ISO 27002.
Smjernice za mjere informacijske sigurnosti: što ISO 27002 organizira, kako ga primjenjivati i koji dokazi pritom nastaju.
- ISO/IEC 27002:2022
- Autor: Jonathan Bezdek
- Stanje: 22. 10. 2026.
- Vrijeme čitanja: 6 min.
Kratak odgovor.
ISO 27002 međunarodne su smjernice za provedbu mjera informacijske sigurnosti. ISO/IEC 27002:2022 raspoređuje kontrole u organizacijske, ljudske, fizičke i tehnološke teme te objašnjava njihovu primjenu. Organizacije smjernice koriste prema svojim rizicima i poslovanju. Samostalna certifikacija ISO 27002 ne postoji; zahtjeve za ISMS koji se može certificirati sadrži ISO 27001.
ISO 27002:2022 kao smjernice za provedbu.
ISO 27002 objašnjava sigurnosne mjere, dok ISO 27001 opisuje zahtjeve za sustav upravljanja informacijskom sigurnošću, odnosno ISMS. Engleski naziv Controls znači mjere za utjecaj na sigurnosne rizike. To uključuje organizacijske postupke kao i tehničke ili fizičke mjere. Katalog mjera zato ne opisuje samo popis proizvoda ni samo rad IT odjela.
Javna stranica izdavača navodi ISO/IEC 27002:2022 kao treće izdanje iz veljače 2022. i ispravljenu englesku verziju iz ožujka 2022. Članak urednice u časopisu SC 27, izdanje iz prosinca 2022., na stranicama 13 do 15 objašnjava strukturu s 93 mjere u četiri teme i dodatnim atributima. Ta orijentacija ne zamjenjuje rad sa zakonito nabavljenom normom.
Smjernice se primjenjuju u kontekstu vlastite organizacije. IEC-ov opis proizvoda navodi uporabu unutar ISMS-a i razvoj organizacijskih sigurnosnih smjernica. Sam preuzeti katalog još ne određuje koje se okruženje štiti, tko provodi mjeru ili funkcionira li ona zaista.
Kome je ISO 27002 namijenjen.
Prema javnom opisu ISO-a, ISO 27002 namijenjen je organizacijama različitih veličina i sektora. Može poduprijeti rad na mjerama postojećeg ISMS-a ili služiti kao orijentacija za sigurnosni rad. Namjera certifikacije nije preduvjet. Prije uvođenja treba razjasniti trebate li zajednički stručni jezik, bolju provedbu ili dokaz za određenog primatelja.
U primjeni redovito sudjeluje više funkcija. Kao praktična podjela rada, odgovorne osobe za sigurnost mogu koordinirati odabir, odgovorne osobe za usluge objasniti obuhvaćeno okruženje, a stručni odjeli preuzeti provedbu. Nabava, ljudski resursi, upravljanje zgradama i razvoj uključuju se kada konkretna mjera dodiruje njihove procese. Ta je podjela preporuka za organizaciju rada, a ne općevažeća raspodjela uloga iz norme.
Kontrole ISO 27002 kao radna osnova.
Četiri teme strukturiraju mjere; odabir i atributi pomažu pri primjeni. Sljedećih šest radnih područja povezuje tu strukturu s praktičnim odlukama, ali ne predstavlja šest službenih poglavlja norme ni cjelovit popis mjera.
Organizacijska odgovornost.
Organizacijske mjere zasebna su tema. Za praktičnu provedbu razjasnite gdje se odluka donosi, odobrava i provjerava. Razumljivo pravilo povezuje zaštićenu uslugu s nadležnom funkcijom; samo postojanje dokumenta smjernice još ne objašnjava tu vezu.
Ljudi i radni postupci.
Ljudske mjere razmatraju sigurnost u vezi s ljudima i njihovim radom. Pri primjeni provjerite koji događaji u svakodnevnom radu pokreću radnju i tko je preuzima. Osposobljavanje i promjena uloge trebaju različitu provedbu, čak i ako oba prati isti odjel.
Fizičko okruženje.
Fizičke mjere odnose se na okruženje u kojem se koriste informacije i potporna sredstva. Pri praktičnom određivanju granica razlikujte vlastite lokacije i usluge pružatelja. Primjerice, dokaz za podatkovni centar ne odgovara automatski na pitanja postupanja s uređajima u vlastitom uredu.
Tehnološka provedba.
Tehnološke mjere čine četvrtu temu. Za primjenu prvo opišite koje sustave i informacije tehnička mjera treba obuhvatiti. Zatim se može provjeriti jesu li konfiguracija, radni postupak i nadzor usklađeni. Aktivirana funkcija polazište je za provjeru, a ne potpuna tvrdnja o učinkovitosti.
Povežite odabir s rizikom.
Primjena treba polaziti od potreba zaštite i rizika razmatranog poslovanja. Kao praktičnu preporuku zabilježite odluku na kojoj mjera počiva i ovisnosti koje su uzete u obzir. Tako ostaje sljedivo zašto dvije usluge mogu trebati različite provedbe iako im ista smjernica služi kao orijentacija.
Koristite atribute za razumljive prikaze.
Prema članku urednice, atributi omogućuju različite prikaze skupa mjera. Takve prikaze koristite, primjerice, za usklađivanje sigurnosne organizacije i operativnih odgovornih osoba. Razvrstavanje olakšava snalaženje; ne zamjenjuje odluku o primjeni ni dokaz da je mjera provedena ili učinkovita.
Primjena ISO 27002 u poslovanju.
Odaberite izvediv opseg.
Kao praktičan početak odredite jednu uslugu s informacijama, sustavima i sudionicima kako bi kasnija provedba imala provjerljivu granicu.
Zabilježite osnovu odlučivanja.
Opišite relevantne rizike i poslovne, pravne ili ugovorne zahtjeve prije korištenja prikladnih smjernica za rad na mjerama.
Čitajte smjernice u kontekstu.
Na temelju zakonito nabavljene norme provjerite koje su upute prikladne vašem okruženju i ne tretirajte kratak opis kao cjelovit zahtjev provedbe.
Odredite provedbu i odgovornost.
Dogovorite što se treba događati u razmatranom poslovanju, tko je odgovoran i na koji se postojeći proces rad nastavlja.
Provjerite tvrdnju dokazima.
Odaberite zapise ili testove koji zaista obuhvaćaju opisani opseg te zabilježite rezultat, datum provjere i potrebne daljnje mjere.
Ponovno procijenite promjene.
Odredite prikladne povode za provjeru, primjerice promjenu usluge ili incident, te ažurirajte odluku o provedbi s uključenim odgovornim osobama.
Dokazivanje bez certifikata ISO 27002.
Prema ISO-ovim čestim pitanjima o proizvodu, samostalna certifikacija ISO 27002 nije predviđena. Tko treba certificirani dokaz ISMS-a razmatra ISO 27001 i konkretan opseg certifikacije. Sam ISO ne provodi takve certifikacije; prema ISO-ovoj stranici o certifikaciji to preuzimaju vanjska tijela. Za smjernice za provedbu zato ne postoji ni opće trajanje certifikata.
Za vlastiti rad na dokazivanju preporučuje se jasna tvrdnja: koju provedbu treba dokazati u kojem okruženju? Postupak može opisati planirani način rada, dok zapis pokazuje njegovo izvođenje. Test pak ispituje konkretno očekivanje. Te vrste dokaza mogu se nadopunjavati, ali odgovaraju na različita pitanja.
Prije prosljeđivanja dokaza provjerite njegovo podrijetlo, razdoblje i opseg. Aktualna postavka ne dokazuje povijesni rad; uzorak ne objašnjava automatski svaku iznimku. Dokumentirajte ograničenu pokrivenost i rad koji iz nje slijedi, umjesto izvođenja potpunog jamstva sigurnosti ili sukladnosti iz jednog dokumenta.
Razumijevanje drugih okvira.
ISO 27001 opisuje zahtjeve za ISMS, a ISO 27002 podupire rad na mjerama unutar njega. IT-Grundschutz pruža zasebnu BSI-jevu metodologiju sa standardima i kompendijem. Zakonske obveze obuhvaćenih subjekata prema BSIG-u treba provjeriti zasebno; uporaba smjernica za provedbu ne potvrđuje sukladnost s NIS2.
U Secaniju.
Secani sadrži urednički radni katalog za ISO/IEC 27002:2022 s podacima profila, među ostalim, o uslugama u oblaku, razvoju softvera i mobilnom radu. Katalog služi strukturiranoj obradi i nije službeni tekst norme. Odluke o primjenjivosti zahtijevaju obrazloženje; uredničko pomagalo ne zamjenjuje samostalnu stručnu provjeru.
Počnite sa sljedivom provedbom.
Odaberite uslugu čije su odgovorne osobe i ovisnosti poznate. Zabilježite konkretnu sigurnosnu odluku s povodom, predviđenom provedbom i prikladnim načinom provjere. Zatim sa sudionicima razjasnite odgovara li opis stvarnom radu u praksi. Tek se tada pristup može smisleno prenijeti na druge usluge.
Česta pitanja.
Ne. ISO 27002 smjernice su za provedbu; za certificirani dokaz sustava upravljanja informacijskom sigurnošću mjerodavna norma zahtjeva jest ISO 27001.
Ne. Konkretna provedba ovisi o kontekstu i rizicima razmatranog okruženja; zajednička referenca ne znači isti operativni model za sve organizacije.
Ne. Atributi omogućuju različite prikaze mjera i pomažu u razvrstavanju; ne zamjenjuju odluku o primjenjivosti ni dokaz provedbe.
Ne. Razumljiva smjernica ili operativni postupak mogu poduprijeti više mjera ako njihova provedba i odgovornost ostaju sljedive.
Obrađujte mjere na sljediv način.
Organizirajte rizike, odgovornost i dokaze u Secaniju.
Ova stranica objašnjava smjernice za provedbu. Mjerodavne su zakonito nabavljene norme i konkretan kontekst primjene.