ISO 27001.
Rakentakaa tietoturvan hallintajärjestelmä, hallitkaa riskejä ja valitkaa asiakkaille ja sopimuskumppaneille sopiva tapa osoittaa vaatimustenmukaisuus.
- ISO/IEC 27001:2022 + Amd 1:2024
- Kirjoittaja: Jonathan Bezdek
- Tilanne: 22.10.2026
- Lukuaika: 6 min.
Lyhyt vastaus.
ISO 27001 on kansainvälinen tietoturvan hallintajärjestelmien eli ISMS-järjestelmien standardi. Se kuvaa, miten organisaatiot järjestävät, ylläpitävät ja parantavat tietoturvaansa riskiperusteisesti. ISO/IEC 27001:2022 soveltuu eri kokoisiin organisaatioihin ja eri toimialoille. Riippumaton sertifiointielin voi vahvistaa hallintajärjestelmän vaatimustenmukaisuuden määritellyllä soveltamisalalla. ISO itse ei myönnä sertifikaatteja.
ISO 27001 ja tietoturvan hallintajärjestelmä.
ISO 27001 kuvaa tietoturvan hallinnan vaatimukset. Tietoturvan hallintajärjestelmä yhdistää johdon päätökset tietoihin, ihmisiin, prosesseihin ja tekniikkaan liittyvään toimintaan. Suojattavia ominaisuuksia ovat luottamuksellisuus, eheys ja saatavuus: kuka saa nähdä tiedot, miten ne säilyvät luotettavina ja milloin niiden on oltava käytettävissä? ISO/IEC 27001:2022:n julkinen kuvaus korostaa tässä riskiperusteista lähestymistapaa.
Julkaistu perusversio on ISO/IEC 27001:2022, jota täydentää Amd 1:2024. Muutos lisää ilmastoon liittyvien kysymysten tarkastelun hallintajärjestelmän toimintaympäristöön. ISO:n ja IAF:n helmikuun 2024 yhteisen tiedonannon mukaan tarkoitus on arvioida niiden merkitystä kullekin hallintajärjestelmälle. Tästä ei seuraa kaikille organisaatioille samanlaista toimenpideohjelmaa.
Tietoturvan hallintajärjestelmä on organisaation jatkuvaa työtä, ja sertifiointi on yksi mahdollinen ulkoinen osoitus siitä. Käyttöön otettu työkalu, täytetty kysely tai koulutustodistus ei korvaa hallintajärjestelmän toimintaa eikä sen riippumatonta arviointia.
Kenelle ISO 27001 sopii.
ISO:n julkisen kuvauksen mukaan ISO 27001 sopii eri kokoisille organisaatioille ja eri toimialoille. Ratkaisevia ovat valitun soveltamisalan tiedot ja riippuvuudet. Pieni palveluntarjoaja voi siksi tarvita erilaiset vastuut ja menettelyt kuin monitoimipaikkainen yritys, vaikka turvallisuuden hallinnan perustehtävä pysyy samana.
Asiakasvaatimukset määrittävät usein tarvittavan sertifioinnin laajuuden. Selvittäkää, haluaako sopimuskumppani arvioitavaksi tietyn palvelun, toimipaikan vai oikeushenkilön. Tarkoituksellisesti rajatun soveltamisalan on huomioitava olennaiset rajapinnat. Ulkoistettu toiminto ei poistu turvallisuustarkastelusta pelkästään siksi, että toimittaja suorittaa sen.
ISO 27001:n vaatimukset.
ISO 27001:n vaatimukset yhdistävät hallintajärjestelmän ohjauksen sopivien turvallisuustoimenpiteiden toimintaan. Seuraavat kuusi työaluetta tiivistävät ISO/IEC 27001:2022:n luvut 4–10 omin sanoin yleiskuvan antamiseksi.
Määrittäkää toimintaympäristö ja soveltamisala.
Organisaatio rajaa hallintajärjestelmänsä kattamat toiminnot ja tiedot. Tähän kuuluvat sidosryhmien olennaiset vaatimukset ja riippuvuudet muihin alueisiin. Toteutusta varten kannattaa laatia kuvaus, jonka sekä toiminnasta vastaavat että ulkopuoliset lukijat ymmärtävät. Pelkkä palvelun nimi ei vielä selitä sen tukijärjestelmiä ja rajapintoja.
Vakiinnuttakaa johtaminen ja vastuut.
Johto antaa turvallisuustyölle suunnan, valtuudet ja resurssit. Vastuuhenkilöiden on voitava tehdä tehtäviinsä sopivia päätöksiä. Keskitetty koordinaattori voi ylläpitää kokonaiskuvaa, mutta hän ei sen perusteella automaattisesti vastaa kaikista henkilöstöhallinnon, hankinnan, tietohallinnon tai kehityksen tehtävistä.
Arvioikaa ja käsitelkää riskit.
Riskien arviointi ja käsittely määrittävät, mitkä ongelmat hoidetaan ensin. Arviointikriteerit, vastuuhenkilöt ja jäljitettävät päätökset yhdistävät analyysin konkreettiseen työhön. Soveltuvuuslausunto eli Statement of Applicability (SoA) dokumentoi valitut toimenpiteet ja niiden perustelut. Liite A toimii turvallisuustoimenpiteiden viitteenä.
Järjestäkää resurssit ja dokumentointi.
Pätevyys, viestintä ja ylläpidetyt dokumentoidut tiedot tukevat toimintaa. Määrittäkää käytännössä, kuka hyväksyy ohjeen, kuka soveltaa sitä ja mistä voimassa oleva versio löytyy. Laaja asiakirjakokoelma auttaa vähän, jos sen sisältö poikkeaa todellisesta työstä tai vastuuhenkilöt eivät tunne tehtäviään.
Toteuttakaa toimenpiteet arjessa.
Turvallisuustoimenpiteiden on todella toimittava valitulla soveltamisalalla. Organisatoriset, henkilöstöön liittyvät, fyysiset ja tekniset järjestelyt liittyvät toisiinsa. Käytännön apuna vastuuhenkilöt voivat kirjata kullekin valitulle toimenpiteelle sen suojaaman prosessin ja toiminnan osoittavat tallenteet. Liitettä A käsittelevä blogi syventää toimenpiteiden valintaa ja käyttöä.
Arvioikaa ja parantakaa.
Sisäiset auditoinnit, johdon katselmukset ja poikkeamien käsittely pitävät hallintajärjestelmän kehittyvänä. Organisaatio arvioi, vastaako sen toimintatapa vaatimuksia ja tukeeko se tavoiteltuja tuloksia. Arjessa auttaa, kun korjauksesta päätettäessä määritetään samalla, mistä sen vaikutus voidaan myöhemmin havaita.
Polku ISO 27001 -sertifiointiin.
Sopikaa tavoitteesta ja soveltamisalasta.
Selvittäkää käytännön aluksi, millaista näyttöä mistäkin toiminnasta tarvitaan, ja kuvatkaa soveltamisala olennaisine riippuvuuksineen.
Määrittäkää vastuut ja käytettävissä oleva työpanos.
Nimetkää päätösvaltainen johto, koordinointi ja prosessien vastuuhenkilöt sekä varatkaa aikaa käyttöönottoon ja jatkuvaan ylläpitoon.
Käsitelkää riskit ja toimenpiteet.
Soveltakaa jäljitettävää arviointimenettelyä, päättäkää riskien käsittelystä ja dokumentoikaa toimenpiteiden valinta soveltuvuuslausuntoon.
Yhdistäkää toiminta ja todisteet.
Toteuttakaa valitut toimenpiteet ja säilyttäkää todellisen toiminnan asianmukaiset tallenteet pelkkien asiakirjamallien täyttämisen sijaan.
Arvioikaa ja korjatkaa sisäisesti.
Käyttäkää sisäistä auditointia ja johdon katselmusta avoimien päätösten, poikkeamien ja resurssitarpeiden käsittelyyn ennen ulkoista tarkastusta.
Suunnitelkaa ulkoinen tarkastus ja toiminnan jatkaminen.
Sopikaa sopivan sertifiointielimen kanssa laajuudesta ja auditointiohjelmasta sekä jatkakaa hallintajärjestelmän toimintaa tarvittavine arviointeineen sertifiointipäätöksen jälkeen.
Mitä ISO 27001 -sertifikaatti osoittaa.
ISO 27001 -sertifikaatti vahvistaa hallintajärjestelmän arvioidun vaatimustenmukaisuuden ilmoitetulla soveltamisalalla. Tarkistakaa siksi yhdessä soveltamisala, standardin versio, myöntäjä sekä voimassaoloaika ja nykyinen tila. Sertifikaatti ei takaa, että kaikki yrityksen osat on katettu tai ettei tulevaisuudessa voi tapahtua tietoturvapoikkeamia.
Ulkoiset sertifiointielimet suorittavat sertifioinnin. ISO itse ei myönnä sertifikaatteja. ISO/IEC 27006-1:2024 täydentää tällaisille elimille asetettuja tietoturvan hallintajärjestelmien sertifiointivaatimuksia. Akkreditointi koskee niiden pätevyyttä, ja se on erotettava tarkastetun organisaation sertifikaatista. ISO:n julkinen sertifiointisivu selittää, miten sertifioinnin ja akkreditoinnin tila voidaan tarkistaa.
Suunnittelu ei pääty ensimmäiseen myöntämiseen. Pyytäkää sertifiointielintänne selittämään auditointiohjelma, ylläpidon ehdot ja uusimismenettely. Budjettipäätöksessä huomioidaan nämä toistuvat palvelut ja sisäinen toiminta, ei vain ensimmäistä tarjousta.
Lue lisää blogista.
- Mikä on tietoturvan hallintajärjestelmä?Yhdistäkää turvallisuustyö organisaation päätöksiin.
- ISO 27001 -sertifioinnin valmisteluSuunnitelkaa valmistelu, työmäärä ja tarkastukset yksityiskohtaisesti.
- ISO 27001:n liite AVakiinnuttakaa valitut toimenpiteet toimintaan.
- Sisäinen ISO 27001 -auditointiJärjestäkää auditointikriteerit, todisteet ja korjaukset.
- ISO 27001 -tarkistuslistaJäsentäkää työalueet ja olemassa olevat aloituksen apuvälineet.
Suhde muihin viitekehyksiin.
ISO 27002 täydentää ISO 27001:tä tietoturvatoimenpiteiden toteutusohjeilla. IT-Grundschutz kuvaa BSI:n menetelmän turvallisuustyöhön ja oman sertifiointipolun. NIS2 asettaa soveltamisalaan kuuluville toimijoille itsenäiset lakisääteiset velvollisuudet. ISO 27001 -sertifikaatti ei korvaa niiden arviointia. TISAX käyttää autoteollisuuden toimitusketjussa omaa arviointi- ja tiedonvaihtomenettelyään.
Secanissa.
Secani tarjoaa oman toimituksellisen tarkastusluettelon ISO/IEC 27001:2022:lle ja muutokselle Amendment 1:2024. Työtilassa toimenpiteitä, todisteita ja tehtäviä voidaan käsitellä toisiinsa yhdistettyinä. Luettelo sisältää omia toteutusohjeita eikä korvaa lisensoitua standarditekstiä. Asiantuntija-arvio ja sertifiointipäätös ovat erillisiä tehtäviä.
Aloittakaa konkreettisesta soveltamisalasta.
Valitkaa palvelu, jonka turvallisuudesta tarvitaan jäljitettävä näyttö. Kirjatkaa siihen kuuluvat tiedot, tiimit ja toimittajat sekä se, kenellä on valtuus päättää riskeistä. Tältä pohjalta voidaan keskustella toteutuksen laajuudesta ja sertifikaattiin kohdistuvista odotuksista.
Pyytäkää sitten auditointitarjous saman soveltamisalan pohjalta. Erottakaa sisäinen työmäärä, tarvittavat parannukset ja ulkoisen tarkastuksen kustannukset. Näin tarjouksia on helpompi verrata lupaamatta vielä sertifiointiajankohtaa tai tulosta.
Lähteet.
- ENX: TISAX-osallistujan käsikirja
- ISO/IEC 27001:2022 – standardin julkinen sivu
- ISO/IEC 27001:2022/Amd 1:2024
- ISO:n ja IAF:n tiedonanto ilmastoon liittyvistä lisäyksistä, helmikuu 2024
- ISO – sertifiointi ja akkreditointi
- ISO/IEC 27006-1:2024 – sertifiointielinten vaatimukset
- ISO/IEC 27002:2022 – täydentävät toteutusohjeet
Usein kysytyt kysymykset.
Ei, kaikilla yrityksillä ei ole yleistä ISO 27001 -sertifiointivelvollisuutta. Tietyn näytön vaatiminen riippuu sovellettavista laki-, sopimus- tai alakohtaisista vaatimuksista.
Luotettavaa yleishintaa ei voida antaa ilman soveltamisalaa ja lähtötilannetta. Suunnitelkaa erikseen sisäinen työmäärä, tarvittavat parannukset, ulkoiset auditointikulut ja jatkuva ylläpito.
Valinta perustuu riskeihin ja olennaisiin vaatimuksiin. Soveltuvuuslausunto dokumentoi tarvittavat toimenpiteet, niiden toteutustilan ja viitetoimenpiteiden perustellut poissulkemiset.
Kyllä. Hallintajärjestelmän toteuttaminen ja sen sertifioiminen ulkoisella elimellä ovat eri päätöksiä. ISO kuvaa sertifioinnin valinnaiseksi tavaksi osoittaa vaatimustenmukaisuus.
Ei. Ulkoiset sertifiointielimet myöntävät sertifikaatit. ISO kehittää ja julkaisee standardit.
Selvittäkää soveltamisala.
Keskustelkaa siitä, miten vaatimuksia, toimenpiteitä ja todisteita voidaan käsitellä Secanissa.
Tämä sivu kuvaa ISO 27001:tä omin sanoin eikä korvaa lisensoitua standarditekstiä tai asiantuntija-arviota. Ratkaisevia ovat alkuperäiset julkaisut ja sovellettava sertifiointimenettely.