ISO 27001: co to jest i dlaczego firmy się certyfikują

ISO 27001, a dokładnie ISO/IEC 27001, to międzynarodowa norma określająca wymagania dla systemu zarządzania bezpieczeństwem informacji (SZBI). Pokazuje, jak organizacja ma rozpoznawać ryzyka, dobierać zabezpieczenia i stale je doskonalić. Firmy certyfikują się, aby udowodnić klientom i partnerom, że chronią informacje w sposób uporządkowany i sprawdzony przez niezależnego audytora.

Czym jest norma ISO/IEC 27001?

Norma ISO/IEC 27001 to standard opracowany wspólnie przez Międzynarodową Organizację Normalizacyjną (ISO) i Międzynarodową Komisję Elektrotechniczną (IEC). Jej aktualne wydanie, ISO/IEC 27001:2022, nosi tytuł „Information security, cybersecurity and privacy protection – Information security management systems – Requirements”. Norma nie narzuca konkretnych produktów ani technologii. Określa, jak zarządzać bezpieczeństwem informacji w całej organizacji.

Czym jest system zarządzania bezpieczeństwem informacji?

System zarządzania bezpieczeństwem informacji to zestaw polityk, procesów, ról i zabezpieczeń, którymi organizacja chroni trzy cechy informacji:

poufność: dostęp mają tylko uprawnione osoby,
integralność: informacje nie zostały zmienione bez uprawnienia,
dostępność: informacje są dostępne wtedy, gdy są potrzebne.

Norma wymaga między innymi określenia zakresu systemu, oceny ryzyka, zaangażowania kierownictwa, audytów wewnętrznych i przeglądów zarządzania.

Co zawiera załącznik A normy ISO 27001?

Załącznik A normy ISO 27001 zawiera katalog zabezpieczeń, z których organizacja wybiera te adekwatne do swoich ryzyk. W wersji 2022 liczy 93 zabezpieczenia podzielone na 4 grupy:

Grupa zabezpieczeń	Przykłady
Organizacyjne	Polityki bezpieczeństwa, zarządzanie dostawcami, obsługa incydentów
Osobowe	Szkolenia, zasady zatrudnienia i zakończenia współpracy
Fizyczne	Kontrola wejść, ochrona sprzętu, zasada czystego biurka
Technologiczne	Kontrola dostępu, szyfrowanie, kopie zapasowe, monitorowanie

Wybór zabezpieczeń i uzasadnienie pominięć organizacja dokumentuje w deklaracji stosowania. Szczegółowe wskazówki do wdrożenia poszczególnych zabezpieczeń zawiera powiązana norma ISO/IEC 27002.

Czym różni się ISO 27001:2022 od wersji z 2013 roku?

Wersja 2022 uporządkowała zabezpieczenia: zamiast 114 zabezpieczeń w 14 obszarach zawiera 93 w 4 grupach. Dodano nowe zabezpieczenia, między innymi dotyczące analizy zagrożeń, bezpieczeństwa usług chmurowych i ochrony danych.

Okres przejściowy trwał od 31 października 2022 do 31 października 2025 roku. Po tej dacie certyfikaty według wersji z 2013 roku straciły ważność, o czym informowały jednostki certyfikujące, na przykład CeCert.

Dlaczego firmy certyfikują się na zgodność z ISO 27001?

Firmy certyfikują się na zgodność z ISO 27001 z kilku praktycznych powodów:

Wymagania klientów: certyfikat bywa warunkiem w przetargach i umowach, szczególnie w IT, finansach i usługach dla dużych organizacji.
Zaufanie partnerów: niezależny audyt zastępuje długie ankiety bezpieczeństwa od każdego klienta.
Łańcuch dostaw: podmioty objęte NIS2 muszą dbać o bezpieczeństwo dostawców, więc częściej wymagają od nich uporządkowanego zarządzania bezpieczeństwem.
Porządek wewnętrzny: norma wymusza ocenę ryzyka, jasne role i regularne przeglądy.
Mniejsze ryzyko incydentów: systematycznie wdrożone zabezpieczenia ograniczają skutki ataków i błędów.

Certyfikat nie gwarantuje jednak, że incydent nigdy się nie wydarzy. Potwierdza, że organizacja zarządza ryzykiem w sposób zgodny z normą.

Jaki jest związek ISO 27001 z NIS2?

ISO 27001 pomaga spełnić część wymagań NIS2, bo oba dokumenty opierają się na zarządzaniu ryzykiem. Polska nowelizacja ustawy o krajowym systemie cyberbezpieczeństwa wymaga od podmiotów kluczowych i ważnych wdrożenia systemu zarządzania bezpieczeństwem informacji, a wiele organizacji buduje go właśnie na podstawie ISO 27001.

Certyfikat nie zwalnia jednak z obowiązków ustawowych, takich jak zgłaszanie incydentów w terminach. Szczegóły opisuje artykuł NIS2: co to jest i kogo dotyczy.

Jak wygląda certyfikacja ISO 27001?

Certyfikacja ISO 27001 przebiega zwykle w kilku etapach:

Analiza luk: porównanie obecnych praktyk z wymaganiami normy.
Wdrożenie SZBI: określenie zakresu, ocena ryzyka, wybór zabezpieczeń, polityki i szkolenia.
Audyt wewnętrzny i przegląd zarządzania: sprawdzenie, czy system działa, zanim przyjdzie audytor.
Audyt certyfikujący pierwszego etapu: jednostka certyfikująca ocenia dokumentację i gotowość.
Audyt certyfikujący drugiego etapu: audytor sprawdza, czy zabezpieczenia działają w praktyce.
Utrzymanie certyfikatu: certyfikat wydaje się zwykle na trzy lata, a w tym czasie jednostka przeprowadza audyty nadzoru, po których następuje recertyfikacja.

Certyfikat wydaje niezależna jednostka certyfikująca, a nie organizacja ISO. W Polsce kompetencje takich jednostek potwierdza akredytacja Polskiego Centrum Akredytacji. Warto sprawdzić, czy wybrana jednostka ma akredytację dla ISO/IEC 27001.

Wśród zabezpieczeń technologicznych szczególną rolę odgrywają szyfrowanie i silne uwierzytelnianie. Więcej o nich w artykułach szyfrowanie danych oraz MFA i 2FA.

Najczęstsze pytania o ISO 27001

Czy certyfikat ISO 27001 jest obowiązkowy?

Nie. Certyfikacja ISO 27001 jest dobrowolna. Obowiązkowa może stać się w praktyce, gdy wymaga jej klient w umowie lub przetargu.

Czy mała firma może wdrożyć ISO 27001?

Tak. Norma dotyczy organizacji każdej wielkości, a zakres systemu i liczbę zabezpieczeń dopasowuje się do ryzyk i skali działalności.

Czym różni się ISO 27001 od ISO 27002?

ISO/IEC 27001 zawiera wymagania, na zgodność z którymi można się certyfikować. ISO/IEC 27002 to wytyczne opisujące, jak wdrożyć poszczególne zabezpieczenia, i nie jest podstawą certyfikacji.

Czy certyfikat ISO 27001 z 2013 roku jest nadal ważny?

Nie. Certyfikaty według wersji z 2013 roku straciły ważność po 31 października 2025 roku. Organizacje musiały przejść na wersję 2022.

ISO 27001 – co to jest i dlaczego firmy się certyfikują?