ISO 27002.
Wytyczne dotyczące zabezpieczeń informacji: co porządkuje ISO 27002, jak je stosować i jakie dowody powstają w wyniku tej pracy.
- ISO/IEC 27002:2022
- Autor: Jonathan Bezdek
- Stan na: 22.10.2026
- Czas czytania: 6 min
Krótka odpowiedź.
ISO 27002 to międzynarodowy przewodnik wdrażania zabezpieczeń informacji. ISO/IEC 27002:2022 porządkuje zabezpieczenia w tematy organizacyjne, osobowe, fizyczne i technologiczne oraz wyjaśnia ich stosowanie. Organizacje korzystają z wytycznych odpowiednio do ryzyk i działalności. Nie ma odrębnej certyfikacji ISO 27002; wymagania SZBI podlegające certyfikacji zawiera ISO 27001.
ISO 27002:2022 jako pomoc we wdrożeniu.
ISO 27002 wyjaśnia zabezpieczenia, a ISO 27001 opisuje wymagania systemu zarządzania bezpieczeństwem informacji, w skrócie SZBI. Angielski termin Controls oznacza środki wpływające na ryzyka bezpieczeństwa. Obejmuje to zarówno procedury organizacyjne, jak i środki techniczne lub fizyczne. Katalog zabezpieczeń nie opisuje więc wyłącznie listy produktów ani samej pracy działu IT.
Publiczna strona wydawcy wskazuje ISO/IEC 27002:2022 jako trzecie wydanie z lutego 2022 r. i wymienia skorygowaną wersję angielską z marca 2022 r. Artykuł redaktorek w SC-27-Journal, wydanie z grudnia 2022 r., wyjaśnia na stronach 13–15 strukturę 93 zabezpieczeń w czterech tematach i dodatkowe atrybuty. Ta orientacja nie zastępuje pracy z legalnie pozyskaną normą.
Wytyczne stosuje się w kontekście własnej organizacji. Opis produktu IEC wymienia zarówno wykorzystanie w SZBI, jak i tworzenie wytycznych bezpieczeństwa właściwych dla organizacji. Sam przejęty katalog nie określa jeszcze chronionego środowiska, osoby utrzymującej zabezpieczenie ani jego rzeczywistej skuteczności.
Dla kogo odpowiednia jest ISO 27002.
Według publicznego opisu ISO norma ISO 27002 jest skierowana do organizacji różnych wielkości i branż. Może wspierać pracę nad zabezpieczeniami istniejącego SZBI lub służyć jako punkt odniesienia dla bezpieczeństwa. Planowanie certyfikacji nie jest warunkiem. Przed wdrożeniem należy ustalić, czy potrzebny jest wspólny język specjalistyczny, lepsze wdrożenie czy dowód dla konkretnego odbiorcy.
W stosowaniu uczestniczy zwykle kilka funkcji. Jako praktyczny podział pracy osoby odpowiedzialne za bezpieczeństwo mogą koordynować wybór, właściciele usług wyjaśniać środowisko, a jednostki merytoryczne wdrażać środki. Zakupy, kadry, utrzymanie budynków i rozwój uczestniczą, o ile dane zabezpieczenie dotyczy ich procesów. Ten podział jest zaleceniem organizacji pracy, a nie uniwersalnym przydziałem ról wynikającym z normy.
Zabezpieczenia ISO 27002 jako podstawa pracy.
Cztery tematy porządkują zabezpieczenia; wybór i atrybuty pomagają w ich stosowaniu. Poniższe sześć obszarów pracy łączy tę strukturę z praktycznymi decyzjami, nie stanowiąc sześciu oficjalnych rozdziałów normy ani pełnej listy zabezpieczeń.
Odpowiedzialność organizacyjna.
Zabezpieczenia organizacyjne tworzą osobny temat. W praktycznym wdrożeniu należy ustalić, gdzie podejmuje się, zatwierdza i weryfikuje decyzję. Zrozumiała regulacja łączy chronioną usługę z właściwą funkcją; samo istnienie dokumentu polityki nie wyjaśnia tego związku.
Ludzie i przebieg pracy.
Zabezpieczenia osobowe rozpatrują bezpieczeństwo w związku z ludźmi i ich pracą. Przy stosowaniu należy sprawdzić, jakie zdarzenia w codziennej pracy wywołują działanie i kto je wykonuje. Szkolenie i zmiana roli wymagają różnych realizacji, nawet jeśli wspiera je ta sama jednostka.
Otoczenie fizyczne.
Zabezpieczenia fizyczne dotyczą środowiska, w którym używane są informacje i wspierające je środki. Przy praktycznym wyznaczaniu granic należy rozróżniać własne lokalizacje i usługi dostawców. Dowód dotyczący centrum danych nie odpowiada na przykład automatycznie na pytania o urządzenia we własnym biurze.
Wdrożenie technologiczne.
Zabezpieczenia technologiczne stanowią czwarty temat. Przy ich stosowaniu należy najpierw opisać systemy i informacje, które ma obejmować środek techniczny. Następnie można sprawdzić spójność konfiguracji, eksploatacji i monitorowania. Włączona funkcja jest punktem wyjścia do badania, a nie pełną oceną skuteczności.
Powiązanie wyboru z ryzykiem.
Stosowanie powinno wynikać z potrzeb ochrony i ryzyk rozpatrywanej działalności. Praktycznie zaleca się zapisanie decyzji uzasadniającej zabezpieczenie i uwzględnionych zależności. Pozwala to zrozumieć, dlaczego dwie usługi mogą wymagać różnych wdrożeń mimo korzystania z tych samych wytycznych.
Wykorzystanie atrybutów do zrozumiałych widoków.
Zgodnie z artykułem redaktorek atrybuty umożliwiają różne widoki zbioru zabezpieczeń. Można je wykorzystać na przykład w uzgodnieniach organizacji bezpieczeństwa z osobami odpowiedzialnymi operacyjnie. Sortowanie ułatwia nawigację; nie zastępuje decyzji o zastosowaniu ani dowodu wdrożenia lub skuteczności zabezpieczenia.
Stosowanie ISO 27002 w działalności.
Wybór przystępnego zakresu.
Na początek należy wyodrębnić usługę z informacjami, systemami i uczestnikami, aby późniejsze wdrożenie miało weryfikowalne granice.
Zapisanie podstawy decyzji.
Należy opisać istotne ryzyka oraz wymagania biznesowe, prawne lub umowne przed wykorzystaniem odpowiednich wytycznych do pracy nad zabezpieczeniami.
Czytanie wytycznych w kontekście.
Na podstawie legalnie pozyskanej normy należy sprawdzić, jakie wskazówki pasują do środowiska, i nie traktować krótkiego opisu jako pełnego wymagania wdrożeniowego.
Określenie wdrożenia i odpowiedzialności.
Należy uzgodnić, co ma się dziać w danej działalności, kto za to odpowiada i z jakim istniejącym procesem łączy się praca.
Weryfikacja twierdzeń dowodami.
Należy wybrać zapisy lub testy rzeczywiście obejmujące opisany zakres i zanotować wynik, datę badania i niezbędne działania następcze.
Ponowna ocena zmian.
Należy ustalić odpowiednie przesłanki przeglądu, na przykład zmianę usługi lub incydent, i aktualizować decyzję wdrożeniową z zainteresowanymi osobami odpowiedzialnymi.
Dowody bez certyfikatu ISO 27002.
Według FAQ produktu ISO nie przewidziano odrębnej certyfikacji ISO 27002. Potrzebując certyfikowanego potwierdzenia SZBI, należy rozpatrzyć ISO 27001 i konkretny zakres certyfikacji. Samo ISO nie prowadzi takich certyfikacji; zgodnie ze stroną ISO o certyfikacji zajmują się tym jednostki zewnętrzne. Nie ma więc także ogólnej ważności certyfikatu dla tych wytycznych wdrożeniowych.
W pracy dowodowej zaleca się jasne pytanie: jakie wdrożenie w jakim środowisku ma zostać wykazane? Procedura może opisywać planowany sposób pracy, a zapis pokazywać jej wykonanie. Test z kolei bada konkretne oczekiwanie. Te rodzaje dowodów mogą się uzupełniać, lecz odpowiadają na różne pytania.
Przed przekazaniem dowodu należy sprawdzić jego pochodzenie, okres i zakres. Aktualne ustawienie nie wykazuje historycznego działania; próba nie wyjaśnia automatycznie każdego wyjątku. Należy dokumentować ograniczone pokrycie i wynikające prace, zamiast wywodzić z pojedynczego dokumentu pełne zapewnienie bezpieczeństwa lub zgodności.
Relacje z innymi ramami i standardami.
ISO 27001 opisuje wymagania SZBI, a ISO 27002 wspiera pracę nad jego zabezpieczeniami. IT-Grundschutz dostarcza własną metodykę BSI ze standardami i kompendium. Obowiązki ustawowe podmiotów objętych BSIG nadal wymagają osobnej analizy; wykorzystanie wskazówek wdrożeniowych nie potwierdza zgodności z NIS2.
W Secani.
Secani zawiera autorski katalog roboczy dotyczący ISO/IEC 27002:2022 z danymi profilu między innymi o usługach chmurowych, rozwoju oprogramowania i pracy mobilnej. Katalog służy uporządkowanej pracy i nie jest urzędowym tekstem normy. Decyzje o stosowaniu wymagają uzasadnienia; autorska pomoc nie zastępuje samodzielnej oceny merytorycznej.
Początek od przejrzystego wdrożenia.
Należy wybrać usługę o znanych właścicielach i zależnościach. Zapisać konkretną decyzję bezpieczeństwa z jej przyczyną, planowanym wdrożeniem i odpowiednią ścieżką badania. Następnie ustalić z uczestnikami, czy opis odpowiada rzeczywistej praktyce. Dopiero potem można sensownie przenieść podejście na kolejne usługi.
Najczęstsze pytania.
Nie. ISO 27002 stanowi wskazówki wdrożeniowe; właściwą normą wymagań dla certyfikowanego potwierdzenia systemu zarządzania bezpieczeństwem informacji jest ISO 27001.
Nie. Konkretne wdrożenie zależy od kontekstu i ryzyk badanego środowiska; wspólny punkt odniesienia nie oznacza identycznego modelu działania dla wszystkich organizacji.
Nie. Atrybuty umożliwiają różne widoki zabezpieczeń i pomagają je porządkować; nie zastępują decyzji o stosowaniu ani dowodu wdrożenia.
Nie. Zrozumiała polityka lub proces operacyjny może wspierać kilka zabezpieczeń, jeżeli wdrożenie i odpowiedzialność dla każdego pozostają przejrzyste.
Przejrzysta praca nad zabezpieczeniami.
Uporządkuj ryzyka, odpowiedzialność i dowody w Secani.
Strona objaśnia wskazówki wdrożeniowe. Rozstrzygające są legalnie pozyskane normy i konkretny kontekst zastosowania.