ISO 27001.
Budowa systemu zarządzania bezpieczeństwem informacji, zarządzanie ryzykiem i wybór odpowiedniego potwierdzenia dla klientów i partnerów umownych.
- ISO/IEC 27001:2022 + Amd 1:2024
- Autor: Jonathan Bezdek
- Stan na: 22.10.2026
- Czas czytania: 7 min
Krótka odpowiedź.
ISO 27001 to międzynarodowa norma dotycząca systemów zarządzania bezpieczeństwem informacji, w skrócie SZBI. Opisuje, jak organizacje organizują, prowadzą i doskonalą bezpieczeństwo informacji w oparciu o ryzyko. ISO/IEC 27001:2022 ma zastosowanie do różnych wielkości i branż. Niezależna jednostka certyfikująca może potwierdzić zgodność systemu zarządzania w ustalonym zakresie; samo ISO nie wydaje certyfikatów.
ISO 27001 i SZBI.
ISO 27001 opisuje wymagania dotyczące zarządzania bezpieczeństwem informacji. SZBI łączy decyzje kierownictwa z postępowaniem z informacjami, ludźmi, procesami i technologią. Chronione są poufność, integralność i dostępność: kto może widzieć informacje, jak zachować ich wiarygodność i kiedy muszą być dostępne do użycia? Publiczny opis ISO/IEC 27001:2022 koncentruje się w tym celu na podejściu opartym na ryzyku.
Opublikowane wydanie podstawowe to ISO/IEC 27001:2022; uzupełnia je Amd 1:2024. Zmiana dodaje analizę kwestii klimatycznych w kontekście systemu zarządzania. Zgodnie ze wspólnym komunikatem ISO/IAF z lutego 2024 r. chodzi o sprawdzenie ich znaczenia dla danego systemu zarządzania. Nie wynika z tego identyczny program działań dla każdej organizacji.
SZBI jest bieżącą pracą organizacji, a certyfikacja jednym z możliwych zewnętrznych potwierdzeń tej pracy. Wdrożone narzędzie, wypełniony kwestionariusz lub certyfikat szkolenia nie zastępują ani prowadzenia systemu zarządzania, ani jego niezależnej oceny.
Dla kogo odpowiednia jest ISO 27001.
Według publicznego opisu ISO norma ISO 27001 jest odpowiednia dla organizacji różnych wielkości i branż. Decydują informacje i zależności w wybranym zakresie. Mały usługodawca może zatem potrzebować innego podziału odpowiedzialności i innych procedur niż przedsiębiorstwo wielolokalizacyjne, przy niezmienionym podstawowym zadaniu zarządzania bezpieczeństwem.
Wymagania klientów często określają potrzebny zakres certyfikacji. Należy ustalić, czy partner umowny chce oceny konkretnej usługi, lokalizacji czy osoby prawnej. Świadomie wyznaczony zakres musi uwzględniać istotne interfejsy. Zlecona na zewnątrz działalność nie znika z analizy bezpieczeństwa tylko dlatego, że wykonuje ją dostawca.
Wymagania ISO 27001.
Wymagania ISO 27001 łączą zarządzanie SZBI ze stosowaniem odpowiednich zabezpieczeń. Poniższe sześć obszarów pracy podsumowuje własnymi słowami rozdziały 4–10 ISO/IEC 27001:2022, ułatwiając orientację.
Ustalenie kontekstu i zakresu.
Organizacja określa, jakie działania i informacje obejmuje jej SZBI. Uwzględnia przy tym istotne wymagania stron zainteresowanych i zależności od innych obszarów. Na potrzeby wdrożenia zaleca się opis zrozumiały zarówno dla osób odpowiedzialnych merytorycznie, jak i odbiorców zewnętrznych: sama nazwa usługi nie wyjaśnia wspierających ją systemów i interfejsów.
Umocowanie przywództwa i odpowiedzialności.
Kierownictwo nadaje pracom nad bezpieczeństwem kierunek, uprawnienia i zasoby. Osoby odpowiedzialne muszą móc podejmować decyzje odpowiadające ich zadaniom. Centralny koordynator może zachować ogólny ogląd sytuacji; nie przejmuje przez to automatycznie wszystkich zadań kadr, zakupów, IT czy rozwoju.
Ocena ryzyka i postępowanie z nim.
Ocena ryzyka i postępowanie z ryzykiem określają problemy wymagające pierwszeństwa. Kryteria oceny, osoby odpowiedzialne i przejrzyste decyzje łączą analizę z konkretną pracą. Deklaracja stosowania, nazywana też Statement of Applicability lub SoA, dokumentuje wybór zabezpieczeń i jego uzasadnienie. Załącznik A służy jako punkt odniesienia dla zabezpieczeń.
Organizacja zasobów i dokumentacji.
Kompetencje, komunikacja i aktualne udokumentowane informacje podtrzymują działanie systemu. Należy praktycznie określić, kto zatwierdza wymaganie, kto je stosuje i gdzie znajduje się obowiązująca wersja. Rozbudowany zbiór dokumentów niewiele pomaga, jeśli jego treść odbiega od rzeczywistej pracy lub osoby odpowiedzialne nie znają swoich zadań.
Stosowanie zabezpieczeń w codziennej pracy.
Zabezpieczenia muszą rzeczywiście działać w wybranym zakresie. Środki organizacyjne, osobowe, fizyczne i techniczne wzajemnie się uzupełniają. Pomocne jest zapisanie dla każdego wybranego zabezpieczenia, jaki proces chroni i jakie zapisy potwierdzają jego działanie. Artykuł o załączniku A szczegółowo omawia wybór i stosowanie zabezpieczeń.
Ocena i doskonalenie.
Audyty wewnętrzne, przeglądy zarządzania i postępowanie z niezgodnościami utrzymują rozwój SZBI. Organizacja sprawdza, czy jej sposób pracy odpowiada wymaganiom i wspiera zamierzone wyniki. W codziennej pracy pomocne jest określenie już przy planowaniu korekty, po czym później będzie można poznać jej skuteczność.
Droga do certyfikacji ISO 27001.
Uzgodnienie celu i zakresu.
Na początek należy ustalić, jakie potwierdzenie jest potrzebne dla jakiej działalności, oraz opisać zakres wraz z istotnymi zależnościami.
Ustalenie odpowiedzialności i dostępnych zasobów.
Należy wskazać kierownictwo uprawnione do decyzji, koordynację i właścicieli procesów oraz zarezerwować czas na wdrożenie i bieżące utrzymanie.
Praca nad ryzykami i zabezpieczeniami.
Należy zastosować przejrzystą metodę oceny, zdecydować o postępowaniu z ryzykiem i udokumentować wybór zabezpieczeń w deklaracji stosowania.
Powiązanie działania z dowodami.
Należy wdrożyć wybrane zabezpieczenia i zachowywać odpowiednie zapisy z rzeczywistej działalności, zamiast jedynie wypełniać szablony dokumentów.
Wewnętrzna ocena i korekty.
Należy wykorzystać audyt wewnętrzny i przegląd zarządzania do rozwiązania otwartych decyzji, niezgodności i potrzeb zasobowych przed oceną zewnętrzną.
Planowanie badania zewnętrznego i dalszego działania.
Należy uzgodnić zakres i program audytów z odpowiednią jednostką certyfikującą oraz kontynuować prowadzenie SZBI i wymagane przeglądy po decyzji certyfikacyjnej.
Co potwierdza certyfikat ISO 27001.
Certyfikat ISO 27001 potwierdza ocenioną zgodność systemu zarządzania we wskazanym zakresie. Dlatego należy łącznie sprawdzić zakres, wydanie normy, wystawcę, datę ważności i aktualny status. Certyfikat nie gwarantuje objęcia każdego obszaru przedsiębiorstwa ani braku przyszłych incydentów bezpieczeństwa.
Certyfikację prowadzą zewnętrzne jednostki certyfikujące; samo ISO nie wydaje certyfikatów. ISO/IEC 27006-1:2024 uzupełnia wymagania dla takich jednostek w zakresie certyfikacji SZBI. Akredytacja dotyczy ich kompetencji i należy ją odróżnić od certyfikatu badanej organizacji. Publiczna strona ISO o certyfikacji wyjaśnia, jak sprawdzić status certyfikacji i akredytacji.
Planowanie nie kończy się wraz z pierwszym wydaniem certyfikatu. Należy poprosić jednostkę certyfikującą o wyjaśnienie programu audytów, warunków utrzymania i przebiegu odnowienia. W decyzji budżetowej trzeba uwzględnić te powtarzalne usługi razem z działaniem wewnętrznym, a nie wyłącznie pierwszą ofertę.
Czytaj dalej na blogu.
- Czym jest SZBI?Łączenie prac nad bezpieczeństwem z decyzjami organizacji.
- Przygotowanie do certyfikacji ISO 27001Szczegółowe planowanie przygotowania, nakładów i badań.
- Załącznik A do ISO 27001Osadzenie wybranych zabezpieczeń w działalności.
- Wewnętrzny audyt ISO 27001Organizacja kryteriów audytu, dowodów i korekt.
- Lista kontrolna ISO 27001Wstępne uporządkowanie obszarów pracy i dostępnych pomocy na start.
Relacje z innymi ramami i standardami.
ISO 27002 uzupełnia ISO 27001 wskazówkami dotyczącymi wdrażania zabezpieczeń informacji. IT-Grundschutz opisuje metodykę BSI pracy nad bezpieczeństwem i własną ścieżkę certyfikacji. NIS2 ustanawia odrębne obowiązki ustawowe dla objętych podmiotów; certyfikat ISO 27001 nie zastępuje ich weryfikacji. TISAX stosuje własną procedurę oceny i wymiany wyników w motoryzacyjnym łańcuchu dostaw.
W Secani.
Secani udostępnia własny autorski katalog kontrolny dotyczący ISO/IEC 27001:2022 ze zmianą 1:2024. W obszarze roboczym można łącznie pracować nad zabezpieczeniami, dowodami i zadaniami. Katalog zawiera własne wskazówki wdrożeniowe i nie zastępuje licencjonowanego tekstu normy; ocena merytoryczna i decyzja certyfikacyjna pozostają osobnymi zadaniami.
Początek od konkretnego zakresu.
Należy wybrać usługę wymagającą wiarygodnego potwierdzenia bezpieczeństwa. Trzeba zapisać, jakie informacje, zespoły i dostawcy do niej należą oraz kto może decydować o ryzykach. Na tej podstawie można omówić zakres wdrożenia i oczekiwania wobec certyfikatu.
Następnie należy poprosić o ofertę audytu na podstawie tego samego zakresu. Warto oddzielić nakłady wewnętrzne, niezbędne usprawnienia i koszty badania zewnętrznego. Dzięki temu oferty są bardziej porównywalne, bez obiecywania terminu certyfikacji lub wyniku.
Źródła.
- ENX: podręcznik uczestnika TISAX
- ISO/IEC 27001:2022 – publiczna strona normy
- ISO/IEC 27001:2022/Amd 1:2024
- Komunikat ISO/IAF o uzupełnieniach dotyczących klimatu, luty 2024 r.
- ISO – certyfikacja i akredytacja
- ISO/IEC 27006-1:2024 – wymagania dla jednostek certyfikujących
- ISO/IEC 27002:2022 – uzupełniające wskazówki wdrożeniowe
Najczęstsze pytania.
Nie, nie ma powszechnego obowiązku certyfikacji ISO 27001 dla każdego przedsiębiorstwa. To, czy wymagane jest konkretne potwierdzenie, zależy od właściwych wymagań prawnych, umownych lub branżowych.
Bez zakresu i stanu wyjściowego nie można podać wiarygodnej jednolitej ceny. Należy osobno zaplanować nakłady wewnętrzne, niezbędne usprawnienia, koszty audytów zewnętrznych i bieżącego utrzymania.
Wybór zależy od ryzyk i istotnych wymagań. Deklaracja stosowania dokumentuje niezbędne zabezpieczenia, stan ich wdrożenia i uzasadnione wyłączenia zabezpieczeń referencyjnych.
Tak. Wdrożenie SZBI i jego certyfikacja przez jednostkę zewnętrzną to odrębne decyzje; ISO opisuje certyfikację jako opcjonalne potwierdzenie.
Nie. Certyfikaty wydają zewnętrzne jednostki certyfikujące; ISO opracowuje i publikuje normy.
Ustalenie zakresu.
Porozmawiajmy o pracy nad wymaganiami, zabezpieczeniami i dowodami w Secani.
Strona objaśnia ISO 27001 własnymi słowami i nie zastępuje licencjonowanego tekstu normy ani oceny merytorycznej. Rozstrzygające są publikacje źródłowe i właściwa procedura certyfikacji.