Czym jest ISO 27001:2022?

Przegląd

ISO 27001:2022 to obecny międzynarodowy standard określający wymagania dotyczące ustanowienia, wdrożenia, utrzymania i ciągłego doskonalenia Systemu Zarządzania Bezpieczeństwem Informacji (SZBI). Opublikowany w październiku 2022 roku, zastąpił ISO 27001:2013 i dostarcza globalnie uznawanych ram dla organizacji do systematycznego zarządzania ryzykiem związanym z bezpieczeństwem informacji.

Co to oznacza w praktyce

ISO 27001:2022 to zarówno zestaw wymagań, które Twoja organizacja musi spełnić, jak i certyfikat, który możesz uzyskać od akredytowanego audytora zewnętrznego. Można to traktować jako „zasady gry” w zarządzaniu bezpieczeństwem informacji – określa, co musisz zrobić, ale daje elastyczność w sposobie realizacji, w zależności od kontekstu.

Kluczowe zmiany w stosunku do ISO 27001:2013

Restrukturyzacja załącznika A

Najbardziej znaczącą zmianą była całkowita reorganizacja kontroli bezpieczeństwa:

• Wersja 2013: 114 kontroli w 14 domenach
• Wersja 2022: 93 kontrole w 4 tematach (Organizacyjne, Ludzie, Fizyczne, Technologiczne)
• Rezultat: Dodano 11 nowych kontroli, 24 kontrole połączono, uproszczono strukturę

Nowe kontrole odpowiadające na współczesne zagrożenia

ISO 27001:2022 wprowadziło kontrole dotyczące aktualnych wyzwań związanych z bezpieczeństwem:

• A.5.7 Wywiad zagrożeń – Monitorowanie i reagowanie na pojawiające się zagrożenia
• A.5.23 Bezpieczeństwo chmury – Zarządzanie bezpieczeństwem informacji w usługach chmurowych
• A.8.9 Zarządzanie konfiguracją – Kontrola konfiguracji zabezpieczeń
• A.8.10 Usuwanie informacji – Procedury bezpiecznego usuwania danych
• A.8.11 Maskowanie danych – Ochrona poufnych danych w środowiskach nieprodukcyjnych
• A.8.12 Zapobieganie wyciekom danych – Wykrywanie i zapobieganie nieautoryzowanym transferom danych
• A.8.16 Monitorowanie aktywności – Wykrywanie nietypowych zachowań
• A.8.23 Filtrowanie stron internetowych – Kontrola dostępu do sieci
• A.8.28 Bezpieczne kodowanie – Wbudowywanie bezpieczeństwa w proces tworzenia oprogramowania

Dostosowanie do ISO 27002:2022

Atrybuty kontroli w ISO 27002:2022 (towarzyszące wytyczne dotyczące wdrożenia) obejmują teraz właściwości takie jak typ kontroli, domeny bezpieczeństwa i możliwości operacyjne, co ułatwia mapowanie kontroli do konkretnych przypadków użycia.

Struktura ISO 27001:2022

Klauzule 1-3: Wprowadzenie i zakres

Definiuje cel standardu, jego zastosowanie oraz odniesienia do powiązanych standardów, takich jak ISO 27000 w zakresie terminologii.

Klauzula 4: Kontekst organizacji

Wymaga zrozumienia kontekstu organizacji, stron zainteresowanych (interesariuszy) oraz określenia zakresu SZBI. Należy zidentyfikować wewnętrzne i zewnętrzne kwestie wpływające na bezpieczeństwo informacji.

Klauzula 5: Przywództwo

Najwyższe kierownictwo musi wykazać przywództwo i zaangażowanie poprzez ustanowienie polityki bezpieczeństwa, przypisanie ról i odpowiedzialności oraz zapewnienie integracji SZBI z procesami biznesowymi.

Klauzula 6: Planowanie

Wymaga procesów oceny i postępowania z ryzykiem, określenia sposobu identyfikacji ryzyka, jego oceny oraz wyboru kontroli w celu jego ograniczenia. Należy również ustalić mierzalne cele w zakresie bezpieczeństwa informacji.

Klauzula 7: Wsparcie

Obejmuje zasoby, kompetencje, świadomość, komunikację oraz udokumentowane informacje. Należy zapewnić odpowiednie zasoby, szkolić personel, podnosić świadomość bezpieczeństwa oraz tworzyć wymaganą dokumentację.

Klauzula 8: Działanie

Wdrażanie i eksploatacja zaplanowanych procesów, w tym oceny ryzyka, postępowania z ryzykiem oraz kontroli operacyjnych związanych z bezpieczeństwem.

Klauzula 9: Ocena efektów

Monitorowanie, pomiar, analiza i ocena efektywności bezpieczeństwa poprzez audyty wewnętrzne i przeglądy zarządzania. Śledzenie, czy cele są osiągane.

Klauzula 10: Doskonalenie

Rozwiązywanie niezgodności poprzez działania korygujące oraz ciągłe doskonalenie efektywności SZBI.

Załącznik A: Kontrole bezpieczeństwa

Wymienia 93 kontrole bezpieczeństwa w czterech tematach, spośród których organizacje wybierają na podstawie wyników oceny ryzyka. To „menu wdrożeniowe” do rozwiązywania zidentyfikowanych zagrożeń.

Cztery tematy kontroli w Załączniku A

Kontrole organizacyjne (37 kontroli, A.5.1-A.5.37)

Zarządzanie, polityki, zarządzanie ryzykiem, zarządzanie zasobami, kontrola dostępu, zarządzanie dostawcami, zarządzanie incydentami, ciągłość działania oraz zgodność. To kontrole na poziomie zarządzania, definiujące sposób działania organizacji.

Kontrole dotyczące ludzi (8 kontroli, A.6.1-A.6.8)

Badanie kandydatów, warunki zatrudnienia, szkolenia z bezpieczeństwa, procesy dyscyplinarne, procedury zwolnienia, umowy o poufności, praca zdalna oraz raportowanie incydentów. Te kontrole zarządzają ryzykiem związanym z czynnikiem ludzkim.

Kontrole fizyczne (14 kontroli, A.7.1-A.7.14)

Bezpieczeństwo obiektów, kontrola fizycznego dostępu, ochrona sprzętu, ochrona środowiska (zasilanie, klimatyzacja), bezpieczeństwo okablowania, bezpieczna utylizacja, polityka biurkowa, usuwanie zasobów, nośniki danych, media, okablowanie, konserwacja i monitorowanie. Chronią środowisko fizyczne.

Kontrole technologiczne (34 kontrole, A.8.1-A.8.34)

Bezpieczeństwo punktów końcowych, uprzywilejowany dostęp, ograniczenie dostępu do informacji, dostęp do kodu źródłowego, uwierzytelnianie, zarządzanie pojemnością, ochrona przed złośliwym oprogramowaniem, rejestrowanie, monitorowanie, synchronizacja zegarów, bezpieczeństwo sieci, szyfrowanie, bezpieczeństwo w rozwoju, zarządzanie zmianami, testowanie, zarządzanie podatnościami i inne. To techniczne i IT-owe kontrole.

Wymagania obowiązkowe vs. opcjonalne

Wymagania obowiązkowe (Klauzule 4-10)

Każda organizacja ubiegająca się o certyfikację musi wdrożyć wszystkie wymagania zawarte w klauzulach 4-10. Są one bezwzględne i obejmują:

• Określenie zakresu SZBI
• Przeprowadzanie oceny ryzyka
• Utworzenie Deklaracji Stosowalności
• Udokumentowanie polityki bezpieczeństwa
• Przeprowadzanie audytów wewnętrznych
• Przeprowadzanie przeglądów zarządzania
• Zarządzanie niezgodnościami

Wybór kontroli oparty na ryzyku (Załącznik A)

Kontrole z Załącznika A są wybierane na podstawie oceny ryzyka. Możesz wykluczyć kontrole, jeśli nie są istotne dla Twoich zagrożeń, ale musisz uzasadnić wyłączenia w Deklaracji Stosowalności.

Jak działa certyfikacja

Etap 1: Przegląd dokumentacji

Audytor przegląda dokumentację SZBI, w tym zakres, polityki, ocenę ryzyka, Deklarację Stosowalności oraz procedury. Weryfikuje, czy spełniono wszystkie wymagania obowiązkowe i udokumentowano odpowiednie kontrole.

Etap 2: Weryfikacja wdrożenia

Audyt na miejscu lub zdalny, podczas którego audytorzy przeprowadzają wywiady z pracownikami, analizują dowody, testują kontrole i weryfikują, czy SZBI działa zgodnie z dokumentacją. Próbkują wszystkie tematy kontroli oraz obszary organizacyjne objęte zakresem.

Decyzja o certyfikacji

Jeśli nie ma poważnych niezgodności, jednostka certyfikująca wydaje certyfikat ważny przez trzy lata. Drobne niezgodności muszą zostać poprawione w uzgodnionych terminach.

Audyty nadzoru

Roczne audyty kontrolne weryfikują ciągłe przestrzeganie wymagań i doskonalenie. Są krótsze niż początkowy audyt certyfikacyjny, ale obejmują próbkowanie różnych obszarów.

Ponowna certyfikacja

Co trzy lata przeprowadzany jest pełny audyt recertyfikacyjny, podobny do etapu 2, który przedłuża certyfikat na kolejne trzy lata.

Kto powinien dążyć do certyfikacji ISO 27001?

Branże regulowane

Usługi finansowe, opieka zdrowotna, telekomunikacja i infrastruktura krytyczna często podlegają wymogom regulacyjnym, które ISO 27001 pomaga spełnić (RODO, NIS2, DORA, PCI DSS).

Dostawcy usług B2B

Firmy SaaS, dostawcy chmury, dostawcy usług zarządzanych i outsourcing procesów biznesowych wykorzystują certyfikację, aby wykazać dojrzałość w zakresie bezpieczeństwa przed klientami korporacyjnymi.

Kontrahenci rządowi

Zamówienia publiczne coraz częściej wymagają lub preferują certyfikację ISO 27001 jako dowód zdolności w zakresie bezpieczeństwa.

Organizacje przetwarzające poufne dane

Każda firma przetwarzająca dane osobowe, własność intelektualną lub poufne informacje korzysta na systematycznym zarządzaniu ryzykiem.

Firmy poszukujące przewagi konkurencyjnej

W przetargach certyfikacja ISO 27001 wyróżnia dostawców i może być czynnikiem decydującym.

ISO 27001 a inne ramy bezpieczeństwa

SOC 2

SOC 2 to północnoamerykańskie zaświadczenie skupiające się na organizacjach usługowych. ISO 27001 ma szerszy zakres i jest uznawane globalnie. Wiele organizacji realizuje oba.

Ramy cyberbezpieczeństwa NIST

NIST CSF to wytyczne, a nie standard certyfikowalny. ISO 27001 zapewnia certyfikację. Ramy te są kompatybilne, a organizacje często mapują je między sobą.

PCI DSS

PCI DSS dotyczy specyficznie danych kart płatniczych. ISO 27001 obejmuje całość bezpieczeństwa informacji. Wiele wymagań PCI DSS pokrywa się z kontrolami ISO 27001.

RODO

RODO to wymóg prawny dotyczący ochrony danych. ISO 27001 pomaga wykazać zgodność z RODO poprzez kontrole bezpieczeństwa (Artykuł 32) i środki rozliczalności.

Korzyści z wdrożenia ISO 27001:2022

Zmniejszenie liczby incydentów bezpieczeństwa

Systematyczna identyfikacja ryzyka i wdrożenie kontroli znacząco zmniejsza prawdopodobieństwo naruszeń i ich wpływ.

Zgodność regulacyjna

Wiele kontroli ISO 27001 bezpośrednio odpowiada na wymogi RODO, NIS2, DORA i regulacji branżowych, zmniejszając obciążenie związane ze zgodnością.

Zaufanie klientów

Niezależna certyfikacja zapewnia klientom pewność, szczególnie w procesach przetargowych i negocjacjach kontraktowych.

Efektywność operacyjna

Udokumentowane procesy, jasne odpowiedzialności i systematyczne doskonalenie redukują błędy i powtórne prace.

Ubezpieczenia i odpowiedzialność

Niektórzy dostawcy ubezpieczeń cybernetycznych oferują lepsze warunki dla certyfikowanych organizacji, uznając zmniejszone ryzyko.

Odporność biznesowa

Kontrole reakcji na incydenty i ciągłości działania zapewniają szybsze odzyskiwanie po zdarzeniach bezpieczeństwa i zakłóceniach.

Harmonogram i koszty wdrożenia

Typowy czas wdrożenia

• Mała organizacja (10-50 pracowników): 6-9 miesięcy
• Średnia organizacja (50-250 pracowników): 9-12 miesięcy
• Duża organizacja (250+ pracowników): 12-18 miesięcy

Czynniki kosztowe

• Zasoby wewnętrzne: Kierownik projektu, zespół SZBI, eksperci merytoryczni
• Wsparcie zewnętrzne: Konsultanci (10 000–100 000+ USD w zależności od zakresu i wielkości organizacji)
• Narzędzia: Platformy GRC, narzędzia bezpieczeństwa, systemy dokumentacji
• Audyt certyfikacyjny: 5 000–50 000+ USD za audyty etapu 1 i 2
• Audyty nadzoru: 2 000–15 000+ USD rocznie
• Wdrożenie kontroli: Zmienne w zależności od dojrzałości bezpieczeństwa i wymaganych kontroli

Typowe wyzwania wdrożeniowe

Definicja zakresu

Organizacje mają trudności z określeniem odpowiedniego zakresu SZBI – zbyt wąski pomija ryzyka, zbyt szeroki staje się niezarządzalny. Zakres powinien obejmować krytyczne zasoby informacyjne i interfejsy z podmiotami trzecimi.

Metodologia oceny ryzyka

Opracowanie podejścia do oceny ryzyka, które jest zarówno zgodne, jak i praktyczne, wymaga równowagi między rygorem a pragmatyzmem. Zbyt złożone metodologie hamują wdrożenie.

Gromadzenie dowodów

Audytorzy potrzebują dowodów na skuteczne działanie kontroli. Organizacje często wdrażają kontrole, ale nie gromadzą systematycznie dowodów ich działania.

Utrzymanie tempa

Wdrożenie SZBI wymaga długotrwałego wysiłku przez wiele miesięcy. Początkowy entuzjazm słabnie bez widocznego wsparcia zarządzania i szybkich sukcesów.

Powiązane pojęcia

• System Zarządzania Bezpieczeństwem Informacji (SZBI) – System definiowany przez ISO 27001
• Kontrole Załącznika A – 93 kontrole bezpieczeństwa w ISO 27001:2022
• Deklaracja Stosowalności – Dokument wymieniający, które kontrole wdrażasz
• Ocena ryzyka – Proces identyfikacji zagrożeń bezpieczeństwa
• Jak rozpocząć wdrażanie ISO 27001 z wykorzystaniem AI

Uzyskanie pomocy

Gotowy do wdrożenia ISO 27001:2022? Skorzystaj z ISMS Copilot, aby przyspieszyć wdrożenie dzięki ocenie ryzyka wspomaganej przez AI, generowaniu polityk i analizie luk dostosowanej do wersji 2022.