ISO 27001.
Sukurkite informacijos saugumo vadybos sistemą, valdykite riziką ir pasirinkite klientams bei sutarties partneriams tinkamą atitikties įrodymą.
- ISO/IEC 27001:2022 + Amd 1:2024
- Autorius: Jonathan Bezdek
- Aktualu: 2026-10-22
- Skaitymo trukmė: 6 min.
Trumpas atsakymas.
ISO 27001 yra tarptautinis informacijos saugumo vadybos sistemų, trumpai ISMS, standartas. Jis aprašo, kaip organizacijos, remdamosi rizika, organizuoja, vykdo ir gerina informacijos saugumą. ISO/IEC 27001:2022 tinka įvairaus dydžio ir sektorių organizacijoms. Nepriklausoma sertifikavimo įstaiga gali patvirtinti vadybos sistemos atitiktį apibrėžtoje taikymo srityje; pati ISO sertifikatų neišduoda.
ISO 27001 ir ISMS.
ISO 27001 aprašo informacijos saugumo valdymo reikalavimus. ISMS susieja vadovybės sprendimus su informacijos, žmonių, procesų ir technologijų valdymu. Saugomi konfidencialumas, vientisumas ir prieinamumas: kas gali matyti informaciją, kaip ji išlieka patikima ir kada turi būti prieinama? Viešame ISO/IEC 27001:2022 apraše pagrindinis dėmesys skiriamas rizika grindžiamam požiūriui.
Paskelbtas pagrindinis leidimas yra ISO/IEC 27001:2022; jį papildo Amd 1:2024. Pakeitimas įtraukia su klimatu susijusių klausimų nagrinėjimą vadybos sistemos kontekste. Pagal bendrą 2024 m. vasario ISO/IAF komunikatą reikia įvertinti jų reikšmę konkrečiai vadybos sistemai. Tai nereiškia vienodos priemonių programos kiekvienai organizacijai.
ISMS yra nuolatinė organizacijos veikla, o sertifikavimas – vienas galimų išorinių jos įrodymų. Įdiegta priemonė, užpildytas klausimynas ar mokymų pažymėjimas nepakeičia nei vadybos sistemos veikimo, nei nepriklausomo jos vertinimo.
Kam tinka ISO 27001.
Pagal viešą ISO aprašą ISO 27001 tinka įvairaus dydžio ir sektorių organizacijoms. Svarbiausia yra informacija ir priklausomybės pasirinktoje taikymo srityje. Todėl nedideliam paslaugų teikėjui gali reikėti kitokių atsakomybių ir procesų nei keliose vietose veikiančiai įmonei, nors pagrindinė saugumo valdymo užduotis nesikeičia.
Reikiamą sertifikavimo aprėptį dažnai lemia klientų reikalavimai. Išsiaiškinkite, ar sutarties partneris nori konkrečios paslaugos, veiklos vietos ar juridinio asmens vertinimo. Sąmoningai apibrėžtoje taikymo srityje turi būti atsižvelgta į svarbias sąsajas. Perduota veikla nepranyksta iš saugumo vertinimo vien dėl to, kad ją atlieka tiekėjas.
ISO 27001 reikalavimai.
ISO 27001 reikalavimai susieja ISMS valdymą su tinkamų saugumo priemonių naudojimu. Toliau šešiose darbo srityse savais žodžiais apibendrinami ISO/IEC 27001:2022 4–10 skyriai, kad būtų lengviau orientuotis.
Nustatykite kontekstą ir taikymo sritį.
Organizacija apibrėžia, kokias veiklas ir informaciją apima jos ISMS. Tai apima atitinkamus suinteresuotųjų šalių reikalavimus ir priklausomybes nuo kitų sričių. Praktiškai rekomenduojamas aprašymas, suprantamas ir už sritį atsakingiems asmenims, ir išoriniams skaitytojams: vien paslaugos pavadinimas nepaaiškina ją palaikančių sistemų ir sąsajų.
Įtvirtinkite lyderystę ir atsakomybę.
Vadovybė nustato saugumo veiklos kryptį, įgaliojimus ir išteklius. Atsakingi asmenys turi galėti priimti jų užduotis atitinkančius sprendimus. Pagrindinis koordinuojantis asmuo gali išlaikyti bendrą vaizdą; dėl to jis automatiškai neperima visų personalo, pirkimų, IT ar kūrimo padalinių užduočių.
Vertinkite ir tvarkykite riziką.
Rizikos vertinimas ir tvarkymas nustato, kokios problemos sprendžiamos pirmiausia. Vertinimo kriterijai, atsakingi asmenys ir atsekami sprendimai susieja analizę su konkrečiu darbu. Taikymo pareiškime, dar vadinamame Statement of Applicability arba SoA, užfiksuojamas priemonių pasirinkimas ir jo pagrindimas. A priedas naudojamas kaip saugumo priemonių atskaitos pagrindas.
Organizuokite išteklius ir dokumentaciją.
Kompetencija, komunikacija ir prižiūrima dokumentuota informacija užtikrina veikimą. Praktiškai nustatykite, kas patvirtina reikalavimą, kas jį taiko ir kur rasti galiojančią versiją. Didelis dokumentų rinkinys mažai padeda, jei jo teiginiai skiriasi nuo tikrosios veiklos arba atsakingi asmenys nežino savo užduočių.
Taikykite priemones kasdienėje veikloje.
Saugumo priemonės pasirinktoje srityje turi iš tikrųjų veikti. Organizacinės, personalo, fizinės ir techninės priemonės veikia kartu. Kaip praktinę pagalbą atsakingi asmenys kiekvienai pasirinktai priemonei gali užfiksuoti, kokį procesą ji saugo ir kokie įrašai rodo jos veikimą. Tinklaraščio straipsnyje apie A priedą išsamiau aptariamas priemonių pasirinkimas ir naudojimas.
Vertinkite ir gerinkite.
Vidaus auditai, vadovybės vertinamosios analizės ir neatitikčių tvarkymas užtikrina ISMS pažangą. Organizacija tikrina, ar jos veikimo būdas atitinka reikalavimus ir padeda pasiekti numatytus rezultatus. Kasdienėje veikloje naudinga dar planuojant korekciją nustatyti, pagal ką vėliau bus atpažįstamas jos poveikis.
Kelias į ISO 27001 sertifikavimą.
Suderinkite tikslą ir taikymo sritį.
Pradėkite išsiaiškindami, kokiai veiklai kokio įrodymo reikia, ir aprašykite taikymo sritį bei jos svarbias priklausomybes.
Nustatykite atsakomybes ir pajėgumus.
Įvardykite sprendimus priimančią vadovybę, koordinuojantį asmenį ir procesų atsakinguosius bei numatykite laiko diegimui ir nuolatinei priežiūrai.
Tvarkykite riziką ir priemones.
Taikykite atsekamą vertinimo metodą, nuspręskite dėl rizikos tvarkymo ir dokumentuokite priemonių pasirinkimą taikymo pareiškime.
Susiekite veikimą ir įrodymus.
Įgyvendinkite pasirinktas priemones ir saugokite tinkamus tikrosios veiklos įrašus, užuot vien pildę dokumentų šablonus.
Atlikite vidinį vertinimą ir korekcijas.
Pasitelkite vidaus auditą ir vadovybės vertinamąją analizę neišspręstiems sprendimams, neatitiktims ir išteklių poreikiui sutvarkyti prieš išorinį vertinimą.
Suplanuokite išorinį vertinimą ir tolesnį veikimą.
Su tinkama sertifikavimo įstaiga suderinkite aprėptį ir audito programą, o priėmus sprendimą dėl sertifikavimo tęskite ISMS veikimą su būtinomis peržiūromis.
Ką patvirtina ISO 27001 sertifikatas.
ISO 27001 sertifikatas patvirtina įvertintą vadybos sistemos atitiktį nurodytoje taikymo srityje. Todėl kartu tikrinkite taikymo sritį, standarto leidimą, išdavusią įstaigą, galiojimo datą ir dabartinį statusą. Sertifikatas negarantuoja, kad apimtos visos įmonės sritys ar kad ateityje neįvyks saugumo incidentų.
Sertifikavimą atlieka išorinės sertifikavimo įstaigos; pati ISO sertifikatų neišduoda. ISO/IEC 27006-1:2024 papildo reikalavimus tokioms ISMS sertifikuojančioms įstaigoms. Akreditavimas susijęs su jų kompetencija ir turi būti atskiriamas nuo vertinamos organizacijos sertifikato. Viešame ISO puslapyje apie sertifikavimą paaiškinama, kaip galima patikrinti sertifikavimo ir akreditavimo statusą.
Planavimas nesibaigia pirmą kartą išdavus sertifikatą. Paprašykite savo sertifikavimo įstaigos paaiškinti audito programą, išlaikymo sąlygas ir atnaujinimo tvarką. Priimant sprendimą dėl biudžeto svarbios šios pasikartojančios paslaugos kartu su vidine veikla, o ne vien pirmasis pasiūlymas.
Skaitykite tinklaraštyje.
- Kas yra ISMS?Susiekite saugumo veiklą su organizacijos sprendimais.
- Pasirengimas ISO 27001 sertifikavimuiIšsamiai suplanuokite pasirengimą, darbo apimtį ir vertinimus.
- ISO 27001 A priedasĮtvirtinkite pasirinktas priemones veikloje.
- ISO 27001 vidaus auditasOrganizuokite audito kriterijus, įrodymus ir korekcijas.
- ISO 27001 kontrolinis sąrašasIš anksto suskirstykite darbo sritis ir turimas pagalbines pradžios priemones.
Ryšys su kitomis sistemomis.
ISO 27002 papildo ISO 27001 informacijos saugumo priemonių įgyvendinimo gairėmis. IT-Grundschutz aprašo BSI saugumo veiklos metodiką ir atskirą sertifikavimo kelią. NIS2 subjektams, kuriems ji taikoma, nustato savarankiškas teisines pareigas; ISO 27001 sertifikatas nepakeičia jų patikros. TISAX automobilių pramonės tiekimo grandinėje naudoja atskirą vertinimo ir keitimosi rezultatais procedūrą.
„Secani“ sistemoje.
„Secani“ pateikia savo redakcinį vertinimo katalogą pagal ISO/IEC 27001:2022 su Amendment 1:2024. Darbo srityje galima susietai tvarkyti priemones, įrodymus ir užduotis. Kataloge pateiktos savos įgyvendinimo gairės, jis nepakeičia licencijuoto standarto teksto; profesinis vertinimas ir sprendimas dėl sertifikavimo lieka atskiros užduotys.
Pradėkite nuo konkrečios taikymo srities.
Pasirinkite paslaugą, kuriai reikalingas atsekamas saugumo įrodymas. Užfiksuokite, kokia informacija, komandos ir tiekėjai jai priklauso ir kas gali priimti sprendimus dėl rizikos. Šiuo pagrindu galima aptarti įgyvendinimo aprėptį ir lūkesčius dėl sertifikato.
Tada paprašykite audito pasiūlymo, pagrįsto ta pačia taikymo sritimi. Atskirai įvertinkite vidines darbo sąnaudas, reikalingus patobulinimus ir išorinio vertinimo kainą. Taip pasiūlymus bus lengviau palyginti dar nežadant sertifikavimo datos ar rezultato.
Šaltiniai.
- ENX: TISAX dalyvio vadovas
- ISO/IEC 27001:2022 – viešas standarto puslapis
- ISO/IEC 27001:2022/Amd 1:2024
- ISO/IAF komunikatas dėl su klimatu susijusių papildymų, 2024 m. vasaris
- ISO – sertifikavimas ir akreditavimas
- ISO/IEC 27006-1:2024 – reikalavimai sertifikavimo įstaigoms
- ISO/IEC 27002:2022 – papildomos įgyvendinimo gairės
Dažniausi klausimai.
Ne, bendros pareigos visoms įmonėms sertifikuotis pagal ISO 27001 nėra. Ar reikalaujama konkretaus įrodymo, priklauso nuo taikomų teisinių, sutartinių ar sektoriaus reikalavimų.
Nenustačius taikymo srities ir pradinės padėties patikimos vienodos kainos nurodyti neįmanoma. Atskirai planuokite vidines darbo sąnaudas, reikalingus patobulinimus, išorinio audito kainą ir nuolatinį sistemos palaikymą.
Pasirinkimas priklauso nuo rizikos ir aktualių reikalavimų. Taikymo pareiškime dokumentuojamos būtinos priemonės, jų įgyvendinimo būklė ir pagrįstas etaloninių priemonių neįtraukimas.
Taip. ISMS įgyvendinimas ir jos sertifikavimas išorinėje įstaigoje yra skirtingi sprendimai; ISO sertifikavimą apibūdina kaip pasirenkamą įrodymą.
Ne. Sertifikatus išduoda išorinės sertifikavimo įstaigos; ISO kuria ir skelbia standartus.
Apibrėžkite taikymo sritį.
Aptarkite, kaip galite tvarkyti reikalavimus, priemones ir įrodymus „Secani“ sistemoje.
Šiame puslapyje ISO 27001 paaiškinamas savais žodžiais; jis nepakeičia licencijuoto standarto teksto ar profesinio vertinimo. Lemiamą reikšmę turi originalios publikacijos ir taikoma sertifikavimo procedūra.