ISO 27001.
Looge infoturbe juhtimissüsteem, juhtige riske ning valige klientidele ja lepingupartneritele sobiv tõend.
- ISO/IEC 27001:2022 + Amd 1:2024
- Autor: Jonathan Bezdek
- Seisuga: 22.10.2026
- Lugemisaeg: 6 min
Lühivastus.
ISO 27001 on rahvusvaheline infoturbe juhtimissüsteemide ehk ISMSide standard. See kirjeldab, kuidas organisatsioonid oma infoturvet riskipõhiselt korraldavad, käitavad ja parendavad. ISO/IEC 27001:2022 sobib eri suuruse ja tegevusalaga organisatsioonidele. Sõltumatu sertifitseerimisasutus võib kinnitada juhtimissüsteemi vastavust määratletud käsitlusalas; ISO ise sertifikaate ei väljasta.
ISO 27001 ja ISMS.
ISO 27001 kirjeldab infoturbe juhtimise nõudeid. ISMS ühendab juhtkonna otsused teabe, inimeste, protsesside ja tehnika käsitlemisega. Kaitstakse konfidentsiaalsust, terviklust ja käideldavust: kes tohib teavet näha, kuidas see usaldusväärsena säilib ja millal peab see kasutatav olema? ISO/IEC 27001:2022 avalik kirjeldus seab selleks keskmesse riskipõhise lähenemise.
Avaldatud põhiväljaanne on ISO/IEC 27001:2022, millele lisandub Amd 1:2024. Muudatus täiendab kliimaga seotud teemade käsitlemist juhtimissüsteemi kontekstis. ISO/IAFi 2024. aasta veebruari ühiskommünikee järgi tuleb kontrollida nende asjakohasust vastava juhtimissüsteemi jaoks. Sellest ei tulene kõigile organisatsioonidele ühesugust meetmeprogrammi.
ISMS on organisatsiooni pidev töö; sertifitseerimine on üks võimalik väline tõend selle kohta. Kasutusele võetud tööriist, täidetud küsimustik või koolitustunnistus ei asenda juhtimissüsteemi käitamist ega selle sõltumatut hindamist.
Kellele ISO 27001 sobib.
ISO avaliku kirjelduse järgi sobib ISO 27001 eri suuruse ja tegevusalaga organisatsioonidele. Määravad on valitud käsitlusala teave ja sõltuvused. Seetõttu võib väike teenuseosutaja vajada teistsuguseid vastutusalasid ja protseduure kui mitme asukohaga ettevõte, kuigi turbejuhtimise põhiülesanne jääb samaks.
Kliendinõuded määravad sageli vajaliku sertifitseerimisulatuse. Selgitage, kas lepingupartner soovib kindla teenuse, asukoha või juriidilise isiku hindamist. Teadlikult piiritletud käsitlusala peab arvestama asjakohaseid liideseid. Allhankena tehtav tegevus ei kao turbekäsitlusest üksnes seetõttu, et seda teeb tarnija.
ISO 27001 nõuded.
ISO 27001 nõuded ühendavad ISMSi juhtimise sobivate turvameetmete käitamisega. Järgmised kuus töövaldkonda võtavad ISO/IEC 27001:2022 peatükid 4–10 orienteerumiseks oma sõnadega kokku.
Määrake kontekst ja käsitlusala.
Organisatsioon piiritleb, milliseid tegevusi ja teavet tema ISMS hõlmab. Siia kuuluvad huvitatud poolte asjakohased nõuded ning sõltuvused teistest valdkondadest. Rakendamisel on soovitatav kirjeldus, mida mõistavad võrdselt nii valdkonna vastutajad kui ka välised lugejad: üksnes teenuse nimi ei selgita veel selle toetavaid süsteeme ja liideseid.
Kinnistage juhtimine ja vastutus.
Juhtkond annab turbetööle suuna, volitused ja ressursid. Vastutajad peavad saama teha oma ülesannetele vastavaid otsuseid. Keskne koordineerija võib hoida ülevaadet, kuid ei võta seetõttu automaatselt üle kõiki personali-, hanke-, IT- või arendusosakonna ülesandeid.
Hinnake ja käsitlege riske.
Riskihindamine ja riskikäsitlus määravad, milliste probleemidega tegeletakse esimesena. Hindamiskriteeriumid, vastutavad isikud ja jälgitavad otsused ühendavad analüüsi konkreetse tööga. Kohaldatavusavaldus ehk Statement of Applicability (SoA) talletab meetmete valiku ja selle põhjenduse. Lisa A toimib seejuures turvameetmete viitealusena.
Korraldage ressursid ja dokumentatsioon.
Pädevus, suhtlus ja ajakohane dokumenteeritud teave toetavad käitamist. Määrake praktiliselt, kes nõude kinnitab, kes seda rakendab ja kust leiab kehtiva versiooni. Mahukast dokumendikogust on vähe abi, kui selle väited erinevad tegelikust tööst või vastutajad ei tunne oma ülesandeid.
Rakendage meetmeid igapäevatöös.
Turvameetmed peavad valitud ulatuses tegelikult toimima. Korralduslikud, personaliga seotud, füüsilised ja tehnilised abinõud on omavahel seotud. Praktilise tööabina võivad vastutajad iga valitud meetme kohta talletada, millist protsessi see kaitseb ja millised kirjed näitavad selle toimimist. Lisa A blogiartikkel süvendab meetmete valiku ja käitamise käsitlust.
Hinnake ja parendage.
Siseauditid, juhtkonnapoolsed ülevaatused ja kõrvalekallete käsitlemine hoiavad ISMSi arenemas. Organisatsioon kontrollib, kas tema tööviis vastab nõuetele ning toetab kavandatud tulemusi. Igapäevatöös on kasulik juba paranduse kavandamisel määrata, mille järgi selle mõju hiljem ära tunda.
Tee ISO 27001 sertifitseerimiseni.
Leppige kokku eesmärk ja käsitlusala.
Praktilise alustussammuna selgitage, millise tegevuse jaoks millist tõendit vajatakse, ning kirjeldage käsitlusala koos asjakohaste sõltuvustega.
Määrake vastutus ja suutlikkus.
Nimetage otsustusõigusega juhtkond, koordineerijad ja protsessivastutajad ning reserveerige aega juurutamiseks ja pidevaks hoolduseks.
Käsitlege riske ja meetmeid.
Rakendage jälgitavat hindamismenetlust, otsustage riskikäsitlus ning dokumenteerige meetmete valik kohaldatavusavalduses.
Ühendage käitamine ja tõendid.
Rakendage valitud meetmed ja säilitage tegelikust tegevusest sobivad kirjed, piirdumata üksnes dokumendimallide täitmisega.
Hinnake ja parandage sisemiselt.
Kasutage siseauditit ja juhtkonnapoolset ülevaatust lahtiste otsuste, kõrvalekallete ning ressursivajaduse käsitlemiseks enne välist hindamist.
Kavandage väline hindamine ja edasine käitamine.
Leppige sobiva sertifitseerimisasutusega kokku ulatus ja auditiprogramm ning jätkake pärast sertifitseerimisotsust ISMSi käitamist koos nõutavate ülevaatustega.
Mida ISO 27001 sertifikaat kinnitab.
ISO 27001 sertifikaat kinnitab juhtimissüsteemi hinnatud vastavust märgitud käsitlusalas. Seetõttu kontrollige üheskoos käsitlusala, standardi väljaannet, väljastavat asutust, kehtivuskuupäeva ja hetkeseisu. Sertifikaat ei taga, et kõik ettevõtte valdkonnad on hõlmatud või et tulevikus ei saa turvaintsidente tekkida.
Sertifitseerimist teostavad välised sertifitseerimisasutused; ISO ise sertifikaate ei väljasta. ISO/IEC 27006-1:2024 täiendab ISMSi sertifitseerimisega tegelevatele asutustele esitatavaid nõudeid. Akrediteerimine puudutab nende pädevust ning seda tuleb eristada hinnatud organisatsiooni sertifikaadist. ISO avalik sertifitseerimisleht selgitab, kuidas sertifitseerimis- ja akrediteerimisstaatust kontrollida.
Kavandamine ei lõpe esmase väljastamisega. Laske oma sertifitseerimisasutusel selgitada auditiprogrammi, sertifikaadi säilitamise tingimusi ja uuendamise korda. Eelarveotsuse tegemisel tuleb arvestada neid korduvaid teenuseid koos sisemise käitamisega, mitte üksnes esimest pakkumist.
Loe edasi blogist.
- Mis on ISMS?Ühendage turbetöö organisatsiooni otsustega.
- ISO 27001 sertifitseerimise ettevalmistamineKavandage põhjalikult ettevalmistust, töömahtu ja hindamisi.
- ISO 27001 lisa AKinnistage valitud meetmed igapäevategevuses.
- ISO 27001 siseauditKorraldage auditikriteeriumid, tõendid ja parandused.
- ISO 27001 kontrollnimekiriSorteerige eelnevalt töövaldkonnad ja olemasolevad alustamisabid.
Teiste raamistike seosed.
ISO 27002 täiendab ISO 27001 infoturbemeetmete rakendamise juhistega. IT-Grundschutz kirjeldab BSI turbetöö metoodikat ja eraldi sertifitseerimisteed. NIS2 tekitab hõlmatud üksustele iseseisvad seadusest tulenevad kohustused; ISO 27001 sertifikaat ei asenda nende kontrollimist. TISAX kasutab autotööstuse tarneahela jaoks eraldi hindamis- ja teabevahetusmenetlust.
Secanis.
Secani pakub enda koostatud hindamiskataloogi standardile ISO/IEC 27001:2022 koos muudatusega Amendment 1:2024. Tööruumis saab meetmeid, tõendeid ja ülesandeid seostatult käsitleda. Kataloog sisaldab oma rakendusjuhiseid ega asenda litsentsitud standarditeksti; sisuline hindamine ja sertifitseerimisotsus jäävad eraldi ülesanneteks.
Alustage konkreetsest käsitlusalast.
Valige teenus, mille jaoks on vaja jälgitavat turbetõendit. Talletage, milline teave, kaasatud meeskonnad ja tarnijad sinna kuuluvad ning kes tohib riskide üle otsustada. Selle alusel saab arutada rakendamise ulatust ja ootusi sertifikaadile.
Seejärel küsige sama käsitlusala põhjal auditi pakkumist. Eristage sisemine töömaht, vajalikud parendused ja välise hindamise kulud. Nii muutuvad pakkumised võrreldavamaks, lubamata juba sertifitseerimiskuupäeva või tulemust.
Allikad.
- ENX: TISAXi osaleja käsiraamat
- ISO/IEC 27001:2022 – avalik standardileht
- ISO/IEC 27001:2022/Amd 1:2024
- ISO/IAFi kommünikee kliimaga seotud täienduste kohta, veebruar 2024
- ISO – sertifitseerimine ja akrediteerimine
- ISO/IEC 27006-1:2024 – nõuded sertifitseerimisasutustele
- ISO/IEC 27002:2022 – täiendavad rakendusjuhised
Korduma kippuvad küsimused.
Ei, kõigile ettevõtetele ei ole üldist ISO 27001 sertifitseerimiskohustust. Konkreetse tõendi nõutavus sõltub kohaldatavatest õiguslikest, lepingulistest või valdkonnapõhistest nõuetest.
Ilma käsitlusala ja lähteolukorrata ei saa usaldusväärset ühtset hinda nimetada. Kavandage eraldi sisemine töömaht, vajalikud parendused, välisauditi kulud ning pidev säilitamine.
Valik sõltub riskidest ja asjakohastest nõuetest. Kohaldatavusavaldus dokumenteerib vajalikud meetmed, nende rakendamise seisu ning viitemeetmete põhjendatud väljajätmised.
Jah. ISMSi rakendamine ja selle välisel asutusel sertifitseerida laskmine on eri otsused; ISO kirjeldab sertifitseerimist valitava tõendina.
Ei. Sertifikaate väljastavad välised sertifitseerimisasutused; ISO töötab välja ja avaldab standardeid.
Selgitage käsitlusala.
Arutage, kuidas käsitleda nõudeid, meetmeid ja tõendeid Secanis.
See leht selgitab ISO 27001 oma sõnadega ega asenda litsentsitud standarditeksti või erialast hindamist. Määravad on originaalväljaanded ja kohaldatav sertifitseerimismenetlus.