ISO 27001 kontrolinis sąrašas

Žmonės, ieškantys ISO 27001 kontrolinio sąrašo, paprastai nori konkrečių atsakymų: ką turime padaryti, kokių dokumentų mums reikia ir kiek mums dar liko iki sertifikavimo? Sąrašas gali šiuos klausimus sutvarkyti. Atsakyti į juos jis negali.

Organizacija negali iš bendro kontrolinio sąrašo tiesiogiai pereiti prie pagrįsto įgyvendinimo. Tam reikia konkrečių ISO/IEC 27001:2022 žinių, faktinės ISMS taikymo srities, informacijos saugumo rizikų ir veiklos procesų išmanymo. Šiame vadove paaiškinama, ką kontrolinis sąrašas gali suteikti, kur baigiasi jo galimybės ir kurie šablonai, kursai bei priemonių rinkiniai gali padėti žengti kitą žingsnį.

Kodėl ISO 27001 kontrolinio sąrašo nepakanka

Sertifikuojami reikalavimai pateikti ISO/IEC 27001:2022 4–10 skyriuose. A priede yra 93 etaloninės kontrolės priemonės, suskirstytos į keturias temas. Iš to nesusidaro universalus užduočių sąrašas. Organizacija, be kita ko, turi suprasti ir pagrįsti:

• kurie verslo procesai, informacija, sistemos ir vietos priklauso ISMS
• kurie teisiniai, sutartiniai ir verslo reikalavimai taikomi
• kaip rizikos bus nuosekliai vertinamos ir valdomos
• kurios kontrolės priemonės atitinka faktinį rizikos profilį
• kurie įrodymai iš tikrųjų patvirtina, kad kontrolės priemonė veikia veiksmingai

Dvi organizacijos gali pažymėti tą patį kontrolinio sąrašo punktą kaip įvykdytą ir vis tiek turėti visiškai skirtingą pasirengimo lygį. Pavyzdžiui, politikos buvimas nieko nepasako apie tai, ar savininkai ją supranta, ar procesas veikia ir ar sukuriami patikimi įrodymai.

Sritys, kurias turėtų apimti kontrolinis sąrašas

1. Apibrėžkite kontekstą ir taikymo sritį

• Aprašykite organizacijos paskirtį ir atitinkamus vidinius bei išorinius veiksnius
• Nustatykite suinteresuotąsias šalis ir jų reikalavimus
• Užfiksuokite teisines, reguliavimo ir sutartines pareigas
• Apibrėžkite aiškias, pagrįstas ISMS ribas
• Užfiksuokite priklausomybes nuo tiekėjų, vietų, sistemų ir procesų

2. Nustatykite vadovavimą ir atskaitomybę

• Parodykite aukščiausiosios vadovybės įsipareigojimą ir atskaitomybę
• Patvirtinkite ir paskelbkite informacijos saugumo politiką
• Apibrėžkite vaidmenis, įgaliojimus ir atskaitingus savininkus
• Skirkite pakankamai žmonių, technologijų ir biudžeto

3. Įvertinkite ir valdykite riziką

• Apibrėžkite nuoseklų rizikos vertinimo metodą ir kriterijus
• Atsižvelkite į informacijos turtą, grėsmes, pažeidžiamumus ir poveikį
• Įvertinkite rizikas, paskirkite savininkus ir išsaugokite rezultatus
• Pasirinkite rizikos valdymo galimybes ir parenkite rizikos valdymo planą
• Palaikykite Taikymo pareiškimą (Statement of Applicability), kuriame nurodyti pasirinkimas, neįtraukimas ir įgyvendinimo būsena
• Gaukite atitinkamų rizikos savininkų pritarimą likutinei rizikai

4. Organizuokite tikslus, kompetenciją ir dokumentaciją

• Nustatykite išmatuojamus informacijos saugumo tikslus, savininkus ir terminus
• Nustatykite kompetencijos poreikius ir išsaugokite mokymų įrodymus
• Planuokite sąmoningumo didinimą ir vidinę komunikaciją
• Dokumentuotą informaciją versijuokite, tvirtinkite, saugokite ir išlaikykite
• ISMS pokyčius planuokite kontroliuojamai

5. Įgyvendinkite kontrolės priemones ir užtikrinkite jų veikimą

• Įgyvendinkite iš rizikos valdymo kylančias organizacines, su žmonėmis susijusias, fizines ir technologines kontrolės priemones
• Kontroliuokite veiklos procesus ir užsakomąsias paslaugas
• Įrodymus tiesiogiai susiekite su rizikomis, reikalavimais ir kontrolės priemonėmis
• Nustatykite pasikartojančias kontrolės priemonių patikras, peržiūras ir terminus
• Išimtis ir naujas rizikas grąžinkite į veiklą

6. Vertinkite ir gerinkite veiksmingumą

• Apibrėžkite rodiklius ir vertinimo metodus
• Stebėkite, matuokite, analizuokite ir vertinkite rezultatus
• Planuokite ir atlikite nepriklausomą vidaus auditą
• Dokumentuokite vadovybines peržiūras, jų įvestis ir sprendimus
• Spręskite neatitiktis, analizuokite priežastis ir sekite taisomuosius veiksmus
• Prieš sertifikavimą patvirtinkite, kad dokumentacija ir faktinė praktika sutampa

Kurie dokumentai priklauso kontroliniam sąrašui?

Standartas reikalauja dokumentuotos informacijos keliose vietose, tačiau nenustato atskiros politikos kiekvienai kontrolės priemonei. Tinkama apimtis priklauso nuo organizacijos dydžio, sudėtingumo, rizikos ir ISMS ribų. Darbinis sąrašas paprastai apims:

• ISMS taikymo sritį ir informacijos saugumo politiką
• rizikos vertinimo metodą, rizikos registrą ir rizikos valdymo planą
• Taikymo pareiškimą
• informacijos saugumo tikslus ir rodiklius
• kompetencijos, mokymų ir sąmoningumo įrašus
• atitinkamus veiklos procesus, politikas ir įrašus
• stebėsenos ir matavimo rezultatus
• vidaus audito programą ir ataskaitas
• vadovybinių peržiūrų protokolus
• neatitikčių ir taisomųjų veiksmų registrą

Šablonas yra tik atspirties taškas. Neužtenka pakeisti įmonės pavadinimą ir logotipą: atsakomybės, procesai, sistemos ir įrodymai turi atspindėti tai, kaip organizacija iš tikrųjų dirba.

Nemokami ISO 27001 ištekliai

Praktinės patirties taip pat gali suteikti Reddit bendruomenė r/ISO27001. Bendruomenės įrašai nėra oficialus standartas ar privalomi audito patarimai.

ISO 27001 kursai

Udemy ir panašiose prekyvietėse kainos dažnai skiriasi priklausomai nuo paskyros ir akcijų. Galutinę kainą visada patikrinkite atsiskaitymo metu.

ISO 27001 priemonių rinkinių kainų palyginimas

High Table turi senesnių demonstracinių ir produktų puslapių, kuriuose nurodytos kitokios sumos nei jo centriniame kainų puslapyje. Todėl šiame palyginime naudojamas atskaitos dieną prieinamas centrinis kainoraštis. GRC Solutions skirtinguose parduotuvės puslapiuose taip pat rodo skirtingus paketus ar licencijavimo modelius; prieš pirkdami patikrinkite tikslų produktą, terminą ir atnaujinimo kainą.

Kuri galimybė tinka kuriam poreikiui?

Dažniausiai užduodami klausimai

Ar yra oficialus nemokamas ISO 27001 kontrolinis sąrašas?

Nemokamas sąrašas gali sutvarkyti temas, tačiau jis nėra nei oficialus standartas, nei išsamus įgyvendinimo vadovas. Lemiamas lieka taikomo standarto tekstas. Jį taikant taip pat reikia išmanyti rizikos valdymą, ISMS taikymo sritį ir faktinius veiklos procesus.

Ar kiekviena organizacija turi įgyvendinti visas 93 A priedo kontrolės priemones?

Ne. ISO/IEC 27001:2022 reikalauja rizika grindžiamo pasirinkimo. Taikymo pareiškime užfiksuojama, kurios kontrolės priemonės būtinos, kokia jų būsena ir kodėl etaloninės kontrolės priemonės neįtrauktos.

Ar priemonių rinkinio pakanka sertifikatui gauti?

Ne. Priemonių rinkinys gali sutaupyti laiko, tačiau sertifikavimo metu vertinama veiksminga, veikianti ISMS. Auditoriai taip pat nagrinėja atskaitomybę, rizikos valdymą, veiklos įrodymus, vidaus auditus, vadovybines peržiūras ir nuolatinį gerinimą.

Kokia šio vadovo kainų atskaitos data?

Kiekviena kaina patikrinta 2026 m. rugpjūčio 30 d. Lemiama lieka dabartinė paslaugų teikėjo kaina atsiskaitymo metu.

Išvada

ISO 27001 kontrolinis sąrašas gali parodyti, kurioms temoms prieš sertifikavimą reikia dėmesio. Jis negali automatiškai paaiškinti, kaip šios temos turėtų būti įgyvendintos konkrečioje organizacijoje ar ar rezultatas veiksmingas. Tam reikia standarto išmanymo, patikimo rizikos metodo, faktinės veiklos supratimo ir patikimų įrodymų.

Šablonai ir priemonių rinkiniai gali paspartinti darbą, kai komanda jau supranta, kokį rezultatą turi pasiekti. Be šių žinių daugiau dokumentų daugiausia sukuria daugiau medžiagos, o nebūtinai geresnę ISMS.

Kad ir kokią medžiagą pasirinktumėte, lemiamas klausimas lieka tas pats: ar dokumentuotos taisyklės, faktinė praktika ir patikimi įrodymai sutampa? Nuolat palaikomas šis ryšys parengia ne tik auditui; jis sukuria tvarią ISMS. Mūsų vadove apie pasirengimo auditui struktūrizavimą paaiškinama, kaip organizuoti pagrindžiančius įrodymus.