ISO 27001, příloha A: jak uvést 93 opatření do provozu

Příloha A poskytuje bezpečnostním týmům užitečnou referenční sadu. Provozní hodnotu získává tím, že ukazuje, proč se opatření uplatňuje, jak je zavedeno a jaké důkazy jej ve vašem prostředí podporují. Registr s 93 zelenými indikátory stavu nestačí, pokud nikdo nedokáže vysvětlit, na které systémy se tyto indikátory vztahují.

Pro technického ředitele (CTO) je praktickou výzvou převést záměr opatření na inženýrskou a provozní práci, aniž by se systém řízení bezpečnosti informací změnil v paralelní byrokracii. Přezkumy přístupů by měly pracovat se skutečnými daty o oprávněních. Plány obnovy by měly odrážet závislosti služeb. Posouzení dodavatelů by se měla týkat služeb, které podnik skutečně využívá.

Tento průvodce vysvětluje, jak vybírat opatření, rozdělit vlastnictví, definovat zavedení a testovat výsledná tvrzení. Uvedené frekvence přezkumů a příklady zavedení jsou praktická doporučení, nikoli univerzální intervaly předepsané normou.

Pochopte, co příloha A dělá a co ne

ISO/IEC 27001:2022 obsahuje v příloze A 93 opatření ve čtyřech tématech. Kapitoly 4–10 obsahují požadavky na systém řízení: kontext organizace, vedení, plánování, podporu, provoz, hodnocení výkonnosti a zlepšování. Příloha A podporuje výběr opatření; tyto požadavky ani vaše posouzení rizik nenahrazuje.

Toto rozlišení je při zavádění důležité. Konfigurace záloh může podporovat vybrané opatření, ale neprokazuje, že jste vymezili rozsah ISMS, posoudili rizika, provedli interní audit nebo dokončili přezkoumání vedením. Jde o samostatné činnosti se samostatnými důkazy.

Výběr opatření je založen na rizicích. Určete opatření nezbytná k ošetření vašich rizik a poté je porovnejte s přílohou A, abyste ověřili, že žádné nezbytné opatření nebylo vynecháno. Mohou být nutná i další opatření mimo přílohu A. Naopak je možné i odůvodněné vyloučení; neexistuje pravidlo, že každá organizace musí něco vyloučit nebo zavést přesně stejný výběr.

ISO/IEC 27002:2022 poskytuje pokyny k zavedení opatření. Její atributy pomáhají opatření třídit podle typu opatření, vlastnosti bezpečnosti informací, koncepce kybernetické bezpečnosti, provozní schopnosti a bezpečnostní domény. Jde o užitečné pomůcky pro filtrování, nikoli o další certifikační kontrolní seznamy. Pro závazné znění vycházejte z licencovaných norem.

Využijte čtyři témata k nalezení správných vlastníků

Témata poskytují navigační strukturu, nikoli čtyři nezávislé pracovní proudy. Proces odchodu zaměstnance například propojuje pracovněprávní odpovědnosti, správu identit, vrácení vybavení a přístup k aplikacím.

Organizační opatření: propojte řízení s provozními rozhodnutími

Tato opatření pokrývají politiky, odpovědnosti, oddělení povinností, aktiva, klasifikaci informací a nakládání s nimi, řízení přístupů, dodavatele, incidenty, kontinuitu, právní povinnosti a přezkumné činnosti.

Začněte určením, kde se rozhoduje. Kdo schvaluje novou cloudovou službu? Kdo přiděluje klasifikaci informací? Kdo rozhoduje, zda je nahlášená událost incidentem? Politika by měla tato rozhodnutí učinit opakovatelnými a přidělit pravomoci, nikoli jen vyjadřovat podporu bezpečnosti.

Bezpečnost dodavatelů potřebuje řetězec důkazů specifický pro danou službu: obchodní účel služby, informace, se kterými pracuje, posouzená rizika, smluvní odpovědnosti a průběžný přezkum. Zpráva dodavatele o ujištění může toto posouzení podpořit, ale její rozsah, období a odpovědnosti zákazníka musí odpovídat vašemu použití.

Řízení incidentů obdobně vyžaduje víc než seznam nouzových kontaktů. Definujte cesty hlášení, kritéria posouzení, pravomoci k reakci, nakládání s důkazy a činnosti pro poučení. Zaznamenávejte cvičení nebo skutečné reakce, včetně navazujících kroků a jejich vlastníků.

Opatření týkající se lidí: učiňte z pracovněprávních událostí spolehlivé spouštěče

Osm opatření týkajících se lidí se zabývá prověřováním, pracovními podmínkami, povědomím a školením, disciplinárním řízením, odpovědnostmi po změnách v zaměstnání, důvěrností, prací na dálku a hlášením událostí.

Zabudujte je do stávajících personálních procesů. Nový zaměstnanec potřebuje odpovídající povinnosti, přístupy a poučení. Zaměstnanec, který mění pozici, potřebuje přehodnotit oprávnění, nikoli jen přidat nová. Odcházející zaměstnanec potřebuje odebrání přístupů, vrácení aktiv a jasno ohledně trvajících povinností mlčenlivosti.

Vlastnictví často přesahuje jednotlivé týmy. HR může odchod zahájit, správci identit deaktivují centrální účet, vlastníci aplikací odeberou lokálně spravované přístupy a manažer potvrdí dokončení. Přidělení celého procesu bezpečnostnímu týmu tyto závislosti skrývá.

Užitečné důkazy zahrnují záznamy o schválených procesech, dokončení školení a sledování zpožděných případů, potvrzené podmínky a vzorky změn v zaměstnání. Omezte přístup k citlivým důkazům z HR; posuzovatel opatření automaticky nepotřebuje úplné osobní spisy.

Fyzická opatření: zdokumentujte svou hranici a hranici dodavatele

Fyzická opatření se týkají prostor, vstupu, monitorování, environmentálních hrozeb, zabezpečených oblastí, stolů a obrazovek, vybavení, médií, inženýrských sítí, kabeláže, údržby a likvidace.

I organizace orientovaná na cloud musí fyzickou bezpečnost zvážit. Část zavedení může zajišťovat poskytovatel cloudu, zatímco přístup do kanceláře a zařízení zaměstnanců zůstávají její vlastní odpovědností. Toto rozdělení zaznamenejte, místo abyste automaticky vyloučili celé téma.

U vlastních lokalit určete, kdo může vstoupit, jak se mění přístupy, kde je umístěno citlivé vybavení a jak se zachází s návštěvníky. U vzdálených zařízení definujte uložení, přepravu, opravy a likvidaci přiměřené jejich rizikům.

Důkazy mohou zahrnovat záznamy o schválení přístupu, postupy pro návštěvníky, inventáře vybavení a záznamy o likvidaci. Důkazy od dodavatele by měly vysvětlovat, na která zařízení a služby se vztahují; neměly by se považovat za důkaz opatření ve vaší kanceláři nebo u vašich notebooků.

Technologická opatření: definujte pokrytí dříve, než zvolíte nástroje

Technologické téma pokrývá koncová zařízení, privilegované přístupy, autentizaci, přístup ke zdrojovému kódu, kapacitu, malware, zranitelnosti, konfigurace, nakládání s daty, zálohy, odolnost, protokolování, monitorování, sítě, kryptografii, vývoj a řízení změn.

Začněte pokrytím systémů. Politika identit je neúplná, pokud produkční přístup, servisní účty nebo samostatně spravovaná aplikace stojí mimo její zavedení. Platforma pro protokolování je neúplná, pokud se do ní kritické události nikdy nedostanou nebo pokud na výstrahy nikdo nereaguje.

U vývoje softwaru propojte požadavky a návrhová rozhodnutí s revizí kódu, bezpečnostním testováním, oddělením prostředí, nakládáním s testovacími daty a schvalováním vydání. Modelování hrozeb může pomoci identifikovat bezpečnostní požadavky před implementací. Hloubka testování by se měla řídit riziky a povinnostmi; ISO 27001 neukládá univerzální harmonogram penetračních testů.

U kryptografie rozlišujte data v klidu a data při přenosu a zdokumentujte vlastnictví klíčů, přístup k nim, jejich obnovu, rotaci a odvolání. „Šifrování zapnuto“ ponechává důležité otázky zavedení bez odpovědi.

Co se změnilo v roce 2022 a kde hledat mezery

Vydání z roku 2013 mělo 114 opatření ve 14 doménách. Vydání z roku 2022 je přeuspořádalo do 93 opatření ve čtyřech tématech, včetně 11 nových opatření. Nižší počet neznamená méně bezpečnostní práce: sloučení může pod jeden odkaz zahrnout několik provozních odpovědností.

Při aktualizaci staršího registru zachovejte podkladová zavedení a důkazy, místo abyste pouze nahradili identifikátory. Ověřte, zda nové seskupení mění pokrytí, vlastnictví nebo testy potřebné k doložení vašeho stavu.

Přechodné období pro akreditovanou certifikaci podle ISO/IEC 27001:2013 skončilo 31. října 2025. Tyto certifikáty již nejsou platné; samotná aktualizace registru opatření neznamená certifikaci podle vydání z roku 2022.

Následující body jsou praktickými východisky pro 11 nových opatření, nikoli reprodukcí jejich závazného znění.

Nepovažujte je za jedenáct automatických nákupů produktů. Informace o hrozbách například vyžadují analýzu a kroky, nejen předplacený datový kanál. Výmaz dat vyžaduje porozumění kopiím, zálohám a povinnostem uchovávání, nikoli jen tlačítko pro smazání. Monitorování potřebuje provozní cestu reakce.

Aplikovatelnost a zavedení zaznamenávejte odděleně

Vaše prohlášení o aplikovatelnosti (Statement of Applicability, SoA) by mělo identifikovat nezbytná opatření, vysvětlit jejich zařazení, zaznamenat, zda jsou zavedena, a odůvodnit vyloučení opatření z přílohy A. Tyto požadavky jsou součástí ustanovení o ošetření rizik v ISO/IEC 27001.

Použití všech 93 odkazů jako rejstříku pro přezkum je praktický způsob, jak učinit porovnání přezkoumatelným. Zahrňte i veškerá další nezbytná opatření. SoA není registrem rizik, plánem ošetření rizik ani úložištěm důkazů, i když by na každý z nich mělo tam, kde je to relevantní, navazovat.

U každého aplikovatelného opatření zaznamenejte:

• Rizika nebo povinnosti podporující zařazení.
• Relevantní systémy, lokality, informace a procesy.
• Skutečné zavedení a odpovědného vlastníka.
• Podpůrné důkazy a období jejich přezkumu.
• Závislosti, výjimky a nedokončenou práci.
• Datum příštího přezkumu nebo spouštěcí událost.

Udržujte aplikovatelnost nezávislou na stavu realizace. „Aplikovatelné, částečně zavedené“ je poctivý a užitečný záznam. „Neaplikovatelné, protože jsme nekoupili nástroj“ není odůvodněním aplikovatelnosti.

Vyloučení by mělo popisovat skutečnosti týkající se rozsahu, kvůli nimž je opatření zbytečné, a zůstat v souladu s posouzením rizik. Tvrzení „Nevyvíjíme software“ si zaslouží prověření, pokud váš zákaznický portál vyvíjí externí dodavatel. Outsourcing mění cestu zavedení a důkazů; riziko automaticky neodstraňuje.

U rozprostřených zavedení zaznamenejte rozdělení. Opatření fyzické ochrany může záviset na hostingových zařízeních provozovaných dodavatelem, na vstupu do kanceláře spravovaném společností a na tom, jak zaměstnanci zacházejí se zařízeními. Jeden vlastník může zůstat odpovědný za souhrnné tvrzení, zatímco činnosti provádějí různé týmy.

Užitečný popis zavedení je dostatečně konkrétní, aby se dal otestovat: „Produkční administrátoři dostávají jmenovitý, schválený přístup přes službu identit; nouzový přístup se samostatně protokoluje a přezkoumává.“ Formulace „Přístupy jsou spravovány bezpečně“ nemůže vést inženýra ani posuzovatele.

Otestujte tvrzení, které stojí za stavem

Politika popisuje zamýšlené chování. Může prokázat návrh a schválení, ale sama o sobě nemůže prokázat provoz. Vybudujte řetězec důkazů od požadavku přes zavedený mechanismus až k pozorovanému výsledku.

U řízení přístupů porovnejte schválená pravidla se skutečnými oprávněními uživatelů a záznamy o odchodech. Tam, kde je to relevantní, zahrňte privilegované identity, nelidské účty a aplikace mimo centrální správu identit. Zaznamenejte populaci, vzorek a výjimky, místo abyste předložili jediný vhodný snímek obrazovky.

U záloh prověřte konfiguraci a výsledek obnovy. Úspěšná zálohovací úloha prokazuje méně než úspěšná obnova použitelných informací. Zkontrolujte oprávnění, závislosti a cíle obnovy; obnovená databáze bez šifrovacích klíčů nemusí obnovit službu.

U bezpečnosti dodavatelů propojte posouzení s konkrétní službou a smluvními odpovědnostmi. Přezkoumejte, zda důkazy pokrývají službu, kterou používáte, a zda jsou zavedeny identifikované odpovědnosti na straně zákazníka.

Praktický záznam o testu by měl obsahovat očekávaný výsledek, metodu, rozsah, datum důkazu, posuzovatele, výsledek a navazující rozhodnutí. Rozlišujte:

• Návrh: navrhovaný mechanismus řeší identifikované riziko.
• Zavedení: mechanismus existuje v celém uvedeném rozsahu.
• Provoz: záznamy ukazují, že během relevantního období fungoval.
• Účinnost: testování ukazuje, že dosahuje zamýšleného výsledku.

Důkazy mohou zahrnovat konfigurace, exporty, tikety, smlouvy, rozhovory a fyzická pozorování. Vybírejte důkazy, které podporují skutečné tvrzení. Export konfigurace může ukazovat aktuální nastavení; historické tikety mohou ukázat, zda byly výjimky v průběhu času řešeny.

Zachovávejte původ: zdrojový systém, datum shromáždění, pokryté období a případné filtrování. Důkazy obsahující tajné klíče nebo osobní údaje chraňte omezením přístupu a vhodným začerněním. Shromažďování důkazů by nemělo vytvořit nové nekontrolované úložiště citlivých dat.

Modelový příklad: přezkoumatelný proces odchodu zaměstnance

Představte si ilustrativní SaaS společnost se 45 zaměstnanci, jednou kanceláří, cloudovým hostingem, centrálně spravovanými identitami a dvěma aplikacemi s lokálními účty. Jde o předpoklady příkladu, nikoli o výsledky zákazníků Secani.

Rizikem je trvající přístup k informacím zákazníků nebo společnosti po odchodu. Mezi relevantní opatření patří odpovědnosti při změnách v zaměstnání, správa identit, přístupová práva a vrácení aktiv. Zavedení podporují i technická autentizace a omezení přístupu.

Společnost zaznamená opatření jako aplikovatelné. HR vlastní spouštěč odchodu; IT vlastní kroky týkající se identit a zařízení; každý vlastník aplikace vlastní odebrání lokálních účtů. Manažer zaměstnance potvrdí požadovaný termín odchodu. Vlastník bezpečnosti přezkoumává proces a nevyřešené výjimky.

Zavedení zahrnuje schválený tiket k odchodu, plánovanou deaktivaci centrálního účtu, zrušení relací tam, kde je to podporováno, odebrání lokálních účtů, vrácení aktiv a kontrolu přihlašovacích údajů, které měl daný jednotlivec pod kontrolou. Sdílená tajemství se v případě potřeby změní; osobní účty se nepřevádějí nástupci jen tak mimochodem.

Balíček důkazů propojuje schválený postup, tiket k odchodu, záznamy o krocích s účty, potvrzení z lokálních aplikací a záznam o vybavení. Každá položka podporuje definovanou část tvrzení.

Během ilustrativního přezkumu tým prověří čtyři odchody. Centrální účty byly deaktivovány podle plánu, ale jedna lokální aplikace si přístup ponechala dva dny. Opatření není prohlášeno za plně účinné jen na základě důkazů z centrální správy identit.

Vlastník aplikace účet odebere, posoudí, zda došlo k přístupu, a výsledek zaznamená. Tým přidá aplikaci do kontrolního seznamu pro odchody a přidělí krok sesouhlasení. Nápravné opatření dostane vlastníka a termín; pozdější test ověří, že upravený postup funguje.

Tento příklad ukazuje, proč musí důkazy sledovat závislosti. Čtyři systémy hlásící „dokončeno“ neprokazují dokončení, pokud pátý systém nebyl nikdy zahrnut.

Udržujte opatření v provozu i mezi přezkumy

Opatření se mění se změnami systémů, dodavatelů, lidí a obchodních požadavků. Vedle plánovaných přezkumů stanovte spouštěče přezkumu pro významná vydání, nové služby, změny kanceláří, incidenty a změněné povinnosti.

Používejte frekvenci odpovídající proměnlivosti a riziku. Výjimky z privilegovaného přístupu mohou vyžadovat rychlý přezkum, zatímco stabilní politika může mít delší cyklus doplněný spouštěči změn. Jde o manažerská rozhodnutí, nikoli o univerzální frekvence přílohy A.

Sledujte malý počet užitečných ukazatelů: zpožděnou nápravu, nepokryté systémy, nevyřešené výjimky v důkazech a neúspěšné testy opatření. Oddělte je od počtů dokumentů. Rozsáhlá knihovna důkazů může přesto ponechat kritické produkční prostředí neotestované.

Interní audit poskytuje samostatné hodnocení ISMS; běžné přezkumy ze strany vlastníků opatření jej nenahrazují. Přezkoumání vedením rovněž vyžaduje rozhodnutí vedení o výkonnosti, změnách, zdrojích a zlepšování, nejen vyplněnou tabulku opatření. Certifikaci provádí nezávislý certifikační orgán, nikoli ISO ani poskytovatel softwaru.

Mezi časté chyby patří přidělení všeho bezpečnostnímu týmu, kopírování vyloučení jiné organizace, spoléhání na certifikáty dodavatelů bez ověření rozsahu a uzavírání zjištění ve chvíli, kdy se změní politika, místo ve chvíli, kdy byl upravený proces otestován.

Začněte jednou službou a úplným řetězcem důkazů

Zvolte reprezentativní službu a zmapujte její systémy, poskytovatele, informace a provozní vlastníky. Vyberte malou sadu souvisejících opatření, například přístupy, řízení změn, protokolování a obnovu, a před rozšířením registru učiňte každé zavedení přezkoumatelným.

Secani tento postup podporuje modelováním systémů a závislostí, propojováním důkazů s požadavky, opatřeními a rozhodnutími a sledováním mezer jako úkolů. Přidělte vlastníka a posuzovatele, připojte stávající záznamy a zachovejte komentáře z přezkumu a schválení. Mapování nebo shrnutí vytvořená s pomocí AI berte jako návrhy: ověřte zdroje a ponechte lidské schválení výslovné. Článek o strukturované připravenosti na audit vysvětluje podpůrný model důkazů.

Prvním výstupem by měl být ucelený řetězec od rizika přes opatření, zavedení, důkazy a výsledek testu až po navazující rozhodnutí. Tento řetězec pak lze opakovat ve zbytku rozsahu, aniž byste pro každý odkaz z přílohy A vymýšleli nový proces.

Praktické otázky

Může jeden záznam podporovat několik opatření?

Ano. Tiket k odchodu může podporovat několik souvisejících opatření. U každého vysvětlete, které tvrzení podporuje; sdílení důkazů z opatření nedělá totožná opatření.

Musí mít každé opatření vlastní politiku?

Ne. Uspořádejte politiky a postupy kolem srozumitelných provozních procesů. Jeden dokument může pokrývat několik opatření, pokud odpovědnosti a zavedení zůstávají jasné.

Odkud by měl pocházet závazný seznam opatření?

Pro znění přílohy A používejte licencovanou normu ISO/IEC 27001 a pro pokyny k zavedení ISO/IEC 27002. Provozní shrnutí jsou užitečnými navigačními pomůckami, nikoli náhradou norem.