ISO 27001.
Izveidojiet informācijas drošības pārvaldības sistēmu, pārvaldiet riskus un izvēlieties klientiem un līgumpartneriem piemērotu apliecinājumu.
- ISO/IEC 27001:2022 + Amd 1:2024
- Autors: Jonathan Bezdek
- Aktualizēts: 22.10.2026
- Lasīšanas laiks: 6 min.
Īsā atbilde.
ISO 27001 ir starptautisks informācijas drošības pārvaldības sistēmu jeb ISMS standarts. Tas apraksta, kā organizācijas, balstoties uz riskiem, organizē, īsteno un pilnveido informācijas drošību. ISO/IEC 27001:2022 piemērojams dažāda lieluma un nozaru organizācijām. Neatkarīga sertifikācijas iestāde var apliecināt pārvaldības sistēmas atbilstību noteiktajā darbības jomā; ISO pati sertifikātus neizsniedz.
ISO 27001 un ISMS.
ISO 27001 apraksta prasības informācijas drošības pārvaldībai. ISMS sasaista vadības lēmumus ar informācijas, cilvēku, procesu un tehnoloģiju pārvaldību. Aizsargā konfidencialitāti, integritāti un pieejamību: kas drīkst redzēt informāciju, kā tā saglabā uzticamību un kad tai jābūt izmantojamai? ISO/IEC 27001:2022 publiskajā aprakstā galvenā uzmanība tam pievērsta uz riskiem balstītai pieejai.
Publicētais pamatizdevums ir ISO/IEC 27001:2022; to papildina Amd 1:2024. Grozījums papildina ar klimatu saistīto jautājumu izvērtēšanu pārvaldības sistēmas kontekstā. Saskaņā ar ISO/IAF kopīgo 2024. gada februāra paziņojumu jāizvērtē šo jautājumu būtiskums attiecīgajai pārvaldības sistēmai. No tā neizriet visām organizācijām vienāda pasākumu programma.
ISMS ir organizācijas nepārtrauktais darbs, savukārt sertifikācija ir viens no iespējamiem ārējiem šā darba apliecinājumiem. Ieviests rīks, aizpildīta anketa vai apmācību sertifikāts neaizstāj ne pārvaldības sistēmas darbību, ne tās neatkarīgu novērtēšanu.
Kam piemērots ISO 27001.
Saskaņā ar ISO publisko aprakstu ISO 27001 ir piemērots dažāda lieluma un nozaru organizācijām. Izšķiroša ir informācija un atkarības izvēlētajā darbības jomā. Tādēļ mazam pakalpojumu sniedzējam var būt vajadzīgs cits atbildības sadalījums un procesi nekā uzņēmumam ar vairākām darbības vietām, lai gan drošības pārvaldības pamatuzdevums nemainās.
Klientu prasības bieži nosaka nepieciešamo sertifikācijas aptvērumu. Noskaidrojiet, vai līgumpartneris vēlas novērtēt konkrētu pakalpojumu, darbības vietu vai juridisko personu. Apzināti norobežotai darbības jomai jāņem vērā būtiskās saskarnes. Ārpakalpojumā nodota darbība nepazūd no drošības izvērtējuma tikai tāpēc, ka to veic piegādātājs.
ISO 27001 prasības.
ISO 27001 prasības sasaista ISMS vadību ar piemērotu drošības pasākumu darbību. Tālāk minētās sešas darba jomas orientācijai saviem vārdiem apkopo ISO/IEC 27001:2022 4.–10. nodaļu.
Noteikt kontekstu un darbības jomu.
Organizācija norobežo, kuras darbības un informāciju aptver tās ISMS. Tas ietver ieinteresēto pušu būtiskās prasības un atkarības no citām jomām. Praktiskai ieviešanai ieteicams apraksts, ko vienlīdz saprot atbildīgie speciālisti un ārējie lasītāji: pakalpojuma nosaukums vien vēl neizskaidro tā atbalsta sistēmas un saskarnes.
Nostiprināt vadību un atbildību.
Vadība nosaka drošības darba virzienu, pilnvaras un resursus. Atbildīgajiem jāspēj pieņemt saviem uzdevumiem atbilstošus lēmumus. Centrāla koordinējoša persona var nodrošināt kopējo pārskatu; tādēļ tā automātiski nepārņem visus personāla nodaļas, iepirkuma, IT vai izstrādes uzdevumus.
Novērtēt un apstrādāt riskus.
Risku novērtēšana un apstrāde nosaka, kuras problēmas risināmas vispirms. Novērtēšanas kritēriji, atbildīgās personas un izsekojami lēmumi sasaista analīzi ar konkrētu darbu. Piemērojamības paziņojumā jeb Statement of Applicability (SoA) fiksē pasākumu atlasi un tās pamatojumu. A pielikums kalpo kā drošības pasākumu atsauces kopums.
Organizēt resursus un dokumentāciju.
Kompetence, saziņa un uzturēta dokumentētā informācija nodrošina darbību. Praktiski nosakiet, kas apstiprina prasību, kas to piemēro un kur atrodama spēkā esošā versija. Plaša dokumentu kolekcija maz palīdz, ja to saturs atšķiras no faktiskā darba vai atbildīgie nezina savus uzdevumus.
Īstenot pasākumus ikdienā.
Drošības pasākumiem izvēlētajā aptvērumā faktiski jādarbojas. Organizatoriskie, personāla, fiziskie un tehniskie pasākumi savstarpēji papildina cits citu. Kā praktisku darba palīglīdzekli atbildīgie katram izvēlētajam pasākumam var fiksēt, kuru procesu tas aizsargā un kādi ieraksti apliecina tā darbību. Raksts par A pielikumu padziļina pasākumu atlases un darbības jautājumus.
Novērtēt un pilnveidot.
Iekšējie auditi, vadības pārskati un neatbilstību novēršana nodrošina ISMS attīstību. Organizācija pārbauda, vai tās darba veids atbilst prasībām un veicina paredzētos rezultātus. Ikdienā ir noderīgi jau koriģēšanas laikā noteikt, kā vēlāk varēs atpazīt tās iedarbību.
Ceļš uz ISO 27001 sertifikāciju.
Vienoties par mērķi un darbības jomu.
Praktiski sākot darbu, noskaidrojiet, kāds apliecinājums vajadzīgs kurai darbībai, un aprakstiet darbības jomu, tostarp tās būtiskās atkarības.
Noteikt atbildību un kapacitāti.
Norādiet lēmumu pieņemšanai pilnvaroto vadību, koordinatorus un procesu atbildīgos un rezervējiet laiku ieviešanai un pastāvīgai uzturēšanai.
Strādāt ar riskiem un pasākumiem.
Piemērojiet izsekojamu novērtēšanas metodi, lemiet par apstrādi un dokumentējiet pasākumu atlasi piemērojamības paziņojumā.
Sasaistīt darbību un pierādījumus.
Ieviesiet izvēlētos pasākumus un saglabājiet atbilstošus faktiskās darbības ierakstus, neaprobežojoties tikai ar dokumentu veidņu aizpildīšanu.
Iekšēji novērtēt un koriģēt.
Izmantojiet iekšējo auditu un vadības pārskatu, lai pirms ārējās pārbaudes izskatītu neatrisinātos lēmumus, neatbilstības un resursu vajadzības.
Plānot ārējo pārbaudi un turpmāko darbību.
Vienojieties ar piemērotu sertifikācijas iestādi par aptvērumu un audita programmu un pēc sertifikācijas lēmuma turpiniet ISMS darbību ar nepieciešamajām pārbaudēm.
Ko apliecina ISO 27001 sertifikāts.
ISO 27001 sertifikāts apliecina novērtēto pārvaldības sistēmas atbilstību norādītajā darbības jomā. Tādēļ kopā pārbaudiet darbības jomu, standarta izdevumu, izdevējiestādi, derīguma datumu un pašreizējo statusu. Sertifikāts negarantē, ka aptvertas visas uzņēmuma jomas vai ka nākotnē nevar rasties drošības incidents.
Sertifikāciju veic ārējās sertifikācijas iestādes; ISO pati sertifikātus neizsniedz. ISO/IEC 27006-1:2024 papildina prasības šādām iestādēm ISMS sertifikācijai. Akreditācija attiecas uz to kompetenci, un tā jāatšķir no pārbaudītās organizācijas sertifikāta. ISO publiskajā sertifikācijas lapā skaidrots, kā pārbaudīt sertifikācijas un akreditācijas statusu.
Plānošana nebeidzas ar pirmreizēju sertifikāta izsniegšanu. Lūdziet sertifikācijas iestādei izskaidrot audita programmu, sertifikāta uzturēšanas nosacījumus un atjaunošanas kārtību. Budžeta lēmumā jāņem vērā šie periodiskie pakalpojumi kopā ar iekšējo darbību, ne tikai pirmais piedāvājums.
Lasiet vairāk emuārā.
- Kas ir ISMS?Sasaistiet drošības darbu ar organizācijas lēmumiem.
- Sagatavošanās ISO 27001 sertifikācijaiDetalizēti plānojiet sagatavošanos, darba apjomu un pārbaudes.
- ISO 27001 A pielikumsNostipriniet izvēlētos pasākumus ikdienas darbībā.
- Iekšējais ISO 27001 auditsOrganizējiet audita kritērijus, pierādījumus un korekcijas.
- ISO 27001 kontrolsarakstsSākotnēji sakārtojiet darba jomas un pieejamos palīglīdzekļus darba sākšanai.
Citu ietvaru konteksts.
ISO 27002 papildina ISO 27001 ar norādījumiem informācijas drošības pasākumu ieviešanai. IT-Grundschutz apraksta BSI metodiku drošības darbam un atsevišķu sertifikācijas ceļu. NIS2 aptvertajām struktūrām rada patstāvīgus likumā noteiktus pienākumus; ISO 27001 sertifikāts neaizstāj to pārbaudi. TISAX autobūves piegādes ķēdei izmanto savu novērtēšanas un rezultātu apmaiņas procedūru.
Secani vidē.
Secani nodrošina pašu izstrādātu pārbaudes katalogu ISO/IEC 27001:2022 ar Amendment 1:2024. Darbvietā var savstarpēji saistīti pārvaldīt pasākumus, pierādījumus un uzdevumus. Katalogā ir pašu izstrādāti ieviešanas norādījumi, un tas neaizstāj licencēto standarta tekstu; profesionālā novērtēšana un sertifikācijas lēmums paliek atsevišķi uzdevumi.
Sāciet ar konkrētu darbības jomu.
Izvēlieties pakalpojumu, kam nepieciešams izsekojams drošības apliecinājums. Fiksējiet, kāda informācija, iesaistītās komandas un piegādātāji tajā ietilpst un kam ir tiesības lemt par riskiem. Pamatojoties uz to, var apspriest ieviešanas aptvērumu un gaidas attiecībā uz sertifikātu.
Pēc tam pieprasiet audita piedāvājumu, balstoties uz to pašu darbības jomu. Atsevišķi nodaliet iekšējo darbu, nepieciešamos uzlabojumus un ārējās pārbaudes izmaksas. Tā piedāvājumus var labāk salīdzināt, iepriekš nesolot sertifikācijas datumu vai rezultātu.
Avoti.
- ENX: TISAX dalībnieka rokasgrāmata
- ISO/IEC 27001:2022 — publiskā standarta lapa
- ISO/IEC 27001:2022/Amd 1:2024
- ISO/IAF paziņojums par papildinājumiem klimata jautājumos, 2024. gada februāris
- ISO — sertifikācija un akreditācija
- ISO/IEC 27006-1:2024 — prasības sertifikācijas iestādēm
- ISO/IEC 27002:2022 — papildu ieviešanas norādījumi
Biežākie jautājumi.
Nē, nav vispārēja pienākuma katram uzņēmumam iegūt ISO 27001 sertifikāciju. Tas, vai vajadzīgs konkrēts apliecinājums, atkarīgs no piemērojamajām tiesību aktu, līgumu vai nozares prasībām.
Bez darbības jomas un sākotnējā stāvokļa nevar nosaukt pamatotu vienotu cenu. Atsevišķi plānojiet iekšējo darbu, vajadzīgos uzlabojumus, ārējo auditu izmaksas un pastāvīgo uzturēšanu.
Atlase ir atkarīga no riskiem un būtiskajām prasībām. Piemērojamības paziņojumā dokumentē nepieciešamos pasākumus, to ieviešanas stāvokli un pamatotus atsauces pasākumu izņēmumus.
Jā. ISMS ieviešana un tās sertificēšana ārējā iestādē ir atšķirīgi lēmumi; ISO sertifikāciju apraksta kā izvēles apliecinājumu.
Nē. Sertifikātus izsniedz ārējās sertifikācijas iestādes; ISO izstrādā un publicē standartus.
Noskaidrojiet darbības jomu.
Pārrunājiet, kā pārvaldīt prasības, pasākumus un pierādījumus Secani vidē.
Šī lapa saviem vārdiem skaidro ISO 27001 un neaizstāj licencēto standarta tekstu vai profesionālu pārbaudi. Noteicošas ir oriģinālās publikācijas un piemērojamā sertifikācijas procedūra.