ISO 27001 kontrolsaraksts

Cilvēki, kas meklē ISO 27001 kontrolsarakstu, parasti vēlas konkrētas atbildes: kas mums jādara, kādi dokumenti mums nepieciešami un cik tālu esam no sertifikācijas? Saraksts var šos jautājumus sakārtot. Atbildēt uz tiem tas nevar.

Organizācija nevar no vispārīga kontrolsaraksta uzreiz pāriet pie pamatotas ieviešanas. Tam nepieciešamas konkrētas zināšanas par ISO/IEC 27001:2022, faktisko ISMS tvērumu, informācijas drošības riskiem un darbības procesiem. Šajā ceļvedī skaidrots, ko kontrolsaraksts var sniegt, kur tā iespējas beidzas un kuras veidnes, kursi un rīkkopas var palīdzēt spert nākamo soli.

Kāpēc ar ISO 27001 kontrolsarakstu nepietiek

Sertificējamās prasības ir ietvertas ISO/IEC 27001:2022 4.–10. punktā. A pielikumā ir 93 atsauces kontroles četrās tēmās. No tā neizriet universāls uzdevumu saraksts. Organizācijai cita starpā ir jāizprot un jāpamato:

• kuri biznesa procesi, informācija, sistēmas un atrašanās vietas ietilpst ISMS
• kuras juridiskās, līgumiskās un biznesa prasības ir piemērojamas
• kā riski tiks konsekventi novērtēti un apstrādāti
• kuras kontroles atbilst faktiskajam riska profilam
• kuri pierādījumi patiešām apliecina, ka kontrole darbojas efektīvi

Divas organizācijas var atzīmēt vienu un to pašu kontrolsaraksta punktu kā izpildītu, un tomēr to gatavības līmenis var būt pilnīgi atšķirīgs. Piemēram, politikas esamība neko neliecina par to, vai īpašnieki to izprot, vai process darbojas un vai tiek radīti uzticami pierādījumi.

Jomas, kas kontrolsarakstam jāaptver

1. Definējiet kontekstu un tvērumu

• Aprakstiet organizācijas mērķi un būtiskos iekšējos un ārējos jautājumus
• Identificējiet ieinteresētās puses un to prasības
• Reģistrējiet juridiskās, regulatīvās un līgumiskās saistības
• Nosakiet skaidras, pamatojamas ISMS robežas
• Fiksējiet atkarības no piegādātājiem, atrašanās vietām, sistēmām un procesiem

2. Nodrošiniet vadību un atbildību

• Pierādiet augstākās vadības apņemšanos un atbildību
• Apstipriniet un komunicējiet informācijas drošības politiku
• Definējiet lomas, pilnvaras un atbildīgos īpašniekus
• Nodrošiniet pietiekamus cilvēkresursus, tehnoloģijas un budžetu

3. Novērtējiet un apstrādājiet riskus

• Definējiet konsekventu riska novērtēšanas metodi un kritērijus
• Ņemiet vērā informācijas aktīvus, draudus, ievainojamības un ietekmi
• Izvērtējiet riskus, piešķiriet īpašniekus un saglabājiet rezultātus
• Izvēlieties apstrādes iespējas un izveidojiet riska apstrādes plānu
• Uzturiet Piemērojamības paziņojumu ar izvēli, izslēgšanu un ieviešanas statusu
• Saņemiet atlikušā riska akceptu no attiecīgajiem riska īpašniekiem

4. Organizējiet mērķus, kompetenci un dokumentāciju

• Nosakiet izmērāmus informācijas drošības mērķus, atbildīgos un termiņus
• Nosakiet kompetences vajadzības un saglabājiet apmācību pierādījumus
• Plānojiet izpratnes veicināšanu un iekšējo komunikāciju
• Versijējiet, apstipriniet, aizsargājiet un saglabājiet dokumentēto informāciju
• Plānojiet ISMS izmaiņas kontrolētā veidā

5. Ieviesiet un uzturiet kontroles

• Ieviesiet organizatoriskās, ar cilvēkiem saistītās, fiziskās un tehnoloģiskās kontroles, kas izriet no riska apstrādes
• Kontrolējiet darbības procesus un ārpakalpojumus
• Tieši sasaistiet pierādījumus ar riskiem, prasībām un kontrolēm
• Ieviesiet regulāras kontroļu pārbaudes, pārskatīšanas un termiņus
• Atgrieziet izņēmumus un jaunus riskus atpakaļ darbībā

6. Izvērtējiet un uzlabojiet efektivitāti

• Definējiet rādītājus un izvērtēšanas metodes
• Uzraugiet, mēriet, analizējiet un izvērtējiet rezultātus
• Plānojiet un veiciet neatkarīgu iekšējo auditu
• Dokumentējiet vadības pārskatus, to ievaddatus un lēmumus
• Novērsiet neatbilstības, analizējiet cēloņus un izsekojiet korektīvās darbības
• Pirms sertifikācijas pārliecinieties, ka dokumentācija un faktiskā prakse sakrīt

Kuri dokumenti iekļaujami kontrolsarakstā?

Standarts prasa dokumentētu informāciju vairākās vietās, taču neuzliek par pienākumu atsevišķu politiku katrai kontrolei. Pareizais apjoms ir atkarīgs no organizācijas lieluma, sarežģītības, riska un ISMS robežām. Darba saraksts parasti ietver:

• ISMS tvērumu un informācijas drošības politiku
• riska novērtēšanas metodi, risku reģistru un riska apstrādes plānu
• Piemērojamības paziņojumu
• informācijas drošības mērķus un rādītājus
• kompetences, apmācību un izpratnes ierakstus
• attiecīgos darbības procesus, politikas un ierakstus
• uzraudzības un mērīšanas rezultātus
• iekšējā audita programmu un ziņojumus
• vadības pārskatu protokolus
• neatbilstību un korektīvo darbību reģistru

Veidne ir tikai sākumpunkts. Ar uzņēmuma nosaukuma un logotipa nomaiņu nepietiek: atbildībām, procesiem, sistēmām un pierādījumiem jāatspoguļo, kā organizācija faktiski strādā.

Bezmaksas ISO 27001 resursi

Praktisku pieredzi var sniegt arī r/ISO27001 kopiena Reddit. Kopienas ieraksti nav oficiālais standarts un nav saistoši audita ieteikumi.

ISO 27001 kursi

Udemy un līdzīgās tirdzniecības platformās cenas bieži atšķiras atkarībā no konta un akcijām. Vienmēr pārbaudiet galīgo cenu pirkuma noformēšanas brīdī.

ISO 27001 rīkkopu cenu salīdzinājums

High Table vecākajās demoversiju un produktu lapās redzamas citas summas nekā tā centrālajā cenu lapā. Tāpēc šajā salīdzinājumā izmantots atsauces datumā pieejamais centrālais cenrādis. Arī GRC Solutions dažādās veikala lapās rāda atšķirīgas paketes vai licencēšanas modeļus; pirms pirkuma pārbaudiet precīzu produktu, termiņu un atjaunošanas izmaksas.

Kura iespēja atbilst kādai vajadzībai?

Biežāk uzdotie jautājumi

Vai pastāv oficiāls bezmaksas ISO 27001 kontrolsaraksts?

Bezmaksas saraksts var sakārtot tēmas, taču tas nav ne oficiālais standarts, ne pilnīgs ieviešanas ceļvedis. Noteicošais joprojām ir piemērojamais standarta teksts. Tā piemērošanai nepieciešamas arī zināšanas par riska pārvaldību, ISMS tvērumu un faktiskajiem darbības procesiem.

Vai katrai organizācijai jāievieš visas 93 A pielikuma kontroles?

Nē. ISO/IEC 27001:2022 prasa uz risku balstītu izvēli. Piemērojamības paziņojumā reģistrē, kuras kontroles ir nepieciešamas, to statusu un iemeslu, kāpēc atsauces kontroles ir izslēgtas.

Vai ar rīkkopu pietiek, lai iegūtu sertifikāciju?

Nē. Rīkkopa var ietaupīt laiku, taču sertifikācijā izvērtē efektīvu, darbojošos ISMS. Auditori pārbauda arī atbildību, riska apstrādi, darbības pierādījumus, iekšējos auditus, vadības pārskatus un nepārtrauktu uzlabošanu.

Kāds ir šī ceļveža cenu atsauces datums?

Katra cena tika pārbaudīta 2026. gada 30. augustā. Noteicošā joprojām ir pakalpojumu sniedzēja aktuālā cena pirkuma noformēšanas brīdī.

Secinājums

ISO 27001 kontrolsaraksts var parādīt, kurām tēmām pirms sertifikācijas jāpievērš uzmanība. Tas nevar automātiski izskaidrot, kā šīs tēmas jāievieš konkrētā organizācijā vai vai rezultāts ir efektīvs. Tam nepieciešamas zināšanas par standartu, pamatota riska metode, izpratne par faktisko darbību un uzticami pierādījumi.

Veidnes un rīkkopas var paātrināt darbu, ja komanda jau saprot, kāds rezultāts tai jāsasniedz. Bez šīm zināšanām vairāk dokumentu galvenokārt rada vairāk materiālu, nevis obligāti labāku ISMS.

Lai kādus materiālus jūs izvēlētos, izšķirošais jautājums paliek nemainīgs: vai dokumentētie noteikumi, faktiskā prakse un uzticami pierādījumi sakrīt? Nepārtraukti uzturot šo saikni, jūs sagatavojaties ne tikai auditam, bet arī izveidojat ilgtspējīgu ISMS. Mūsu ceļvedis par gatavības auditam strukturēšanu skaidro, kā sakārtot apliecinošos pierādījumus.