Kontrolni popis za ISO 27001

Oni koji traže kontrolni popis za ISO 27001 obično žele konkretne odgovore: što trebamo učiniti, koji su nam dokumenti potrebni i koliko smo daleko od certifikacije? Popis može organizirati ta pitanja. Ne može na njih odgovoriti.

Organizacija ne može izravno prijeći s generičkog kontrolnog popisa na obranjivu implementaciju. Za to je potrebno konkretno poznavanje norme ISO/IEC 27001:2022, stvarnog opsega ISMS-a, rizika za informacijsku sigurnost i operativnih procesa. Ovaj vodič objašnjava što kontrolni popis može pružiti, gdje prestaje njegova korist i koji predlošci, tečajevi i paketi alata mogu poduprijeti sljedeći korak.

Zašto kontrolni popis za ISO 27001 nije dovoljan

Zahtjevi koji se certificiraju nalaze se u točkama 4. do 10. norme ISO/IEC 27001:2022. Prilog A sadrži 93 referentne kontrole raspoređene u četiri teme. Iz toga ne proizlazi univerzalan popis zadataka. Organizacija mora, među ostalim, razumjeti i obrazložiti:

• koji poslovni procesi, informacije, sustavi i lokacije pripadaju ISMS-u
• koji se zakonski, ugovorni i poslovni zahtjevi primjenjuju
• kako će se rizici dosljedno procjenjivati i obrađivati
• koje kontrole odgovaraju stvarnom profilu rizika
• koji dokazi stvarno pokazuju da kontrola učinkovito funkcionira

Dvije organizacije mogu istu stavku kontrolnog popisa označiti kao dovršenu, a ipak imati potpuno različite razine spremnosti. Postojanje politike, primjerice, ništa ne govori o tome razumiju li je vlasnici, funkcionira li proces i nastaju li pouzdani dokazi.

Područja koja bi kontrolni popis trebao obuhvatiti

1. Definirajte kontekst i opseg

• Opišite svrhu organizacije i relevantna unutarnja i vanjska pitanja
• Utvrdite zainteresirane strane i njihove zahtjeve
• Zabilježite zakonske, regulatorne i ugovorne obveze
• Definirajte jasne, obranjive granice ISMS-a
• Obuhvatite ovisnosti o dobavljačima, lokacijama, sustavima i procesima

2. Uspostavite vodstvo i odgovornost

• Dokažite predanost i odgovornost najviše uprave
• Odobrite i priopćite politiku informacijske sigurnosti
• Definirajte uloge, ovlasti i odgovorne vlasnike
• Osigurajte odgovarajuće ljude, tehnologiju i proračun

3. Procijenite i obradite rizik

• Definirajte dosljednu metodu i kriterije procjene rizika
• Uzmite u obzir informacijsku imovinu, prijetnje, ranjivosti i učinke
• Ocijenite rizike, dodijelite vlasnike i sačuvajte rezultate
• Odaberite mogućnosti obrade i izradite plan obrade rizika
• Vodite Izjavu o primjenjivosti s odabirom, isključenjem i statusom provedbe
• Pribavite prihvaćanje preostalog rizika od odgovarajućih vlasnika rizika

4. Organizirajte ciljeve, kompetencije i dokumentaciju

• Postavite mjerljive ciljeve informacijske sigurnosti, vlasnike i rokove
• Utvrdite potrebe za kompetencijama i čuvajte dokaze o osposobljavanju
• Planirajte podizanje svijesti i internu komunikaciju
• Dokumentirane informacije verzionirajte, odobravajte, štitite i čuvajte
• Promjene ISMS-a planirajte na kontroliran način

5. Provedite kontrole i upravljajte njima

• Provedite organizacijske, kadrovske, fizičke i tehnološke kontrole koje proizlaze iz obrade rizika
• Kontrolirajte operativne procese i eksternalizirane usluge
• Dokaze izravno povežite s rizicima, zahtjevima i kontrolama
• Uspostavite ponavljajuće provjere kontrola, preglede i rokove
• Iznimke i nove rizike vraćajte u operacije

6. Ocijenite i poboljšajte učinkovitost

• Definirajte pokazatelje i metode ocjenjivanja
• Pratite, mjerite, analizirajte i ocjenjujte rezultate
• Planirajte i provedite neovisni interni audit
• Dokumentirajte upravine ocjene, njihove ulazne podatke i odluke
• Postupajte s nesukladnostima, analizirajte uzroke i pratite korektivne radnje
• Prije certifikacije potvrdite da se dokumentacija i stvarna praksa podudaraju

Koji dokumenti pripadaju kontrolnom popisu?

Norma na nekoliko mjesta zahtijeva dokumentirane informacije, ali ne propisuje zasebnu politiku za svaku kontrolu. Pravi opseg ovisi o veličini organizacije, složenosti, riziku i granicama ISMS-a. Radni popis obično uključuje:

• opseg ISMS-a i politiku informacijske sigurnosti
• metodu procjene rizika, registar rizika i plan obrade rizika
• Izjavu o primjenjivosti
• ciljeve i pokazatelje informacijske sigurnosti
• zapise o kompetencijama, osposobljavanju i podizanju svijesti
• relevantne operativne procese, politike i zapise
• rezultate praćenja i mjerenja
• program i izvješća internog audita
• zapisnike upravine ocjene
• registar nesukladnosti i korektivnih radnji

Predložak je samo polazište. Zamjena naziva i logotipa društva nije dovoljna: odgovornosti, procesi, sustavi i dokazi moraju odražavati način na koji organizacija stvarno radi.

Besplatni resursi za ISO 27001

Zajednica r/ISO27001 na Redditu također može pružiti praktična iskustva. Objave u zajednici nisu službena norma ni obvezujući savjet za audit.

Tečajevi za ISO 27001

Udemy i slična tržišta cijene često mijenjaju ovisno o računu i promociji. Konačnu cijenu uvijek provjerite pri plaćanju.

Usporedba cijena paketa alata za ISO 27001

High Table ima starije demo stranice i stranice proizvoda koje prikazuju iznose različite od onih na središnjoj stranici s cijenama. Ova se usporedba stoga temelji na središnjem cjeniku dostupnom na referentni datum. GRC Solutions također prikazuje različite pakete ili modele licenciranja na različitim stranicama trgovine; prije kupnje provjerite točan proizvod, trajanje i trošak obnove.

Koja mogućnost odgovara kojoj potrebi?

Često postavljana pitanja

Postoji li službeni besplatni kontrolni popis za ISO 27001?

Besplatni popis može organizirati teme, ali nije ni službena norma ni potpun vodič za implementaciju. Mjerodavan ostaje primjenjivi tekst norme. Njegova primjena zahtijeva i poznavanje upravljanja rizicima, opsega ISMS-a i stvarnih operativnih procesa.

Mora li svaka organizacija provesti sve 93 kontrole iz Priloga A?

Ne. ISO/IEC 27001:2022 zahtijeva odabir temeljen na riziku. Izjava o primjenjivosti bilježi koje su kontrole potrebne, njihov status i zašto su referentne kontrole isključene.

Je li paket alata dovoljan za postizanje certifikacije?

Ne. Paket alata može uštedjeti vrijeme, ali certifikacija ocjenjuje učinkovit ISMS koji stvarno funkcionira. Auditori ispituju i odgovornost, obradu rizika, operativne dokaze, interne audite, upravine ocjene i stalno poboljšavanje.

Koji je referentni datum cijena u ovom vodiču?

Svaka je cijena provjerena 30. kolovoza 2026. Mjerodavna ostaje aktualna cijena pružatelja pri plaćanju.

Zaključak

Kontrolni popis za ISO 27001 može pokazati koje teme zahtijevaju pozornost prije certifikacije. Ne može automatski objasniti kako bi se te teme trebale provesti u određenoj organizaciji ni je li rezultat učinkovit. Za to su potrebni poznavanje norme, pouzdana metoda procjene rizika, razumijevanje stvarnog poslovanja i pouzdani dokazi.

Predlošci i paketi alata mogu ubrzati rad kada tim već razumije rezultat koji treba postići. Bez tog znanja više dokumenata uglavnom stvara više materijala, a ne nužno bolji ISMS.

Koji god materijal odabrali, odlučujuće pitanje ostaje isto: podudaraju li se dokumentirana pravila, stvarna praksa i pouzdani dokazi? Kontinuirano održavanje te veze ne priprema samo za audit; ono stvara trajan ISMS. Naš vodič o strukturiranju spremnosti za audit objašnjava kako organizirati popratne dokaze.