ISO 27001.
Alakítson ki információbiztonság-irányítási rendszert, kezelje a kockázatokat, és válasszon megfelelő igazolást ügyfelei és szerződéses partnerei számára.
- ISO/IEC 27001:2022 + Amd 1:2024
- Szerző: Jonathan Bezdek
- Állapot: 2026. 10. 22.
- Olvasási idő: 7 perc
Rövid válasz.
Az ISO 27001 az információbiztonság-irányítási rendszerek, röviden ISMS-ek nemzetközi szabványa. Leírja, hogyan szervezzék, működtessék és fejlesszék információbiztonságukat a szervezetek kockázatalapon. Az ISO/IEC 27001:2022 különböző méretű és ágazatú szervezetekre alkalmazható. Független tanúsító szervezet igazolhatja az irányítási rendszer megfelelőségét a meghatározott alkalmazási területen; maga az ISO nem ad ki tanúsítványt.
ISO 27001 és ISMS.
Az ISO 27001 az információbiztonság irányításának követelményeit írja le. Az ISMS a vezetői döntéseket az információk, az emberek, a folyamatok és a technika kezelésével kapcsolja össze. A bizalmasságot, sértetlenséget és rendelkezésre állást védi: ki láthatja az információkat, hogyan maradnak megbízhatók, és mikor kell használhatónak lenniük? Az ISO/IEC 27001:2022 nyilvános leírása ehhez a kockázatalapú megközelítést helyezi középpontba.
A megjelent alapkiadás az ISO/IEC 27001:2022, amelyet az Amd 1:2024 egészít ki. A módosítás az éghajlattal kapcsolatos témák vizsgálatával bővíti az irányítási rendszer környezetét. A 2024. februári közös ISO/IAF-közlemény szerint azt kell megvizsgálni, relevánsak-e ezek az adott irányítási rendszer számára. Ebből nem következik minden szervezetre azonos intézkedési program.
Az ISMS a szervezet folyamatos munkája, a tanúsítás pedig ennek egyik lehetséges külső igazolása. Egy bevezetett eszköz, egy kitöltött kérdőív vagy egy képzési tanúsítvány sem az irányítási rendszer működtetését, sem annak független értékelését nem helyettesíti.
Kinek megfelelő az ISO 27001?
Az ISO nyilvános leírása szerint az ISO 27001 különböző méretű és ágazatú szervezetek számára megfelelő. A választott alkalmazási terület információi és függőségei a meghatározók. Egy kis szolgáltatónak ezért más felelősségi körökre és folyamatokra lehet szüksége, mint egy több telephelyes vállalatnak, miközben a biztonságirányítás alapvető feladata azonos marad.
Gyakran az ügyfélkövetelmények határozzák meg a szükséges tanúsítási terjedelmet. Tisztázza, hogy a szerződéses partner egy adott szolgáltatást, telephelyet vagy jogi személyt kíván-e értékeltetni. A tudatosan lehatárolt alkalmazási területnek figyelembe kell vennie a releváns kapcsolódási pontokat. Egy kiszervezett tevékenység nem tűnik el a biztonsági vizsgálatból pusztán azért, mert beszállító végzi.
Az ISO 27001 követelményei.
Az ISO 27001 követelményei az ISMS irányítását a megfelelő biztonsági intézkedések működtetésével kapcsolják össze. A következő hat munkaterület tájékozódásként, saját szavakkal foglalja össze az ISO/IEC 27001:2022 4–10. fejezeteit.
A környezet és az alkalmazási terület meghatározása.
A szervezet lehatárolja, mely tevékenységeket és információkat fedi le az ISMS. Ide tartoznak az érdekelt felek releváns követelményei és a más területekkel fennálló függőségek is. A megvalósításhoz olyan leírás javasolt, amelyet a szakmai felelősök és a külső olvasók egyaránt értenek: egy szolgáltatás neve önmagában még nem írja le a támogató rendszereit és kapcsolódási pontjait.
A vezetés és a felelősség rögzítése.
A vezetés irányt, hatásköröket és erőforrásokat ad a biztonsági munkához. A felelősöknek a feladataikhoz illeszkedő döntéseket kell tudniuk hozni. Egy központi koordinátor átláthatja az egészet; ezzel azonban nem veszi át automatikusan a HR, a beszerzés, az informatika vagy a fejlesztés összes feladatát.
A kockázatok értékelése és kezelése.
A kockázatértékelés és -kezelés határozza meg, mely problémákkal kell először foglalkozni. Az értékelési kritériumok, az illetékes személyek és a követhető döntések kötik össze az elemzést a konkrét munkával. Az alkalmazhatósági nyilatkozat, más néven Statement of Applicability vagy SoA, rögzíti az intézkedések kiválasztását és indoklását. Az A melléklet ehhez a biztonsági intézkedések referenciájaként szolgál.
Az erőforrások és dokumentáció megszervezése.
A működést a kompetencia, a kommunikáció és a karbantartott dokumentált információk támogatják. Határozza meg a gyakorlatban, ki hagy jóvá egy előírást, ki alkalmazza, és hol található az érvényes változat. Egy terjedelmes dokumentumgyűjtemény kevéssé segít, ha állításai eltérnek a tényleges munkától, vagy a felelősök nem ismerik feladataikat.
Az intézkedések működtetése a mindennapokban.
A biztonsági intézkedéseknek a választott terjedelemben ténylegesen működniük kell. A szervezeti, személyi, fizikai és technikai intézkedések egymásra épülnek. Gyakorlati segítségként a felelősök minden kiválasztott intézkedésnél rögzíthetik, mely folyamatot védi, és milyen feljegyzések mutatják a működését. Az A mellékletről szóló blogbejegyzés az intézkedések kiválasztását és működtetését részletezi.
Értékelés és fejlesztés.
A belső auditok, vezetőségi átvizsgálások és az eltérések kezelése tartják mozgásban az ISMS-t. A szervezet megvizsgálja, hogy munkamódja megfelel-e a követelményeknek és támogatja-e a tervezett eredményeket. A napi munkában hasznos, ha már a helyesbítéskor meghatározzák, miről lesz később felismerhető a hatása.
Az ISO 27001 tanúsításhoz vezető út.
A cél és az alkalmazási terület egyeztetése.
Gyakorlati kezdésként tisztázza, milyen tevékenységhez milyen igazolás szükséges, és írja le az alkalmazási területet a releváns függőségeivel együtt.
A felelősség és kapacitás meghatározása.
Jelölje ki a döntésre jogosult vezetést, a koordinátort és a folyamatfelelősöket, és biztosítson időt a bevezetéshez és a folyamatos karbantartáshoz.
A kockázatok és intézkedések feldolgozása.
Alkalmazzon követhető értékelési eljárást, döntsön a kezelésről, és dokumentálja az intézkedések kiválasztását az alkalmazhatósági nyilatkozatban.
A működés és bizonyítékok összekapcsolása.
Valósítsa meg a kiválasztott intézkedéseket, és őrizzen meg megfelelő feljegyzéseket a tényleges működésről, ahelyett hogy csupán dokumentumsablonokat töltene ki.
Belső értékelés és helyesbítés.
Használja a belső auditot és a vezetőségi átvizsgálást a nyitott döntések, eltérések és erőforrásigények rendezésére a külső vizsgálat előtt.
A külső vizsgálat és a további működés tervezése.
Egyeztessen megfelelő tanúsító szervezettel a terjedelemről és az auditprogramról, és a tanúsítási döntés után is működtesse az ISMS-t a szükséges felülvizsgálatokkal.
Mit igazol az ISO 27001 tanúsítvány?
Az ISO 27001 tanúsítvány az irányítási rendszer értékelt megfelelőségét igazolja a megadott alkalmazási területen. Ezért együtt ellenőrizze a területet, a szabvány kiadását, a kibocsátó szervezetet, az érvényességi dátumot és az aktuális státuszt. A tanúsítvány nem garantálja, hogy minden vállalati területet lefed, vagy hogy a jövőben nem történhet biztonsági incidens.
A tanúsítást külső tanúsító szervezetek végzik; maga az ISO nem ad ki tanúsítványt. Az ISO/IEC 27006-1:2024 kiegészíti az ilyen szervezetek ISMS-tanúsításra vonatkozó követelményeit. Az akkreditáció e szervezetek alkalmasságára vonatkozik, és megkülönböztetendő a vizsgált szervezet tanúsítványától. Az ISO tanúsításról szóló nyilvános oldala elmagyarázza, hogyan ellenőrizhető a tanúsítási és akkreditációs státusz.
A tervezés nem ér véget az első kiállítással. Kérje meg tanúsító szervezetét, hogy ismertesse az auditprogramot, a fenntartás feltételeit és a megújítás menetét. A költségvetési döntésben ezeket az ismétlődő szolgáltatásokat a belső működéssel együtt kell figyelembe venni, nem csupán az első ajánlatot.
További olvasnivalók a blogon.
- Mi az ISMS?A biztonsági munka összekapcsolása a szervezet döntéseivel.
- Felkészülés az ISO 27001 tanúsításraA felkészülés, a ráfordítás és a vizsgálatok részletes tervezése.
- ISO 27001 A mellékletA kiválasztott intézkedések beépítése a működésbe.
- Belső ISO 27001 auditAz auditkritériumok, bizonyítékok és helyesbítések megszervezése.
- ISO 27001 ellenőrzőlistaA munkaterületek és a meglévő kezdési segédletek előzetes rendezése.
Más keretrendszerek elhelyezése.
Az ISO 27002 az információbiztonsági intézkedések megvalósításához adott útmutatással egészíti ki az ISO 27001-et. Az IT-Grundschutz a biztonsági munka BSI-módszertanát és egy önálló tanúsítási utat ír le. A NIS2 önálló jogszabályi kötelezettségeket állapít meg az érintett szervezeteknek; az ISO 27001 tanúsítvány nem helyettesíti ezek vizsgálatát. A TISAX a gépjárműipari ellátási láncban saját értékelési és információcsere-eljárást használ.
A Secaniban.
A Secani saját szerkesztésű vizsgálati katalógust biztosít az ISO/IEC 27001:2022-höz az Amendment 1:2024 kiegészítéssel. A munkaterületen az intézkedések, bizonyítékok és feladatok összefüggésükben kezelhetők. A katalógus saját megvalósítási útmutatásokat tartalmaz, és nem helyettesíti a licencköteles szabványszöveget; a szakmai értékelés és a tanúsítási döntés továbbra is külön feladat.
Induljon konkrét alkalmazási területtel.
Válasszon egy szolgáltatást, amelyhez követhető biztonsági igazolás szükséges. Rögzítse, milyen információk, közreműködő csapatok és beszállítók tartoznak hozzá, és ki jogosult a kockázatokról dönteni. Ezen az alapon meg lehet beszélni a megvalósítás terjedelmét és a tanúsítvánnyal kapcsolatos elvárásokat.
Ezután ugyanarra az alkalmazási területre kérjen auditajánlatot. Különítse el a belső ráfordítást, a szükséges fejlesztéseket és a külső vizsgálat költségeit. Így összehasonlíthatóbbá válnak az ajánlatok, anélkül hogy már tanúsítási időpontot vagy eredményt ígérne.
Források.
- ENX: TISAX résztvevői kézikönyv
- ISO/IEC 27001:2022 – a szabvány nyilvános oldala
- ISO/IEC 27001:2022/Amd 1:2024
- ISO/IAF-közlemény az éghajlattal kapcsolatos kiegészítésekről, 2024. február
- ISO – tanúsítás és akkreditáció
- ISO/IEC 27006-1:2024 – a tanúsító szervezetek követelményei
- ISO/IEC 27002:2022 – kiegészítő megvalósítási útmutatás
Gyakori kérdések.
Nem, nincs minden vállalatra érvényes általános ISO 27001 tanúsítási kötelezettség. Az, hogy szükséges-e konkrét igazolás, az alkalmazandó jogszabályi, szerződéses vagy ágazati követelményektől függ.
Az alkalmazási terület és a kiinduló állapot nélkül nem adható megalapozott egységár. Külön tervezze meg a belső ráfordítást, a szükséges fejlesztéseket, a külső auditköltségeket és a folyamatos fenntartást.
A kiválasztás a kockázatokhoz és a releváns követelményekhez igazodik. Az alkalmazhatósági nyilatkozat dokumentálja a szükséges intézkedéseket, megvalósításuk állapotát és a referenciaintézkedések indokolt kizárásait.
Igen. Az ISMS megvalósítása és külső szervezettel történő tanúsíttatása két külön döntés; az ISO választható igazolásként írja le a tanúsítást.
Nem. A tanúsítványokat külső tanúsító szervezetek állítják ki; az ISO a szabványokat dolgozza ki és teszi közzé.
Tisztázza az alkalmazási területet.
Beszéljük meg, hogyan kezelheti a követelményeket, intézkedéseket és bizonyítékokat a Secaniban.
Ez az oldal saját szavakkal mutatja be az ISO 27001-et, és nem helyettesíti a licencköteles szabványszöveget vagy a szakmai vizsgálatot. Az eredeti kiadványok és az alkalmazandó tanúsítási eljárás az irányadó.