope.com\/pl\/post\/dictionary-item\/soc-security-operations-center\">SOC<\/a> 2<\/strong> ko\u0144czy si\u0119 szczeg\u00f3\u0142owym <strong>raportem audytora<\/strong> i jest popularny g\u0142\u00f3wnie w USA. Upraszczaj\u0105c: jeden daje papier potwierdzaj\u0105cy \u201emamy system&#8221;, drugi obszerny opis tego, jak konkretne zabezpieczenia dzia\u0142aj\u0105.<\/p>\n<h3>ISO 27001 a RODO<\/h3>\n<p><strong><a href=\"https:\/\/www.sycope.com\/pl\/post\/dictionary-item\/rodo-gdpr\">RODO<\/a><\/strong> to przepis prawa o ochronie danych osobowych \u2014 stosowa\u0107 trzeba je obowi\u0105zkowo. <strong>ISO 27001<\/strong> to dobrowolna norma o bezpiecze\u0144stwie informacji w og\u00f3le. To nie to samo: certyfikat ISO 27001 nie oznacza automatycznie zgodno\u015bci z <a href=\"https:\/\/www.sycope.com\/pl\/post\/dictionary-item\/rodo-gdpr\">RODO<\/a>. Ale bardzo w niej pomaga, bo wiele zabezpiecze\u0144 (analiza ryzyka, reagowanie na incydenty, kontrola dost\u0119pu) pokrywa si\u0119 z tym, czego RODO oczekuje.<\/p>\n<h3>ISO 27001 a ISO 27701<\/h3>\n<p><strong>ISO\/IEC 27701<\/strong> to rozszerzenie ISO 27001 o ochron\u0119 prywatno\u015bci \u2014 tworzy system zarz\u0105dzania informacjami o prywatno\u015bci (PIMS). Nie dzia\u0142a samodzielnie: \u017ceby si\u0119 wed\u0142ug niego certyfikowa\u0107, trzeba najpierw mie\u0107 wdro\u017cone ISO 27001. Przydaje si\u0119 zw\u0142aszcza firmom, kt\u00f3re chc\u0105 pouk\u0142ada\u0107 ochron\u0119 danych osobowych, np. w kontek\u015bcie RODO.<\/p>\n<h3>ISO 27001 a NIS2<\/h3>\n<p><strong>Dyrektywa <a href=\"https:\/\/www.sycope.com\/pl\/post\/dictionary-item\/nis2\">NIS2<\/a><\/strong> to unijne prawo, kt\u00f3re podnosi wymagania cyberbezpiecze\u0144stwa dla wielu firm uznanych za kluczowe lub wa\u017cne. W przeciwie\u0144stwie do ISO 27001 jej obowi\u0105zki s\u0105 <strong>prawnie wi\u0105\u017c\u0105ce<\/strong>. Sam certyfikat ISO 27001 nie oznacza zgodno\u015bci z <a href=\"https:\/\/www.sycope.com\/pl\/post\/dictionary-item\/nis2\">NIS2<\/a>, ale wdro\u017cony system mocno si\u0119 z ni\u0105 pokrywa \u2014 zw\u0142aszcza w obszarach zarz\u0105dzania ryzykiem, zg\u0142aszania incydent\u00f3w, ci\u0105g\u0142o\u015bci dzia\u0142ania i bezpiecze\u0144stwa dostawc\u00f3w. Dlatego dla wielu firm ISO 27001 jest praktycznym punktem wyj\u015bcia do spe\u0142nienia wymog\u00f3w NIS2.<\/p>\n<h2>Dowiedz si\u0119 wi\u0119cej<\/h2>\n<ul>\n<li><a href=\"https:\/\/www.sycope.com\/pl\/post\/monitoring-sieci-i-network-visibility-analiza-ruchu-sieciowego-jako-podstawa-visibility-cybersecurity\">Monitoring sieci i network visibility \u2013 analiza ruchu sieciowego jako podstawa visibility cybersecurity<\/a> \u2014 Monitoring sieci wspiera ISO 27001 przez wykrywanie incydent\u00f3w i kontrol\u0119 bezpiecze\u0144stwa informacji.<\/li>\n<li><a href=\"https:\/\/www.sycope.com\/pl\/post\/dictionary-item\/nist-cybersecurity-framework\">NIST Cybersecurity Framework<\/a> \u2014 NIST CSF uzupe\u0142nia ISO 27001, bo pomaga porz\u0105dkowa\u0107 dzia\u0142ania w obszarze ryzyka i kontroli.<\/li>\n<li><a href=\"https:\/\/www.sycope.com\/pl\/post\/arp-spoofing-jak-wykryc-atak-man-in-the-middle-i-zatruwanie-arp-w-sieci-lan\">ARP Spoofing \u2013 jak wykry\u0107 atak Man-in-the-Middle i zatruwanie ARP w sieci LAN<\/a> \u2014 ARP spoofing pokazuje zagro\u017cenie, kt\u00f3re ISO 27001 wymaga identyfikowa\u0107 i ogranicza\u0107.<\/li>\n<\/ul>\n","protected":false},"featured_media":0,"template":"","class_list":["post-4779","dictionary-item","type-dictionary-item","status-publish","hentry"],"acf":{"tytul":"ISO 27001","ikona":"","krotki_opis":"Mi\u0119dzynarodowa norma, kt\u00f3ra m\u00f3wi firmom, jak porz\u0105dnie chroni\u0107 informacje: system zarz\u0105dzania (ISMS), podej\u015bcie oparte na ryzyku, Za\u0142\u0105cznik A i certyfikacja."},"_links":{"self":[{"href":"https:\/\/www.sycope.com\/pl\/wp-json\/wp\/v2\/dictionary-item\/4779","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/www.sycope.com\/pl\/wp-json\/wp\/v2\/dictionary-item"}],"about":[{"href":"https:\/\/www.sycope.com\/pl\/wp-json\/wp\/v2\/types\/dictionary-item"}],"wp:attachment":[{"href":"https:\/\/www.sycope.com\/pl\/wp-json\/wp\/v2\/media?parent=4779"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}