ISO 27002.
Pokyny pro opatření bezpečnosti informací: co ISO 27002 uspořádává, jak ji používat a jaké důkazy při tom vznikají.
- ISO/IEC 27002:2022
- Autor: Jonathan Bezdek
- Stav k: 22. 10. 2026
- Doba čtení: 6 min
Stručná odpověď.
ISO 27002 je mezinárodní pomůcka pro zavádění opatření bezpečnosti informací. ISO/IEC 27002:2022 uspořádává kontrolní opatření do organizačních, personálních, fyzických a technologických témat a vysvětluje jejich použití. Organizace využívají pokyny podle svých rizik a provozu. Samostatná certifikace ISO 27002 neexistuje; certifikovatelné požadavky na ISMS obsahuje ISO 27001.
ISO 27002:2022 jako pomůcka pro zavedení.
ISO 27002 vysvětluje bezpečnostní opatření, zatímco ISO 27001 popisuje požadavky na systém řízení bezpečnosti informací, zkráceně ISMS. Anglické označení Controls znamená opatření k ovlivnění bezpečnostních rizik. Patří sem organizační postupy i technická nebo fyzická opatření. Katalog opatření proto nepopisuje pouhý seznam produktů ani pouze práci oddělení IT.
Veřejná stránka vydavatele uvádí ISO/IEC 27002:2022 jako třetí vydání z února 2022 a zmiňuje opravenou anglickou verzi z března 2022. Článek editorek v časopise SC 27 Journal z prosince 2022 vysvětluje na stranách 13 až 15 strukturu 93 opatření ve čtyřech tématech a doplňující atributy. Tato orientace nenahrazuje práci s řádně získanou normou.
Pokyny se uplatňují v kontextu vlastní organizace. Produktový popis IEC uvádí použití v rámci ISMS i tvorbu bezpečnostních politik specifických pro organizaci. Samotný převzatý katalog ještě neurčuje, které prostředí se chrání, kdo opatření provozuje ani zda skutečně funguje.
Pro koho je ISO 27002 vhodná.
ISO 27002 je podle veřejného popisu ISO určena organizacím různých velikostí a odvětví. Může podpořit práci s opatřeními existujícího ISMS nebo sloužit jako orientace při bezpečnostní práci. Zamýšlená certifikace není podmínkou. Před zavedením by mělo být jasné, zda potřebujete společný odborný jazyk, lepší zavedení nebo důkaz pro určitého příjemce.
Na použití se pravidelně podílí více funkcí. Prakticky mohou bezpečnostní pracovníci koordinovat výběr, vlastníci služeb vysvětlit dotčené prostředí a odborné útvary převzít zavedení. Nákup, personální oddělení, správa budov a vývoj se zapojují, pokud konkrétní opatření zasahuje jejich procesy. Toto rozdělení je doporučením pro organizaci práce, nikoli obecně závazným obsazením rolí podle normy.
Opatření ISO 27002 jako pracovní základ.
Čtyři témata strukturují opatření; výběr a atributy pomáhají při jejich použití. Následujících šest pracovních oblastí spojuje tuto strukturu s praktickými rozhodnutími, nepředstavuje však šest oficiálních kapitol normy ani úplný seznam opatření.
Organizační odpovědnost.
Organizační opatření tvoří samostatné téma. Pro praktické zavedení vyjasněte, kde se rozhodnutí přijímá, schvaluje a přezkoumává. Srozumitelné pravidlo propojuje chráněnou službu s odpovědnou funkcí; pouhá existence dokumentu směrnice tuto souvislost nevysvětluje.
Lidé a pracovní postupy.
Personální opatření posuzují bezpečnost v souvislosti s lidmi a jejich prací. Při použití ověřte, které každodenní události vyvolávají úkon a kdo jej přebírá. Školení a změna role vyžadují různá provedení, i když obě doprovází stejný odborný útvar.
Fyzické prostředí.
Fyzická opatření se týkají prostředí, v němž se používají informace a podpůrné prostředky. Při praktickém vymezení rozlišujte vlastní lokality a služby poskytovatelů. Doklad o datovém centru například automaticky neodpovídá na otázky nakládání se zařízeními ve vlastní kanceláři.
Technologické zavedení.
Technologická opatření tvoří čtvrté téma. Pro použití nejprve popište, které systémy a informace má technické opatření pokrývat. Poté lze ověřit soulad konfigurace, provozního postupu a monitorování. Zapnutá funkce je výchozím bodem ověřování, nikoli úplným výrokem o účinnosti.
Propojit výběr s rizikem.
Použití by mělo vycházet z potřeby ochrany a rizik posuzovaného provozu. Prakticky doporučujeme zaznamenat rozhodnutí, o něž se opatření opírá, a zohledněné závislosti. Zůstane tak průkazné, proč dvě služby mohou potřebovat různá provedení, přestože se orientují podle stejných pokynů.
Využít atributy pro srozumitelné pohledy.
Podle článku editorek umožňují atributy různé pohledy na soubor opatření. Využijte je například při koordinaci bezpečnostní organizace a osob odpovědných za provoz. Třídění usnadňuje orientaci; nenahrazuje rozhodnutí o použití ani důkaz, že je opatření zavedeno nebo účinné.
Používání ISO 27002 v provozu.
Zvolit zvládnutelný rozsah.
Jako praktický první krok vymezte službu s jejími informacemi, systémy a účastníky, aby pozdější zavedení mělo ověřitelné hranice.
Zaznamenat základ rozhodnutí.
Popište relevantní rizika a obchodní, právní nebo smluvní požadavky, než pro práci s opatřeními použijete vhodné pokyny.
Číst pokyny v souvislostech.
Podle řádně získané normy ověřte, které pokyny odpovídají vašemu prostředí, a nepovažujte krátký popis za úplný požadavek na zavedení.
Určit provedení a odpovědnost.
Dohodněte, co se má v posuzovaném provozu dít, kdo za to odpovídá a na který existující proces práce navazuje.
Ověřit tvrzení pomocí důkazů.
Vyberte záznamy nebo testy, které skutečně zahrnují popsaný rozsah, a zaznamenejte výsledek, datum ověření a potřebná následná opatření.
Znovu posuzovat změny.
Stanovte vhodné podněty k přezkumu, například změněnou službu nebo incident, a s dotčenými odpovědnými osobami aktualizujte rozhodnutí o zavedení.
Prokazování bez certifikátu ISO 27002.
Samostatná certifikace podle ISO 27002 se podle produktových FAQ ISO nepředpokládá. Kdo potřebuje certifikovaný doklad ISMS, zabývá se ISO 27001 a konkrétním rozsahem certifikace. Samotná ISO tyto certifikace neprovádí; podle stránky ISO o certifikaci je zajišťují externí orgány. Pro tuto pomůcku proto neexistuje ani obecná doba platnosti certifikátu.
Pro vlastní práci s důkazy je vhodné jasné tvrzení: jaké zavedení má být doloženo v jakém prostředí? Postup může popisovat plánovaný způsob práce, zatímco záznam ukazuje jeho provedení. Test zase zkoumá konkrétní očekávání. Tyto druhy důkazů se mohou doplňovat, odpovídají však na různé otázky.
Před předáním důkazu ověřte jeho původ, období a rozsah. Aktuální nastavení nedokládá historický provoz; vzorek automaticky nevysvětluje každou výjimku. Dokumentujte omezené pokrytí a navazující práci, místo odvozování úplného bezpečnostního příslibu nebo shody z jediného podkladu.
Zařazení dalších rámců.
ISO 27001 popisuje požadavky na ISMS, ISO 27002 podporuje práci s opatřeními v jeho rámci. IT-Grundschutz poskytuje vlastní metodiku BSI se standardy a kompendiem. Zákonné povinnosti dotčených subjektů podle BSIG je třeba posuzovat samostatně; použití pomůcky pro zavedení nepotvrzuje shodu s NIS2.
V Secani.
Secani obsahuje redakční pracovní katalog ISO/IEC 27002:2022 s profilovými údaji mimo jiné ke cloudovým službám, vývoji softwaru a mobilní práci. Katalog slouží ke strukturované práci a není úředním zněním normy. Rozhodnutí o aplikovatelnosti vyžadují odůvodnění; redakční pomůcka nenahrazuje samostatné odborné posouzení.
Začněte průkazným zavedením.
Vyberte službu, jejíž odpovědné osoby a závislosti jsou známé. Zaznamenejte konkrétní bezpečnostní rozhodnutí s jeho důvodem, zamýšleným provedením a vhodným způsobem ověření. Poté s účastníky vyjasněte, zda popis odpovídá skutečné praxi. Teprve potom lze přístup smysluplně přenést na další služby.
Časté dotazy.
Ne. ISO 27002 je pomůcka pro zavedení; pro certifikovaný doklad systému řízení bezpečnosti informací je příslušnou požadavkovou normou ISO 27001.
Ne. Konkrétní provedení se řídí kontextem a riziky posuzovaného prostředí; společná reference neznamená shodný provozní model pro všechny organizace.
Ne. Atributy umožňují různé pohledy na opatření a pomáhají je uspořádat; nenahrazují rozhodnutí o aplikovatelnosti ani doklad zavedení.
Ne. Srozumitelná směrnice nebo provozní postup může podporovat více opatření, pokud zůstává dohledatelné jejich provedení a odpovědnost.
Pracujte s opatřeními dohledatelně.
Uspořádejte rizika, odpovědnost a důkazy v Secani.
Tato stránka vysvětluje pomůcku pro zavedení. Rozhodující jsou řádně získané normy a konkrétní kontext použití.