ISO 27001 ellenőrzőlista

Akik ISO 27001 ellenőrzőlistát keresnek, általában konkrét válaszokat szeretnének: Mit kell tennünk, milyen dokumentumokra van szükségünk, és milyen messze vagyunk a tanúsítástól? Egy lista rendszerezni tudja ezeket a kérdéseket. Megválaszolni nem tudja őket.

Egy szervezet nem juthat el közvetlenül egy általános ellenőrzőlistától egy védhető megvalósításig. Ehhez az ISO/IEC 27001:2022 konkrét ismerete, a tényleges IBIR-hatókör, az információbiztonsági kockázatok és az operatív folyamatok ismerete szükséges. Ez az útmutató bemutatja, mit nyújthat egy ellenőrzőlista, hol ér véget a hasznossága, és mely sablonok, tanfolyamok és eszközkészletek támogathatják a következő lépést.

Miért nem elég egy ISO 27001 ellenőrzőlista

A tanúsítható követelmények az ISO/IEC 27001:2022 4–10. fejezetében találhatók. Az A melléklet négy témakörben 93 referenciakontrollt tartalmaz. Ebből nem adódik általános feladatlista. Egy szervezetnek többek között meg kell értenie és meg kell indokolnia:

• mely üzleti folyamatok, információk, rendszerek és helyszínek tartoznak az IBIR-be
• mely jogi, szerződéses és üzleti követelmények alkalmazandók
• hogyan értékelik és kezelik következetesen a kockázatokat
• mely kontrollok illeszkednek a tényleges kockázati profilhoz
• mely bizonyítékok igazolják valóban, hogy egy kontroll hatékonyan működik

Két szervezet is megjelölheti teljesítettként ugyanazt az ellenőrzőlista-tételt, miközben felkészültségük szintje teljesen eltérő. Egy szabályzat léte például semmit sem mond arról, hogy a gazdái értik-e, működik-e a folyamat, vagy keletkeznek-e megbízható bizonyítékok.

Területek, amelyekre egy ellenőrzőlistának ki kell terjednie

1. A környezet és a hatókör meghatározása

• Írja le a szervezet célját és a releváns belső és külső tényezőket
• Azonosítsa az érdekelt feleket és követelményeiket
• Rögzítse a jogi, szabályozói és szerződéses kötelezettségeket
• Határozza meg az IBIR világos, védhető határait
• Rögzítse a beszállítóktól, helyszínektől, rendszerektől és folyamatoktól való függőségeket

2. A vezetés és az elszámoltathatóság kialakítása

• Igazolja a felső vezetés elkötelezettségét és elszámoltathatóságát
• Hagyjon jóvá és kommunikáljon egy információbiztonsági szabályzatot
• Határozza meg a szerepköröket, a hatásköröket és az elszámoltatható felelősöket
• Biztosítson megfelelő munkaerőt, technológiát és költségvetést

3. A kockázatok értékelése és kezelése

• Határozzon meg következetes kockázatértékelési módszert és kritériumokat
• Vegye figyelembe az információs eszközöket, a fenyegetéseket, a sérülékenységeket és a hatásokat
• Értékelje a kockázatokat, rendeljen hozzájuk gazdákat, és őrizze meg az eredményeket
• Válasszon kockázatkezelési lehetőségeket, és készítsen kockázatkezelési tervet
• Vezessen alkalmazhatósági nyilatkozatot a kiválasztással, a kizárással és a megvalósítás állapotával
• Szerezze be a maradványkockázat elfogadását a megfelelő kockázatgazdáktól

4. A célok, a kompetencia és a dokumentáció megszervezése

• Tűzzön ki mérhető információbiztonsági célokat felelősökkel és határidőkkel
• Határozza meg a kompetenciaigényeket, és őrizze meg a képzések bizonyítékait
• Tervezze meg a tudatosítást és a belső kommunikációt
• A dokumentált információkat verziózza, hagyja jóvá, védje és őrizze meg
• Az IBIR változásait kontrollált módon tervezze meg

5. A kontrollok megvalósítása és működtetése

• Valósítsa meg a kockázatkezelésből levezetett szervezeti, személyi, fizikai és technológiai kontrollokat
• Kontrollálja az operatív folyamatokat és a kiszervezett szolgáltatásokat
• Kapcsolja a bizonyítékokat közvetlenül a kockázatokhoz, a követelményekhez és a kontrollokhoz
• Alakítson ki ismétlődő kontrollellenőrzéseket, felülvizsgálatokat és határidőket
• A kivételeket és az új kockázatokat csatolja vissza a működésbe

6. A hatékonyság értékelése és javítása

• Határozzon meg mérőszámokat és értékelési módszereket
• Kövesse nyomon, mérje, elemezze és értékelje az eredményeket
• Tervezzen meg és hajtson végre független belső auditot
• Dokumentálja a vezetőségi átvizsgálásokat, azok bemeneteit és döntéseit
• Kezelje a nemmegfelelőségeket, elemezze az okokat, és kövesse nyomon a helyesbítő intézkedéseket
• A tanúsítás előtt erősítse meg, hogy a dokumentáció és a tényleges gyakorlat összhangban van

Mely dokumentumok tartoznak az ellenőrzőlistára?

A szabvány több helyen is dokumentált információt ír elő, de nem követel meg minden kontrollhoz külön szabályzatot. A megfelelő terjedelem a szervezet méretétől, összetettségétől, kockázataitól és az IBIR határaitól függ. Egy munkalista jellemzően a következőket tartalmazza:

• az IBIR hatóköre és az információbiztonsági szabályzat
• kockázatértékelési módszer, kockázatnyilvántartás és kockázatkezelési terv
• alkalmazhatósági nyilatkozat
• információbiztonsági célok és mérőszámok
• kompetencia-, képzési és tudatossági nyilvántartások
• releváns operatív folyamatok, szabályzatok és nyilvántartások
• a nyomon követés és a mérés eredményei
• belső auditprogram és auditjelentések
• vezetőségi átvizsgálások jegyzőkönyvei
• nemmegfelelőségek és helyesbítő intézkedések nyilvántartása

Egy sablon csak kiindulópont. Nem elég kicserélni a cégnevet és a logót: a felelősségeknek, a folyamatoknak, a rendszereknek és a bizonyítékoknak tükrözniük kell, hogyan működik ténylegesen a szervezet.

Ingyenes ISO 27001 források

Az r/ISO27001 közösség a Redditen gyakorlati tapasztalatokkal is szolgálhat. A közösségi bejegyzések nem a hivatalos szabványt és nem kötelező erejű auditori tanácsot jelentenek.

ISO 27001 tanfolyamok

Az Udemy és a hasonló piacterek gyakran fióktól és akciótól függően változtatják az árakat. A végső árat mindig a pénztárnál ellenőrizze.

ISO 27001 eszközkészletek árösszehasonlítása

A High Table régebbi demó- és termékoldalai eltérő összegeket mutatnak, mint a központi árlistája. Ez az összehasonlítás ezért a referencia-időpontban elérhető központi árlistát használja. A GRC Solutions is eltérő csomagokat vagy licencmodelleket jelenít meg a különböző webáruházi oldalain; vásárlás előtt ellenőrizze a pontos terméket, időtartamot és megújítási költséget.

Melyik lehetőség melyik igényhez illik?

Gyakran ismételt kérdések

Létezik hivatalos, ingyenes ISO 27001 ellenőrzőlista?

Egy ingyenes lista rendszerezheti a témákat, de nem a hivatalos szabvány, és nem is teljes megvalósítási útmutató. Az alkalmazandó szabványszöveg marad a mérvadó. Az alkalmazásához a kockázatkezelés, az IBIR-hatókör és a tényleges operatív folyamatok ismerete is szükséges.

Minden szervezetnek meg kell valósítania az A melléklet mind a 93 kontrollját?

Nem. Az ISO/IEC 27001:2022 kockázatalapú kiválasztást követel meg. Az alkalmazhatósági nyilatkozat rögzíti, mely kontrollok szükségesek, mi az állapotuk, és miért zártak ki referenciakontrollokat.

Elég egy eszközkészlet a tanúsítás megszerzéséhez?

Nem. Egy eszközkészlet időt takaríthat meg, de a tanúsítás egy hatékony, működő IBIR-t értékel. Az auditorok az elszámoltathatóságot, a kockázatkezelést, az operatív bizonyítékokat, a belső auditokat, a vezetőségi átvizsgálásokat és a folyamatos fejlesztést is vizsgálják.

Mi az útmutatóban szereplő árak referencia-időpontja?

Minden árat 2026. augusztus 30-án ellenőriztünk. A szolgáltató aktuális pénztári ára a mérvadó.

Összegzés

Egy ISO 27001 ellenőrzőlista megmutathatja, mely témák igényelnek figyelmet a tanúsítás előtt. Azt azonban nem tudja automatikusan megmagyarázni, hogyan kell ezeket a témákat egy adott szervezetben megvalósítani, vagy hogy az eredmény hatékony-e. Ehhez a szabvány ismerete, megalapozott kockázati módszer, a tényleges működés megértése és megbízható bizonyítékok szükségesek.

A sablonok és eszközkészletek felgyorsíthatják a munkát, ha a csapat már érti, milyen eredményt kell elérnie. E tudás nélkül a több dokumentum főként több anyagot jelent, nem feltétlenül jobb IBIR-t.

Bármilyen anyagot választ is, a döntő kérdés ugyanaz marad: összhangban vannak-e a dokumentált szabályok, a tényleges gyakorlat és a megbízható bizonyítékok? Ennek a kapcsolatnak a folyamatos fenntartása nem csupán egy auditra készít fel; tartós IBIR-t hoz létre. Az auditfelkészültség strukturálásáról szóló útmutatónk bemutatja, hogyan szervezze meg az alátámasztó bizonyítékokat.