ISO 27001 Dodatak A: kako 93 kontrole učiniti operativnima

Dodatak A daje sigurnosnim timovima koristan referentni skup. Njegova operativna vrijednost proizlazi iz toga što pokazuje zašto se kontrola primjenjuje, kako je provedena i koji je dokazi podupiru u vašem okruženju. Registar s 93 zelena pokazatelja statusa nije dovoljan ako nitko ne može objasniti koje sustave ti pokazatelji obuhvaćaju.

Za tehničkog direktora praktični je izazov pretvoriti namjenu kontrole u inženjerski i operativni rad, a da sustav upravljanja informacijskom sigurnošću ne postane paralelna birokracija. Pregledi pristupa trebali bi koristiti stvarne podatke o ovlastima. Planovi oporavka trebali bi odražavati ovisnosti usluga. Procjene dobavljača trebale bi se odnositi na usluge koje poslovanje stvarno koristi.

Ovaj vodič objašnjava kako odabrati kontrole, rasporediti vlasništvo, definirati provedbe i testirati iz njih proizašle tvrdnje. Učestalosti pregleda i primjeri provedbe u nastavku praktične su preporuke, a ne opći intervali propisani normom.

Razumijte što Dodatak A čini, a što ne čini

ISO/IEC 27001:2022 sadržava 93 kontrole u Dodatku A raspoređene u četiri teme. Točke 4. – 10. sadržavaju zahtjeve za sustav upravljanja: kontekst organizacije, vodstvo, planiranje, podršku, rad, vrednovanje učinkovitosti i poboljšavanje. Dodatak A podupire odabir kontrola; ne zamjenjuje te zahtjeve ni vašu procjenu rizika.

Ta je razlika važna tijekom provedbe. Konfiguracija sigurnosnih kopija može podupirati odabranu kontrolu, ali ne dokazuje da ste definirali opseg ISMS-a, procijenili rizike, proveli interni audit ili dovršili upravin pregled. To su zasebne aktivnosti sa zasebnim dokazima.

Odabir kontrola temelji se na riziku. Utvrdite kontrole potrebne za postupanje s vašim rizicima, a zatim ih usporedite s Dodatkom A kako biste provjerili da nijedna potrebna kontrola nije izostavljena. Mogu biti potrebne i dodatne kontrole izvan Dodatka A. Obrnuto, opravdano isključenje je moguće; ne postoji pravilo da svaka organizacija mora nešto isključiti ili provesti potpuno isti odabir.

ISO/IEC 27002:2022 pruža smjernice za provedbu kontrola. Njegovi atributi pomažu organizirati kontrole prema vrsti kontrole, svojstvu informacijske sigurnosti, konceptu kibernetičke sigurnosti, operativnoj sposobnosti i sigurnosnoj domeni. To su korisna pomagala za filtriranje, a ne dodatni kontrolni popisi za certifikaciju. Za mjerodavan tekst konzultirajte licencirane norme.

Koristite četiri teme za pronalaženje pravih odgovornih osoba

Teme pružaju strukturu za snalaženje, a ne četiri neovisna područja rada. Proces odlaska zaposlenika, primjerice, povezuje odgovornosti iz radnog odnosa, administraciju identiteta, povrat opreme i pristup aplikacijama.

Organizacijske kontrole: povežite upravljanje s operativnim odlukama

Te kontrole obuhvaćaju politike, odgovornosti, razdvajanje dužnosti, imovinu, klasifikaciju i postupanje s informacijama, upravljanje pristupom, dobavljače, incidente, kontinuitet, zakonske obveze i aktivnosti pregleda.

Počnite utvrđivanjem gdje se donose odluke. Tko odobrava novu uslugu u oblaku? Tko dodjeljuje klasifikaciju informacija? Tko odlučuje je li prijavljeni događaj incident? Politika bi trebala učiniti te odluke ponovljivima i dodijeliti ovlasti, a ne samo izražavati potporu sigurnosti.

Sigurnost dobavljača zahtijeva lanac dokaza specifičan za uslugu: poslovnu svrhu usluge, informacije koje obrađuje, procijenjene rizike, ugovorne odgovornosti i kontinuirani pregled. Izvješće dobavljača o jamstvu može poduprijeti tu procjenu, ali njegov opseg, razdoblje i odgovornosti kupca moraju odgovarati vašoj upotrebi.

Upravljanje incidentima isto tako zahtijeva više od popisa kontakata za hitne slučajeve. Definirajte putove prijave, kriterije procjene, ovlasti za odgovor, postupanje s dokazima i aktivnosti učenja. Evidentirajte vježbe ili stvarne odgovore, uključujući daljnje radnje i odgovorne osobe.

Kadrovske kontrole: učinite događaje u radnom odnosu pouzdanim okidačima

Osam kadrovskih kontrola odnosi se na provjeru kandidata, uvjete zaposlenja, podizanje svijesti i osposobljavanje, disciplinske postupke, odgovornosti nakon promjena u radnom odnosu, povjerljivost, rad na daljinu i prijavu događaja.

Ugradite ih u postojeće tijekove rada vezane uz zaposlenje. Novi zaposlenik treba odgovarajuće obveze, pristup i upute. Zaposlenik koji mijenja ulogu treba ponovnu procjenu ovlasti, a ne samo dodavanje novih. Zaposlenik koji odlazi treba uklanjanje pristupa, povrat imovine i jasnoću o odgovornostima povjerljivosti koje i dalje traju.

Vlasništvo se često proteže kroz više timova. Kadrovska služba može pokrenuti odlazak, administratori identiteta onemogućuju središnji račun, vlasnici aplikacija uklanjaju lokalno upravljani pristup, a rukovoditelj potvrđuje dovršetak. Dodjeljivanje cijelog procesa sigurnosnom timu skriva te ovisnosti.

Korisni dokazi uključuju odobrene zapise tijeka rada, dovršeno osposobljavanje i praćenje zakašnjelih slučajeva, potvrđene uvjete i uzorkovane promjene u radnom odnosu. Ograničite pristup osjetljivim kadrovskim dokazima; recenzent kontrole ne treba automatski cijele personalne dosjee.

Fizičke kontrole: dokumentirajte svoju granicu i granicu dobavljača

Fizičke kontrole odnose se na prostore, ulaz, nadzor, prijetnje iz okoliša, sigurna područja, stolove i zaslone, opremu, medije, komunalne usluge, kabliranje, održavanje i zbrinjavanje.

Organizacija koja se prvenstveno oslanja na oblak i dalje mora uzeti u obzir fizičku sigurnost. Dio provedbe može osiguravati pružatelj usluga u oblaku, dok pristup uredu i uređaji zaposlenika ostaju njezina vlastita odgovornost. Evidentirajte tu podjelu umjesto da automatski isključite cijelu temu.

Za vlastite lokacije utvrdite tko može ući, kako se pristup mijenja, gdje se nalazi osjetljiva oprema i kako se postupa s posjetiteljima. Za udaljene uređaje definirajte aranžmane za pohranu, prijevoz, popravak i zbrinjavanje primjerene njihovim rizicima.

Dokazi mogu uključivati zapise o odobrenju pristupa, postupke za posjetitelje, popise opreme i zapise o zbrinjavanju. Dokazi dobavljača trebali bi objasniti obuhvaćene objekte i usluge; ne treba ih smatrati dokazom kontrola za vaš ured ili prijenosna računala.

Tehnološke kontrole: definirajte obuhvat prije odabira alata

Tehnološka tema obuhvaća krajnje uređaje, povlašteni pristup, autentifikaciju, pristup izvornom kodu, kapacitete, zlonamjerni softver, ranjivosti, konfiguracije, postupanje s podacima, sigurnosne kopije, otpornost, bilježenje, nadzor, mreže, kriptografiju, razvoj i upravljanje promjenama.

Počnite od obuhvata sustava. Politika identiteta nije potpuna ako produkcijski pristup, servisni računi ili zasebno upravljana aplikacija ostanu izvan njezine provedbe. Platforma za bilježenje nije potpuna ako kritični događaji nikad ne stignu do nje ili nitko ne reagira na upozorenja.

Za razvoj softvera povežite zahtjeve i projektne odluke s pregledom koda, sigurnosnim testiranjem, razdvajanjem okruženja, postupanjem s testnim podacima i odobrenjem izdanja. Modeliranje prijetnji može pomoći u utvrđivanju sigurnosnih zahtjeva prije provedbe. Dubina testiranja trebala bi slijediti rizik i obveze; ISO 27001 ne nameće opći raspored penetracijskog testiranja.

Kod kriptografije razlikujte podatke u mirovanju od podataka u prijenosu i dokumentirajte vlasništvo nad ključevima, pristup, oporavak, rotaciju i opoziv. „Enkripcija uključena“ ostavlja važna pitanja provedbe bez odgovora.

Što se promijenilo 2022. i gdje tražiti nedostatke

Izdanje iz 2013. imalo je 114 kontrola u 14 domena. Izdanje iz 2022. reorganiziralo ih je u 93 kontrole u četiri teme, uključujući 11 novih kontrola. Manji broj ne znači manje sigurnosnog posla: objedinjavanje može staviti nekoliko operativnih odgovornosti pod jednu referencu.

Pri ažuriranju starijeg registra sačuvajte postojeće provedbe i dokaze umjesto da samo zamijenite identifikatore. Provjerite mijenja li novo grupiranje obuhvat, vlasništvo ili testove potrebne za potporu vašem statusu.

Rok za prijelaz s akreditirane certifikacije prema ISO/IEC 27001:2013 bio je 31. listopada 2025. Ti certifikati više nisu valjani; samo ažuriranje registra kontrola ne dokazuje certifikaciju prema izdanju iz 2022.

U nastavku su praktične polazne točke za 11 novih kontrola, a ne reprodukcije njihova mjerodavnog teksta.

Izbjegavajte ih tretirati kao jedanaest automatskih kupnji proizvoda. Na primjer, obavještajni podaci o prijetnjama zahtijevaju analizu i djelovanje, a ne samo pretplatu na izvor podataka. Brisanje podataka zahtijeva razumijevanje kopija, sigurnosnih kopija i obveza čuvanja, a ne samo gumb za brisanje. Nadzor zahtijeva operativni put odgovora.

Evidentirajte primjenjivost i provedbu odvojeno

Vaša Izjava o primjenjivosti (engl. Statement of Applicability, SoA) trebala bi utvrditi potrebne kontrole, objasniti njihovo uključivanje, evidentirati jesu li provedene i obrazložiti isključenja kontrola iz Dodatka A. Ti zahtjevi dio su odredbi o postupanju s rizicima u normi ISO/IEC 27001.

Korištenje svih 93 referenci kao indeksa za pregled praktičan je način da usporedba postane provjerljiva. Uključite i sve dodatne potrebne kontrole. SoA nije registar rizika, plan postupanja s rizicima ni spremište dokaza, iako bi trebala biti povezana sa svakim od njih ondje gdje je to relevantno.

Za svaku primjenjivu kontrolu zabilježite:

• Rizike ili obveze koji opravdavaju uključivanje.
• Relevantne sustave, lokacije, informacije i procese.
• Stvarnu provedbu i odgovornu osobu.
• Dokaze koji je podupiru i njihovo razdoblje pregleda.
• Ovisnosti, iznimke i nedovršeni posao.
• Datum sljedećeg pregleda ili okidač događaja.

Držite primjenjivost neovisnom o statusu isporuke. „Primjenjivo, djelomično provedeno“ iskrena je i korisna evidencija. „Nije primjenjivo jer nismo kupili alat“ nije obrazloženje primjenjivosti.

Isključenje bi trebalo opisivati činjenice o opsegu zbog kojih kontrola nije potrebna i ostati u skladu s procjenom rizika. Tvrdnju „Ne razvijamo softver“ treba pomno ispitati ako vanjski izvođač razvija vaš korisnički portal. Eksternalizacija mijenja put provedbe i dokaza; ne uklanja automatski rizik.

Kod raspodijeljenih provedbi evidentirajte podjelu. Kontrola fizičke zaštite može ovisiti o objektima za hosting kojima upravlja dobavljač, ulazu u ured kojim upravlja poduzeće i postupanju zaposlenika s uređajima. Jedna osoba može ostati odgovorna za cjelovitu tvrdnju, dok aktivnosti obavljaju različiti timovi.

Korisna izjava o provedbi dovoljno je konkretna da se može testirati: „Administratori produkcije dobivaju imenovani, odobreni pristup putem usluge identiteta; hitni pristup zasebno se bilježi i pregledava.“ Rečenica „Pristupom se upravlja sigurno“ ne može usmjeriti ni inženjera ni recenzenta.

Testirajte tvrdnju iza statusa

Politika opisuje namjeravano ponašanje. Može dokazati oblikovanje i odobrenje, ali sama ne može dokazati rad. Izgradite lanac dokaza od zahtjeva do provedenog mehanizma, a zatim do opaženog rezultata.

Za upravljanje pristupom usporedite odobrena pravila sa stvarnim korisničkim ovlastima i zapisima o odlascima. Ondje gdje je relevantno uključite povlaštene identitete, neljudske račune i aplikacije izvan središnjeg upravljanja identitetima. Evidentirajte populaciju, uzorak i iznimke umjesto da predstavite jednu prikladnu snimku zaslona.

Za sigurnosne kopije pregledajte konfiguraciju i rezultat vraćanja. Uspješan posao izrade sigurnosne kopije dokazuje manje od uspješnog oporavka upotrebljivih informacija. Provjerite ovlasti, ovisnosti i ciljeve oporavka; vraćena baza podataka bez ključeva za šifriranje možda neće vratiti uslugu.

Za sigurnost dobavljača povežite procjenu s određenom uslugom i ugovornim odgovornostima. Provjerite pokrivaju li dokazi uslugu koju koristite i jesu li utvrđene odgovornosti na strani kupca provedene.

Praktični zapis o testu trebao bi sadržavati očekivani ishod, metodu, opseg, datum dokaza, recenzenta, rezultat i odluku o daljnjem postupanju. Razlikujte:

• Oblikovanje: predloženi mehanizam odgovara na utvrđeni rizik.
• Provedba: mehanizam postoji u cijelom navedenom opsegu.
• Rad: zapisi pokazuju da je funkcionirao tijekom relevantnog razdoblja.
• Učinkovitost: testiranje pokazuje da postiže namjeravani ishod.

Dokazi mogu uključivati konfiguracije, izvoze, tikete, ugovore, razgovore i fizička opažanja. Odaberite dokaze koji podupiru stvarnu tvrdnju. Izvoz konfiguracije može pokazati trenutačne postavke; povijesni tiketi mogu pokazati je li se s iznimkama postupalo tijekom vremena.

Sačuvajte podrijetlo: izvorni sustav, datum prikupljanja, obuhvaćeno razdoblje i eventualno filtriranje. Zaštitite dokaze koji sadržavaju tajne ili osobne podatke ograničenjima pristupa i odgovarajućim zacrnjivanjem. Prikupljanje dokaza ne bi smjelo stvoriti novo nekontrolirano spremište osjetljivih podataka.

Primjer iz prakse: kako proces odlaska zaposlenika učiniti provjerljivim

Uzmimo ilustrativan primjer SaaS poduzeća sa 45 zaposlenika, jednim uredom, hostingom u oblaku, središnje upravljanim identitetima i dvije aplikacije s lokalnim računima. To su pretpostavke za primjer, a ne rezultati Secanijevih kupaca.

Rizik je nastavak pristupa informacijama kupaca ili poduzeća nakon odlaska. Relevantne kontrole uključuju odgovornosti pri promjeni radnog odnosa, upravljanje identitetima, prava pristupa i povrat imovine. Tehnička autentifikacija i ograničenja pristupa također podupiru provedbu.

Poduzeće evidentira kontrolu kao primjenjivu. Kadrovska služba odgovorna je za okidač odlaska; IT za radnje vezane uz identitet i uređaje; svaki vlasnik aplikacije za uklanjanje lokalnih računa. Rukovoditelj zaposlenika potvrđuje potrebni trenutak odlaska. Osoba odgovorna za sigurnost pregledava proces i neriješene iznimke.

Provedba uključuje odobreni tiket za odlazak, zakazano onemogućavanje središnjeg računa, opoziv sesija gdje je to podržano, uklanjanje lokalnih računa, povrat imovine i provjeru vjerodajnica kojima je osoba upravljala. Zajedničke tajne mijenjaju se prema potrebi; osobni računi ne prebacuju se olako na nasljednika.

Paket dokaza povezuje odobreni postupak, tiket za odlazak, zapise o radnjama na računima, potvrde za lokalne aplikacije i zapis o opremi. Svaka stavka podupire definirani dio tvrdnje.

Tijekom ilustrativnog pregleda tim ispituje četiri odlaska. Središnji računi onemogućeni su prema rasporedu, ali jedna lokalna aplikacija zadržala je pristup dva dana. Kontrola se ne proglašava potpuno učinkovitom samo na temelju dokaza o središnjem identitetu.

Vlasnik aplikacije uklanja račun, procjenjuje je li došlo do pristupa i evidentira ishod. Tim dodaje aplikaciju na kontrolni popis za odlazak i dodjeljuje korak usklađivanja. Radnja postupanja dobiva odgovornu osobu i rok; kasniji test provjerava funkcionira li izmijenjeni tijek rada.

Ovaj primjer pokazuje zašto dokazi moraju pratiti ovisnosti. Četiri sustava koja kažu „dovršeno“ ne dokazuju dovršetak ako peti sustav nikada nije bio uključen.

Održavajte kontrole operativnima između pregleda

Kontrole se mijenjaju kada se mijenjaju sustavi, dobavljači, ljudi i poslovni zahtjevi. Uz zakazane preglede, postavite okidače za pregled za značajna izdanja, nove usluge, promjene ureda, incidente i izmijenjene obveze.

Koristite ritam primjeren promjenjivosti i riziku. Iznimke povlaštenog pristupa mogu zahtijevati brz pregled, dok stabilna politika može imati duži ciklus dopunjen okidačima promjene. To su odluke uprave, a ne opće učestalosti iz Dodatka A.

Pratite mali broj korisnih pokazatelja: zakašnjelo otklanjanje, nepokrivene sustave, neriješene iznimke u dokazima i neuspjele testove kontrola. Odvojite ih od broja dokumenata. Velika knjižnica dokaza može i dalje ostaviti kritično produkcijsko okruženje netestiranim.

Interni audit pruža zasebnu ocjenu ISMS-a; rutinski pregledi vlasnika kontrola ne zamjenjuju ga. Upravin pregled isto tako zahtijeva odluke vodstva o učinkovitosti, promjenama, resursima i poboljšanjima, a ne samo dovršenu tablicu kontrola. Certifikaciju provodi neovisno certifikacijsko tijelo, a ne ISO ili pružatelj softvera.

Uobičajene pogreške uključuju dodjeljivanje svega sigurnosnom timu, kopiranje isključenja druge organizacije, oslanjanje na certifikate dobavljača bez provjere opsega i zatvaranje nalaza kada se politika promijeni, a ne kada je izmijenjeni proces testiran.

Počnite s jednom uslugom i potpunim lancem dokaza

Odaberite reprezentativnu uslugu i pratite njezine sustave, pružatelje, informacije i operativne odgovorne osobe. Odaberite mali skup povezanih kontrola, primjerice pristup, upravljanje promjenama, bilježenje i oporavak, i učinite svaku provedbu provjerljivom prije proširenja registra.

Secani podupire taj tijek rada modeliranjem sustava i ovisnosti, povezivanjem dokaza sa zahtjevima, kontrolama i odlukama te praćenjem nedostataka kao zadataka. Dodijelite odgovornu osobu i recenzenta, priložite postojeće zapise i sačuvajte komentare i odobrenja iz pregleda. Mapiranja ili sažetke izrađene uz pomoć umjetne inteligencije tretirajte kao nacrte: provjerite izvore i zadržite izričito ljudsko odobrenje. Strukturirana spremnost za audit objašnjava model dokaza na kojem se to temelji.

Prvi rezultat trebao bi biti koherentan lanac od rizika do kontrole, provedbe, dokaza, rezultata testa i odluke o daljnjem postupanju. Taj se lanac zatim može ponoviti u preostalom opsegu, a da se pritom ne izmišlja novi proces za svaku referencu iz Dodatka A.

Praktična pitanja

Može li jedan zapis podupirati nekoliko kontrola?

Da. Tiket za odlazak može podupirati nekoliko povezanih kontrola. Objasnite koju tvrdnju podupire za svaku od njih; dijeljenje dokaza ne čini kontrole istovjetnima.

Mora li svaka kontrola imati vlastitu politiku?

Ne. Organizirajte politike i postupke oko razumljivih operativnih procesa. Jedan dokument može obuhvatiti nekoliko kontrola, pod uvjetom da odgovornosti i provedba ostanu jasni.

Odakle bi trebao potjecati mjerodavni popis kontrola?

Za tekst Dodatka A koristite licenciranu normu ISO/IEC 27001, a za smjernice za provedbu ISO/IEC 27002. Operativni sažeci korisna su pomagala za snalaženje, ali ne zamjenjuju norme.