ISO 27001

ISO/IEC 27001 to międzynarodowa norma, która opisuje, jak firma powinna porządnie chronić swoje informacje. Mówiąc prościej: to zestaw wymagań, dzięki którym organizacja wie, że nie pilnuje danych „na czuja”, tylko ma na to przemyślany, sprawdzalny system. W normie nazywa się go Systemem Zarządzania Bezpieczeństwem Informacji — po polsku SZBI, po angielsku ISMS. Cała idea opiera się na podejściu opartym na ryzyku: najpierw zastanawiasz się, co i jak może pójść nie tak, a potem zabezpieczasz to, co naprawdę istotne. Certyfikat ISO 27001 nie jest obowiązkowy z mocy prawa, ale jest powszechnie uznawanym dowodem, że firma traktuje bezpieczeństwo poważnie.

Po co komu ISO 27001?

Wyobraź sobie, że ktoś powierza Ci swoje dane — klient, partner, pacjent. Skąd ma wiedzieć, że ich nie zgubisz, nie wyciekną i nie wpadną w niepowołane ręce? Może uwierzyć na słowo albo poprosić o dowód. ISO 27001 jest właśnie takim dowodem: niezależny audytor sprawdza, czy firma ma uporządkowane zasady ochrony informacji i czy faktycznie ich przestrzega.

To trochę jak różnica między „mam porządek w domu, słowo honoru” a pokazaniem, że wszystko ma swoje miejsce, drzwi się zamykają, a zapasowe klucze są pod kontrolą. Norma nie sprawdza pojedynczego antywirusa czy hasła — sprawdza, czy całość trzyma się kupy.

Co dokładnie chroni ISO 27001?

Ważny szczegół, który wiele osób myli: ISO 27001 dotyczy bezpieczeństwa informacji, a nie tylko komputerów. Chroniona jest informacja jako taka — niezależnie od tego, czy leży w systemie informatycznym, jest wydrukowana na kartce, czy ktoś przekazuje ją ustnie przez telefon. Dlatego wydrukowana umowa zamknięta w szafie i baza danych w chmurze podlegają tej samej logice.

W praktyce sprowadza się to do pilnowania trzech rzeczy (po angielsku nazywanych triadą CIA):

• Poufność — dane widzą tylko ci, którzy powinni.
• Integralność — dane są prawdziwe i nikt ich po cichu nie zmienił.
• Dostępność — dane są pod ręką wtedy, gdy są potrzebne.

Norma jest przy tym neutralna technologicznie — nie każe kupować konkretnego programu ani sprzętu. To firma sama ocenia swoje ryzyka i dobiera do nich pasujące zabezpieczenia. Aktualna wersja to ISO/IEC 27001:2022.

Czym jest ISMS, czyli „system”, o który tu chodzi?

ISMS (po polsku SZBI) to nie jest jeden program ani jednorazowy projekt typu „wdrożyliśmy i koniec”. To sposób działania: zbiór zasad, procesów, ról i konkretnych zabezpieczeń, którymi firma na bieżąco zarządza bezpieczeństwem informacji. Pod tym względem przypomina inne systemy ISO, np. ISO 9001 dotyczący jakości.

Sercem ISMS jest analiza ryzyka. Firma zadaje sobie pytania: co cennego mamy, co może temu zagrozić, gdzie są słabe punkty? Potem decyduje, co z każdym ryzykiem zrobić — ograniczyć je zabezpieczeniem, świadomie zaakceptować, przerzucić (np. na ubezpieczyciela) albo go uniknąć. Całość regularnie się sprawdza i poprawia, więc system żyje i nadąża za zmianami.

Jak zbudowana jest norma?

ISO 27001 ma dwie części, które warto rozróżniać.

Pierwsza to rozdziały (klauzule) 4–10 — obowiązkowy „szkielet” systemu zarządzania. W skrócie mówią one, że firma musi: zrozumieć swój kontekst i ustalić, czego system dotyczy (klauzula 4), mieć zaangażowane kierownictwo (5), zaplanować działania wobec ryzyk (6), zapewnić zasoby i kompetencje (7), realizować procesy w praktyce (8), mierzyć i audytować skuteczność (9) oraz stale się poprawiać (10).

Druga część to Załącznik A (Annex A) — coś w rodzaju katalogu możliwych zabezpieczeń. Firma nie musi wdrażać wszystkich; wybiera te, które pasują do jej ryzyk. Załącznik A działa jak lista kontrolna, dzięki której łatwiej upewnić się, że o niczym ważnym się nie zapomniało.

Co jest w Załączniku A (wersja 2022)?

W edycji 2022 Załącznik A zawiera 93 zabezpieczenia pogrupowane w 4 kategorie:

• Organizacyjne (37) — zasady i procedury, np. polityki bezpieczeństwa, zarządzanie sprzętem i danymi, współpraca z dostawcami, reagowanie na incydenty.
• Dotyczące ludzi (8) — bo ludzie też są częścią bezpieczeństwa: weryfikacja przy zatrudnianiu, szkolenia, zasady pracy zdalnej.
• Fizyczne (14) — drzwi, zamki, strefy z ograniczonym dostępem, ochrona sprzętu i nośników.
• Technologiczne (34) — to, co kojarzy się z IT: zarządzanie dostępem, szyfrowanie, ochrona przed złośliwym oprogramowaniem, kopie zapasowe, monitorowanie zdarzeń.

Wersja 2022 dołożyła też jedenaście nowych zabezpieczeń, odpowiadających na nowsze realia — m.in. bezpieczeństwo w chmurze, gotowość na sytuacje kryzysowe, lepsze monitorowanie czy maskowanie danych.

Czym różni się wersja 2022 od 2013?

Norma ma swoją historię. Wywodzi się z brytyjskiego standardu BS 7799 z lat 90. Pierwsza edycja ISO 27001 ukazała się w 2005 roku, kolejna w 2013, a najnowsza w 2022.

Największa zmiana między edycjami 2022 i 2013 dotyczy właśnie Załącznika A:

• 2013 — 114 zabezpieczeń w 14 obszarach.
• 2022 — 93 zabezpieczenia w 4 kategoriach.

Mniejsza liczba nie oznacza, że usunięto połowę wymagań. Wiele zabezpieczeń po prostu połączono, część odświeżono, a jedenaście dodano. Firmy z certyfikatem według starej edycji musiały w wyznaczonym czasie przejść na wersję 2022.

ISO 27001 a ISO 27002 i cała rodzina 27000

To częste źródło zamieszania, więc rozłóżmy je na czynniki pierwsze. ISO 27001 mówi, CO trzeba spełnić — i to według niej wydaje się certyfikat. ISO 27002 mówi, JAK to zrobić — to praktyczny poradnik wdrażania poszczególnych zabezpieczeń z Załącznika A. ISO 27002 nie jest certyfikowane; to dokument pomocniczy.

Obie należą do większej rodziny ISO/IEC 27000, w której są też m.in.: ISO 27000 (przegląd i słownik pojęć), ISO 27005 (zarządzanie ryzykiem) czy ISO 27701 (rozszerzenie o ochronę prywatności).

Jak wygląda certyfikacja?

Certyfikat wydaje niezależna jednostka certyfikująca — najlepiej akredytowana, czyli sama sprawdzona przez wyższą instancję. Audyt zwykle ma dwa etapy:

1. Etap 1 — audytor czyta dokumentację i sprawdza, czy system jest dobrze zaprojektowany: zakres, polityki, analiza ryzyka, Deklaracja Stosowania. Wskazuje, co poprawić przed kolejnym krokiem.
2. Etap 2 — audytor sprawdza, czy to wszystko działa w praktyce, a nie tylko na papierze: czy zabezpieczenia są wdrożone i czy ludzie faktycznie ich przestrzegają.

Po pozytywnym audycie firma dostaje certyfikat ważny zwykle 3 lata. W tym czasie odbywają się coroczne audyty nadzoru (sprawdzające, czy nic się nie rozjechało), a przed końcem ważności potrzebna jest recertyfikacja, czyli pełny audyt na nowy okres.

Ważny jest zakres certyfikacji — firma może certyfikować całą działalność albo tylko jej część (np. jeden dział lub usługę). Zakres jest wpisany na certyfikacie i to on mówi, czego naprawdę dotyczy zgodność. Dlatego warto na niego patrzeć, gdy ktoś macha certyfikatem.

Deklaracja Stosowania (SoA) i dokumenty

Deklaracja Stosowania (SoA, Statement of Applicability) to jeden z kluczowych dokumentów. W skrócie jest to lista zabezpieczeń z Załącznika A z adnotacją: które firma zastosowała, których nie i dlaczego. SoA łączy analizę ryzyka z konkretnymi decyzjami i audytor zagląda do niej w pierwszej kolejności.

Poza nią norma wymaga m.in.: zakresu systemu, polityki bezpieczeństwa, opisu i wyników analizy ryzyka wraz z planem postępowania, celów bezpieczeństwa oraz zapisów potwierdzających kompetencje, audyty wewnętrzne i przeglądy zarządzania.

Stałe doskonalenie, czyli cykl PDCA

ISO 27001 zakłada, że bezpieczeństwa nie da się „osiągnąć raz na zawsze”. Opisuje to prosty cykl PDCA (Plan–Do–Check–Act): zaplanuj, wdróż, sprawdź, popraw — i tak w kółko. Dzięki temu system nadąża za nowymi zagrożeniami i zmianami w firmie, zamiast się zestarzeć rok po wdrożeniu.

Kto sięga po ISO 27001 i co z tego ma?

Normę może wdrożyć firma każdej wielkości i z dowolnej branży, która przetwarza istotne informacje. Najczęściej robią to organizacje z sektorów: IT i usług chmurowych, finansów, ochrony zdrowia, telekomunikacji, a także dostawcy obsługujący dane swoich klientów. Bywa, że klient albo przetarg po prostu jej wymaga.

Co to daje na co dzień:

• porządek i jasne zasady zamiast działania od przypadku do przypadku,
• wiadomo, kto za co odpowiada,
• łatwiej udowodnić klientom i partnerom, że dane są w dobrych rękach,
• gotowe procedury na wypadek incydentu czy awarii,
• solidny fundament pod inne wymogi (np. ochrona danych osobowych).

ISO 27001 a inne standardy i przepisy

ISO 27001 a SOC 2

Oba dotyczą bezpieczeństwa, ale efekt jest inny. ISO 27001 kończy się certyfikatem i jest standardem rozpoznawanym na całym świecie. SOC 2 kończy się szczegółowym raportem audytora i jest popularny głównie w USA. Upraszczając: jeden daje papier potwierdzający „mamy system”, drugi obszerny opis tego, jak konkretne zabezpieczenia działają.

ISO 27001 a RODO

RODO to przepis prawa o ochronie danych osobowych — stosować trzeba je obowiązkowo. ISO 27001 to dobrowolna norma o bezpieczeństwie informacji w ogóle. To nie to samo: certyfikat ISO 27001 nie oznacza automatycznie zgodności z RODO. Ale bardzo w niej pomaga, bo wiele zabezpieczeń (analiza ryzyka, reagowanie na incydenty, kontrola dostępu) pokrywa się z tym, czego RODO oczekuje.

ISO 27001 a ISO 27701

ISO/IEC 27701 to rozszerzenie ISO 27001 o ochronę prywatności — tworzy system zarządzania informacjami o prywatności (PIMS). Nie działa samodzielnie: żeby się według niego certyfikować, trzeba najpierw mieć wdrożone ISO 27001. Przydaje się zwłaszcza firmom, które chcą poukładać ochronę danych osobowych, np. w kontekście RODO.

ISO 27001 a NIS2

Dyrektywa NIS2 to unijne prawo, które podnosi wymagania cyberbezpieczeństwa dla wielu firm uznanych za kluczowe lub ważne. W przeciwieństwie do ISO 27001 jej obowiązki są prawnie wiążące. Sam certyfikat ISO 27001 nie oznacza zgodności z NIS2, ale wdrożony system mocno się z nią pokrywa — zwłaszcza w obszarach zarządzania ryzykiem, zgłaszania incydentów, ciągłości działania i bezpieczeństwa dostawców. Dlatego dla wielu firm ISO 27001 jest praktycznym punktem wyjścia do spełnienia wymogów NIS2.

Dowiedz się więcej

• Monitoring sieci i network visibility – analiza ruchu sieciowego jako podstawa visibility cybersecurity — Monitoring sieci wspiera ISO 27001 przez wykrywanie incydentów i kontrolę bezpieczeństwa informacji.
• NIST Cybersecurity Framework — NIST CSF uzupełnia ISO 27001, bo pomaga porządkować działania w obszarze ryzyka i kontroli.
• ARP Spoofing – jak wykryć atak Man-in-the-Middle i zatruwanie ARP w sieci LAN — ARP spoofing pokazuje zagrożenie, które ISO 27001 wymaga identyfikować i ograniczać.