ISO 27001, príloha A: ako uviesť 93 opatrení do prevádzky

Príloha A poskytuje bezpečnostným tímom užitočný referenčný súbor. Jej prevádzková hodnota spočíva v tom, že ukazuje, prečo sa opatrenie uplatňuje, ako je implementované a aké dôkazy ho vo vašom prostredí podporujú. Register s 93 zelenými indikátormi stavu nestačí, ak nikto nevie vysvetliť, ktoré systémy tieto indikátory pokrývajú.

Pre CTO je praktickou výzvou pretaviť zámer opatrení do inžinierskej a prevádzkovej práce bez toho, aby sa systém manažérstva informačnej bezpečnosti zmenil na paralelnú byrokraciu. Preskúmania prístupov by mali používať skutočné údaje o oprávneniach. Plány obnovy by mali odrážať závislosti služieb. Posúdenia dodávateľov by sa mali týkať služieb, ktoré podnik skutočne využíva.

Tento sprievodca vysvetľuje, ako vyberať opatrenia, rozdeľovať vlastníctvo, definovať implementácie a testovať výsledné tvrdenia. Uvedené frekvencie preskúmaní a príklady implementácie sú praktické odporúčania, nie univerzálne intervaly predpísané normou.

Pochopte, čo príloha A robí a čo nerobí

ISO/IEC 27001:2022 obsahuje v prílohe A 93 opatrení v štyroch témach. Kapitoly 4 až 10 obsahujú požiadavky na systém manažérstva: kontext organizácie, vodcovstvo, plánovanie, podporu, prevádzku, hodnotenie výkonnosti a zlepšovanie. Príloha A podporuje výber opatrení; tieto požiadavky ani vaše posúdenie rizík nenahrádza.

Tento rozdiel je pri zavádzaní dôležitý. Konfigurácia zálohovania môže podporovať vybrané opatrenie, nepreukazuje však, že ste definovali rozsah ISMS, posúdili riziká, vykonali interný audit alebo dokončili preskúmanie manažmentom. Sú to samostatné činnosti so samostatnými dôkazmi.

Výber opatrení je založený na rizikách. Určte opatrenia potrebné na ošetrenie vašich rizík a potom ich porovnajte s prílohou A, aby ste overili, že ste nevynechali žiadne potrebné opatrenie. Môžu byť potrebné aj ďalšie opatrenia mimo prílohy A. Naopak, odôvodnené vylúčenie je možné; neexistuje pravidlo, že každá organizácia musí niečo vylúčiť alebo zaviesť presne rovnaký výber.

ISO/IEC 27002:2022 poskytuje návod na implementáciu opatrení. Jej atribúty pomáhajú usporiadať opatrenia podľa typu opatrenia, vlastnosti informačnej bezpečnosti, koncepcie kybernetickej bezpečnosti, prevádzkovej spôsobilosti a bezpečnostnej domény. Sú to užitočné pomôcky na filtrovanie, nie ďalšie certifikačné kontrolné zoznamy. Záväzné znenie nájdete v licencovaných normách.

Využite štyri témy na nájdenie správnych vlastníkov

Témy poskytujú navigačnú štruktúru, nie štyri nezávislé pracovné prúdy. Napríklad proces odchodu zamestnanca prepája pracovnoprávne zodpovednosti, správu identít, vrátenie vybavenia a prístup k aplikáciám.

Organizačné opatrenia: prepojte riadenie s prevádzkovými rozhodnutiami

Tieto opatrenia pokrývajú politiky, zodpovednosti, oddelenie povinností, aktíva, klasifikáciu informácií a zaobchádzanie s nimi, riadenie prístupov, dodávateľov, incidenty, kontinuitu, zákonné povinnosti a preskúmania.

Začnite tým, že určíte, kde sa rozhoduje. Kto schvaľuje novú cloudovú službu? Kto prideľuje klasifikáciu informácií? Kto rozhoduje, či je nahlásená udalosť incidentom? Politika by mala tieto rozhodnutia spraviť opakovateľnými a prideliť právomoci, nie len vyjadrovať podporu bezpečnosti.

Bezpečnosť dodávateľov potrebuje reťazec dôkazov špecifický pre službu: podnikový účel služby, informácie, s ktorými pracuje, posúdené riziká, zmluvné zodpovednosti a priebežné preskúmanie. Správa o uistení od dodávateľa môže toto posúdenie podporiť, jej rozsah, obdobie a zodpovednosti zákazníka však musia zodpovedať vášmu použitiu.

Aj manažérstvo incidentov potrebuje viac než zoznam núdzových kontaktov. Definujte cesty hlásenia, kritériá posúdenia, právomoci pri reakcii, zaobchádzanie s dôkazmi a činnosti na poučenie sa. Zaznamenávajte cvičenia alebo skutočné reakcie vrátane následných opatrení a vlastníkov.

Opatrenia týkajúce sa ľudí: urobte z pracovnoprávnych udalostí spoľahlivé spúšťače

Osem opatrení týkajúcich sa ľudí sa zaoberá preverovaním, pracovnými podmienkami, povedomím a školením, disciplinárnym konaním, zodpovednosťami po zmenách v zamestnaní, dôvernosťou, prácou na diaľku a hlásením udalostí.

Zabudujte ich do existujúcich personálnych procesov. Nový zamestnanec potrebuje primerané povinnosti, prístupy a poučenie. Zamestnanec meniaci rolu potrebuje opätovné posúdenie oprávnení, nie len ich pridanie. Odchádzajúci zamestnanec potrebuje odobratie prístupov, vrátenie aktív a jasnosť o pretrvávajúcich povinnostiach mlčanlivosti.

Vlastníctvo často presahuje tímy. HR môže iniciovať odchod, správcovia identít deaktivujú centrálny účet, vlastníci aplikácií odstránia lokálne spravované prístupy a manažér potvrdí dokončenie. Pridelenie celého procesu bezpečnosti tieto závislosti zakrýva.

Užitočnými dôkazmi sú záznamy o schválených pracovných postupoch, dokončenie školení a sledovanie omeškaných, potvrdené podmienky a vzorky zmien v zamestnaní. Obmedzte prístup k citlivým dôkazom z HR; posudzovateľ opatrení automaticky nepotrebuje úplné osobné spisy.

Fyzické opatrenia: zdokumentujte svoju hranicu a hranicu dodávateľa

Fyzické opatrenia sa týkajú priestorov, vstupu, monitorovania, environmentálnych hrozieb, zabezpečených oblastí, pracovných stolov a obrazoviek, zariadení, médií, podporných služieb, kabeláže, údržby a likvidácie.

Aj organizácia orientovaná na cloud musí zohľadňovať fyzickú bezpečnosť. Časť implementácie môže zabezpečovať poskytovateľ cloudu, zatiaľ čo prístup do kancelárií a zariadenia zamestnancov zostávajú jej vlastnou zodpovednosťou. Toto rozdelenie zaznamenajte, namiesto automatického vylúčenia celej témy.

Pri vlastných priestoroch určte, kto môže vstúpiť, ako sa menia prístupy, kde sa nachádza citlivé vybavenie a ako sa zaobchádza s návštevníkmi. Pri zariadeniach na diaľku definujte uskladnenie, prepravu, opravy a likvidáciu primerane ich rizikám.

Dôkazmi môžu byť záznamy o povolení prístupu, postupy pre návštevníkov, inventáre zariadení a záznamy o likvidácii. Dôkazy dodávateľa by mali vysvetľovať pokryté zariadenia a služby; nemali by sa považovať za dôkaz opatrení vo vašej kancelárii alebo na vašich notebookoch.

Technologické opatrenia: pred výberom nástrojov definujte pokrytie

Technologická téma pokrýva koncové zariadenia, privilegovaný prístup, autentifikáciu, prístup k zdrojovému kódu, kapacitu, malvér, zraniteľnosti, konfigurácie, zaobchádzanie s údajmi, zálohy, odolnosť, logovanie, monitorovanie, siete, kryptografiu, vývoj a riadenie zmien.

Začnite pokrytím systémov. Politika identít je neúplná, ak produkčný prístup, servisné účty alebo samostatne spravovaná aplikácia stoja mimo jej implementácie. Logovacia platforma je neúplná, ak sa do nej kritické udalosti nikdy nedostanú alebo ak na upozornenia nikto nereaguje.

Pri vývoji softvéru prepojte požiadavky a návrhové rozhodnutia s revíziou kódu, bezpečnostným testovaním, oddelením prostredí, zaobchádzaním s testovacími údajmi a schvaľovaním vydaní. Modelovanie hrozieb môže pomôcť identifikovať bezpečnostné požiadavky ešte pred implementáciou. Hĺbka testovania by mala zodpovedať rizikám a povinnostiam; ISO 27001 neukladá univerzálny harmonogram penetračných testov.

Pri kryptografii rozlišujte údaje v pokoji a údaje pri prenose a zdokumentujte vlastníctvo kľúčov, prístup, obnovu, rotáciu a odvolanie. „Šifrovanie zapnuté“ necháva dôležité implementačné otázky bez odpovede.

Čo sa zmenilo v roku 2022 a kde hľadať medzery

Vydanie z roku 2013 malo 114 opatrení v 14 doménach. Vydanie z roku 2022 ich preusporiadalo do 93 opatrení v štyroch témach vrátane 11 nových opatrení. Nižší počet neznamená menej bezpečnostnej práce: konsolidácia môže pod jeden odkaz zaradiť viacero prevádzkových zodpovedností.

Pri aktualizácii staršieho registra zachovajte podkladové implementácie a dôkazy, namiesto toho aby ste len nahradili identifikátory. Overte, či nové zoskupenie mení pokrytie, vlastníctvo alebo testy potrebné na podporu vášho stavu.

Prechodné obdobie pre akreditovanú certifikáciu podľa ISO/IEC 27001:2013 skončilo 31. októbra 2025. Tieto certifikáty už nie sú platné; samotná aktualizácia registra opatrení nepreukazuje certifikáciu podľa vydania z roku 2022.

Nasledujú praktické východiská pre 11 nových opatrení, nie reprodukcia ich záväzného znenia.

Nepovažujte ich za jedenásť automatických nákupov produktov. Napríklad informácie o hrozbách si vyžadujú analýzu a konanie, nie len predplatený zdroj údajov. Vymazanie údajov si vyžaduje pochopenie kópií, záloh a povinností uchovávania, nie len tlačidlo na vymazanie. Monitorovanie potrebuje prevádzkovú cestu reakcie.

Aplikovateľnosť a implementáciu zaznamenávajte oddelene

Vaše vyhlásenie o aplikovateľnosti (SoA) by malo identifikovať potrebné opatrenia, vysvetliť ich zaradenie, zaznamenať, či sú implementované, a odôvodniť vylúčenia opatrení z prílohy A. Tieto požiadavky sú súčasťou ustanovení o ošetrení rizík v ISO/IEC 27001.

Použitie všetkých 93 odkazov ako indexu preskúmania je praktický spôsob, ako spraviť porovnanie preveriteľným. Zahrňte aj všetky ďalšie potrebné opatrenia. SoA nie je registrom rizík, plánom ošetrenia rizík ani úložiskom dôkazov, hoci by s každým z nich malo byť podľa potreby prepojené.

Pri každom aplikovateľnom opatrení zaznamenajte:

• Riziká alebo povinnosti, ktoré podporujú jeho zaradenie.
• Relevantné systémy, lokality, informácie a procesy.
• Skutočnú implementáciu a zodpovedného vlastníka.
• Podporné dôkazy a obdobie ich preskúmania.
• Závislosti, výnimky a nedokončenú prácu.
• Dátum ďalšieho preskúmania alebo spúšťaciu udalosť.

Aplikovateľnosť udržujte nezávislú od stavu realizácie. „Aplikovateľné, čiastočne implementované“ je úprimný a užitočný záznam. „Neaplikovateľné, pretože sme si nekúpili nástroj“ nie je odôvodnením aplikovateľnosti.

Vylúčenie by malo opisovať fakty o rozsahu, vďaka ktorým je opatrenie zbytočné, a zostať v súlade s posúdením rizík. Tvrdenie „nevyvíjame softvér“ si vyžaduje preverenie, ak váš zákaznícky portál vyvíja externý dodávateľ. Outsourcing mení cestu implementácie a dôkazov; riziko automaticky neodstraňuje.

Pri rozdelených implementáciách zaznamenajte rozdelenie. Opatrenie fyzickej ochrany môže závisieť od hostingových zariadení prevádzkovaných dodávateľom, od vstupu do kancelárií spravovaného spoločnosťou a od toho, ako zamestnanci zaobchádzajú so zariadeniami. Jeden vlastník môže zostať zodpovedný za spoločné tvrdenie, zatiaľ čo činnosti vykonávajú rôzne tímy.

Užitočné vyhlásenie o implementácii je dostatočne konkrétne na to, aby sa dalo otestovať: „Administrátori produkcie dostávajú menný schválený prístup cez službu identít; núdzový prístup sa samostatne loguje a preskúmava.“ Formulácia „Prístup je spravovaný bezpečne“ nedokáže usmerniť inžiniera ani posudzovateľa.

Otestujte tvrdenie za stavom

Politika opisuje zamýšľané správanie. Môže preukázať návrh a schválenie, sama však nedokáže preukázať prevádzku. Vybudujte reťazec dôkazov od požiadavky cez implementovaný mechanizmus až po pozorovaný výsledok.

Pri riadení prístupov porovnajte schválené pravidlá so skutočnými oprávneniami používateľov a záznamami o odchodoch. Podľa potreby zahrňte privilegované identity, účty, ktoré nepatria ľuďom, a aplikácie mimo centrálnej správy identít. Zaznamenajte populáciu, vzorku a výnimky, namiesto predloženia jedinej vhodnej snímky obrazovky.

Pri zálohách preverte konfiguráciu a výsledok obnovy. Úspešná zálohovacia úloha preukazuje menej než úspešná obnova použiteľných informácií. Skontrolujte oprávnenia, závislosti a ciele obnovy; obnovená databáza bez šifrovacích kľúčov nemusí obnoviť službu.

Pri bezpečnosti dodávateľov prepojte posúdenie s konkrétnou službou a zmluvnými zodpovednosťami. Preskúmajte, či dôkazy pokrývajú službu, ktorú používate, a či sú implementované identifikované zodpovednosti na strane zákazníka.

Praktický záznam o teste by mal obsahovať očakávaný výsledok, metódu, rozsah, dátum dôkazu, posudzovateľa, výsledok a následné rozhodnutie. Rozlišujte:

• Návrh: navrhovaný mechanizmus rieši identifikované riziko.
• Implementácia: mechanizmus existuje v celom uvedenom rozsahu.
• Prevádzka: záznamy ukazujú, že počas relevantného obdobia fungoval.
• Účinnosť: testovanie naznačuje, že dosahuje zamýšľaný výsledok.

Dôkazmi môžu byť konfigurácie, exporty, tikety, zmluvy, rozhovory a fyzické pozorovania. Vyberajte dôkazy, ktoré podporujú skutočné tvrdenie. Export konfigurácie môže ukazovať aktuálne nastavenia; historické tikety môžu ukazovať, či sa výnimky riešili v priebehu času.

Zachovajte pôvod: zdrojový systém, dátum zberu, pokryté obdobie a prípadné filtrovanie. Dôkazy obsahujúce tajomstvá alebo osobné údaje chráňte obmedzením prístupu a primeraným začiernením. Zber dôkazov by nemal vytvoriť nové nekontrolované úložisko citlivých údajov.

Modelový príklad: preveriteľný proces odchodu zamestnanca

Predstavte si ilustratívnu SaaS spoločnosť so 45 zamestnancami, jednou kanceláriou, hostingom v cloude, centrálne spravovanými identitami a dvoma aplikáciami s lokálnymi účtami. Ide o predpoklady príkladu, nie o výsledky zákazníkov Secani.

Rizikom je pretrvávajúci prístup k informáciám zákazníkov alebo spoločnosti po odchode. Relevantné opatrenia zahŕňajú zodpovednosti pri zmenách v zamestnaní, manažérstvo identít, prístupové práva a vrátenie aktív. Implementáciu podporujú aj technická autentifikácia a obmedzenia prístupu.

Spoločnosť zaznamená opatrenie ako aplikovateľné. HR vlastní spúšťač odchodu; IT vlastní kroky týkajúce sa identít a zariadení; každý vlastník aplikácie vlastní odstránenie lokálnych účtov. Manažér zamestnanca potvrdí požadované načasovanie odchodu. Vlastník bezpečnosti preskúmava proces a nevyriešené výnimky.

Implementácia zahŕňa schválený tiket o odchode, naplánovanú deaktiváciu centrálneho účtu, zrušenie relácií tam, kde je to podporované, odstránenie lokálnych účtov, vrátenie aktív a kontrolu prihlasovacích údajov, ktoré mala osoba pod kontrolou. Zdieľané tajomstvá sa podľa potreby zmenia; osobné účty sa nepriraďujú nástupcovi len tak.

Balík dôkazov prepája schválený postup, tiket o odchode, záznamy o krokoch s účtami, potvrdenia z lokálnych aplikácií a záznam o vybavení. Každá položka podporuje definovanú časť tvrdenia.

Počas ilustratívneho preskúmania tím preverí štyri odchody. Centrálne účty boli deaktivované podľa plánu, no jedna lokálna aplikácia si ponechala prístup ešte dva dni. Opatrenie sa nevyhlási za plne účinné len na základe dôkazov z centrálnej správy identít.

Vlastník aplikácie účet odstráni, posúdi, či došlo k prístupu, a zaznamená výsledok. Tím pridá aplikáciu do kontrolného zoznamu pri odchode a pridelí krok zosúladenia. Ošetrujúce opatrenie dostane vlastníka a termín; neskorší test overí, či upravený postup funguje.

Tento príklad ukazuje, prečo musia dôkazy sledovať závislosti. Štyri systémy hlásiace „dokončené“ nepreukazujú dokončenie, ak piaty systém nebol nikdy zahrnutý.

Udržujte opatrenia v prevádzke aj medzi preskúmaniami

Opatrenia sa menia, keď sa menia systémy, dodávatelia, ľudia a podnikové požiadavky. Popri plánovaných preskúmaniach stanovte spúšťače preskúmania pri významných vydaniach, nových službách, zmenách kancelárií, incidentoch a upravených povinnostiach.

Používajte frekvenciu primeranú volatilite a riziku. Výnimky v privilegovanom prístupe si môžu vyžadovať rýchle preskúmanie, zatiaľ čo stabilná politika môže mať dlhší cyklus doplnený spúšťačmi pri zmenách. Ide o rozhodnutia manažmentu, nie o univerzálne frekvencie prílohy A.

Sledujte malý počet užitočných ukazovateľov: omeškané nápravy, nepokryté systémy, nevyriešené výnimky v dôkazoch a neúspešné testy opatrení. Oddeľte ich od počtu dokumentov. Aj rozsiahla knižnica dôkazov môže nechať kritické produkčné prostredie neotestované.

Interný audit poskytuje samostatné hodnotenie ISMS; bežné preskúmania vlastníkmi opatrení ho nenahrádzajú. Rovnako preskúmanie manažmentom potrebuje rozhodnutia vedenia o výkonnosti, zmenách, zdrojoch a zlepšovaní, nie len vyplnenú tabuľku opatrení. Certifikáciu vykonáva nezávislý certifikačný orgán, nie ISO ani poskytovateľ softvéru.

Medzi časté chyby patrí pridelenie všetkého bezpečnosti, kopírovanie vylúčení inej organizácie, spoliehanie sa na certifikáty dodávateľov bez kontroly rozsahu a uzatváranie zistení pri zmene politiky namiesto po otestovaní upraveného procesu.

Začnite jednou službou a úplným reťazcom dôkazov

Vyberte reprezentatívnu službu a vysledujte jej systémy, poskytovateľov, informácie a prevádzkových vlastníkov. Zvoľte malú sadu súvisiacich opatrení, napríklad prístup, riadenie zmien, logovanie a obnovu, a pred rozšírením registra spravte každú implementáciu preveriteľnou.

Secani tento postup podporuje modelovaním systémov a závislostí, prepájaním dôkazov s požiadavkami, opatreniami a rozhodnutiami a sledovaním medzier ako úloh. Prideľte vlastníka a posudzovateľa, priložte existujúce záznamy a zachovajte komentáre z preskúmania a schválenia. Mapovania alebo súhrny pripravené s pomocou AI považujte za návrhy: overte zdroje a ponechajte ľudské schválenie výslovné. Štruktúrovaná pripravenosť na audit vysvetľuje podporný model dôkazov.

Prvým výstupom by mal byť súdržný reťazec od rizika k opatreniu, implementácii, dôkazom, výsledku testu a následnému rozhodnutiu. Tento reťazec potom možno zopakovať v zvyšku rozsahu bez vymýšľania nového procesu pre každý odkaz prílohy A.

Praktické otázky

Môže jeden záznam podporovať viacero opatrení?

Áno. Tiket o odchode môže podporovať viacero súvisiacich opatrení. Pri každom vysvetlite, ktoré tvrdenie podporuje; zdieľanie dôkazov nerobí opatrenia totožnými.

Musí mať každé opatrenie vlastnú politiku?

Nie. Usporiadajte politiky a postupy okolo zrozumiteľných prevádzkových procesov. Jeden dokument môže riešiť viacero opatrení, pokiaľ zostanú zodpovednosti a implementácia jasné.

Odkiaľ by mal pochádzať záväzný zoznam opatrení?

Pre znenie prílohy A použite licencovanú normu ISO/IEC 27001 a pre návod na implementáciu ISO/IEC 27002. Prevádzkové súhrny sú užitočnými navigačnými pomôckami, nie náhradou noriem.