ISO 27001.
Vybudujte systém manažérstva informačnej bezpečnosti, riaďte riziká a vyberte vhodný spôsob preukázania pre zákazníkov a zmluvných partnerov.
- ISO/IEC 27001:2022 + Amd 1:2024
- Autor: Jonathan Bezdek
- Stav k: 22. 10. 2026
- Čas čítania: 7 min.
Stručná odpoveď.
ISO 27001 je medzinárodná norma pre systémy manažérstva informačnej bezpečnosti, skrátene ISMS. Opisuje, ako organizácie organizujú, prevádzkujú a zlepšujú informačnú bezpečnosť na základe rizík. ISO/IEC 27001:2022 je určená rôznym veľkostiam a odvetviam. Nezávislý certifikačný orgán môže potvrdiť zhodu systému manažérstva vo vymedzenom rozsahu; samotná ISO certifikáty nevydáva.
ISO 27001 a ISMS.
ISO 27001 opisuje požiadavky na manažérstvo informačnej bezpečnosti. ISMS prepája rozhodnutia vedenia so zaobchádzaním s informáciami, ľuďmi, procesmi a technikou. Chráni dôvernosť, integritu a dostupnosť: kto smie vidieť informácie, ako zostávajú spoľahlivé a kedy musia byť použiteľné? Verejný opis ISO/IEC 27001:2022 stavia do centra prístup založený na rizikách.
Zverejneným základným vydaním je ISO/IEC 27001:2022; dopĺňa ho Amd 1:2024. Táto zmena dopĺňa posudzovanie klimatických tém v kontexte systému manažérstva. Podľa spoločného komuniké ISO/IAF z februára 2024 ide o preverenie ich relevantnosti pre príslušný systém manažérstva. Nevyplýva z toho rovnaký program opatrení pre každú organizáciu.
ISMS je priebežnou prácou organizácie a certifikácia jedným z možných externých dokladov o nej. Zavedený nástroj, vyplnený dotazník ani osvedčenie zo školenia nenahrádzajú prevádzku systému manažérstva ani jeho nezávislé posúdenie.
Pre koho je ISO 27001 vhodná.
Podľa verejného opisu ISO je ISO 27001 vhodná pre organizácie rôznych veľkostí a odvetví. Rozhodujúce sú informácie a závislosti vo zvolenom rozsahu pôsobnosti. Malý poskytovateľ služieb preto môže potrebovať iné zodpovednosti a postupy než podnik s viacerými lokalitami bez toho, aby sa menila základná úloha riadenia bezpečnosti.
Požiadavky zákazníkov často určujú potrebný rozsah certifikácie. Vyjasnite, či chce zmluvný partner posúdiť konkrétnu službu, lokalitu alebo právnickú osobu. Zámerne vymedzený rozsah musí zohľadňovať relevantné rozhrania. Externe zabezpečovaná činnosť neprestáva byť súčasťou bezpečnostného posudzovania iba preto, že ju vykonáva dodávateľ.
Požiadavky ISO 27001.
Požiadavky ISO 27001 spájajú riadenie ISMS s prevádzkou vhodných bezpečnostných opatrení. Nasledujúcich šesť pracovných oblastí vlastnými slovami sumarizuje kapitoly 4 až 10 ISO/IEC 27001:2022 na účely orientácie.
Určiť kontext a rozsah pôsobnosti.
Organizácia vymedzuje, ktoré činnosti a informácie jej ISMS zahŕňa. Patria sem relevantné požiadavky zainteresovaných strán a závislosti od ďalších oblastí. Pri zavádzaní sa odporúča opis zrozumiteľný odborným zodpovedným osobám aj externým čitateľom: samotný názov služby ešte nevysvetľuje jej podporné systémy a rozhrania.
Ukotviť vedenie a zodpovednosť.
Vedenie dáva bezpečnostnej práci smer, právomoci a zdroje. Zodpovedné osoby musia vedieť prijímať rozhodnutia zodpovedajúce ich úlohám. Centrálna koordinujúca osoba môže udržiavať prehľad; automaticky tým nepreberá všetky úlohy personálneho oddelenia, nákupu, IT alebo vývoja.
Posudzovať a ošetrovať riziká.
Posudzovanie a ošetrovanie rizík určujú, ktoré problémy sa riešia ako prvé. Hodnotiace kritériá, zodpovedné osoby a zdôvodnené rozhodnutia spájajú analýzu s konkrétnou prácou. Vyhlásenie o aplikovateľnosti, tiež Statement of Applicability alebo SoA, zaznamenáva výber opatrení a jeho odôvodnenie. Príloha A pritom slúži ako referencia pre bezpečnostné opatrenia.
Organizovať zdroje a dokumentáciu.
Odborná spôsobilosť, komunikácia a udržiavané zdokumentované informácie podporujú prevádzku. Prakticky určte, kto požiadavku schvaľuje, kto ju uplatňuje a kde nájsť platné znenie. Rozsiahly súbor dokumentov veľmi nepomôže, ak sa ich tvrdenia líšia od skutočnej práce alebo zodpovedné osoby nepoznajú svoje úlohy.
Prevádzkovať opatrenia v každodennej praxi.
Bezpečnostné opatrenia musia vo zvolenom rozsahu skutočne fungovať. Organizačné, personálne, fyzické a technické opatrenia sa navzájom dopĺňajú. Ako praktickú pomôcku môžu zodpovedné osoby pri každom vybranom opatrení zaznamenať, ktorý proces chráni a ktoré záznamy dokladajú prevádzku. Blog o prílohe A podrobnejšie vysvetľuje výber a prevádzku opatrení.
Hodnotiť a zlepšovať.
Interné audity, preskúmania manažmentom a riešenie nezhôd udržiavajú ISMS v pohybe. Organizácia overuje, či jej spôsob práce spĺňa požiadavky a podporuje zamýšľané výsledky. Pre každodennú prax pomáha už pri náprave určiť, podľa čoho sa neskôr rozpozná jej účinok.
Cesta k certifikácii ISO 27001.
Dohodnúť cieľ a rozsah.
Ako praktický začiatok si vyjasnite, aký doklad potrebujete pre ktorú činnosť, a opíšte rozsah pôsobnosti vrátane relevantných závislostí.
Určiť zodpovednosti a kapacity.
Pomenujte vedenie s rozhodovacou právomocou, koordináciu a vlastníkov procesov a vyhraďte čas na zavedenie aj priebežnú údržbu.
Riešiť riziká a opatrenia.
Použite zrozumiteľný postup hodnotenia, rozhodnite o ošetrení a zdokumentujte výber opatrení vo vyhlásení o aplikovateľnosti.
Prepojiť prevádzku a dôkazy.
Zaveďte vybrané opatrenia a uchovávajte vhodné záznamy zo skutočnej prevádzky namiesto samotného vypĺňania šablón dokumentov.
Interne posúdiť a napraviť.
Využite interný audit a preskúmanie manažmentom na vyriešenie otvorených rozhodnutí, nezhôd a potrieb zdrojov pred externým overovaním.
Naplánovať externé overovanie a ďalšiu prevádzku.
Dohodnite s vhodným certifikačným orgánom rozsah a program auditov a po rozhodnutí o certifikácii ďalej prevádzkujte ISMS s potrebnými preskúmaniami.
Čo vypovedá certifikát ISO 27001.
Certifikát ISO 27001 potvrdzuje posúdenú zhodu systému manažérstva v uvedenom rozsahu pôsobnosti. Preto spoločne overujte rozsah, vydanie normy, vydávajúci orgán, dátum platnosti aj aktuálny stav. Certifikát nezaručuje, že bola zahrnutá každá časť podniku alebo že v budúcnosti nemôže nastať bezpečnostný incident.
Certifikáciu vykonávajú externé certifikačné orgány; samotná ISO certifikáty nevydáva. ISO/IEC 27006-1:2024 dopĺňa požiadavky na tieto orgány pri certifikácii ISMS. Akreditácia sa týka ich spôsobilosti a treba ju odlišovať od certifikátu posudzovanej organizácie. Verejná stránka ISO o certifikácii vysvetľuje, ako overiť stav certifikácie a akreditácie.
Plánovanie sa nekončí prvým vydaním certifikátu. Nechajte si od certifikačného orgánu vysvetliť program auditov, podmienky udržiavania a postup obnovy. Pri rozhodovaní o rozpočte sa počítajú tieto opakované služby spolu s internou prevádzkou, nielen prvá ponuka.
Ďalšie čítanie na blogu.
- Čo je ISMS?Prepojte bezpečnostnú prácu s rozhodnutiami organizácie.
- Príprava na certifikáciu ISO 27001Podrobne naplánujte prípravu, úsilie a overovanie.
- ISO 27001, príloha AUkotvite vybrané opatrenia v prevádzke.
- Interný audit ISO 27001Usporiadajte kritériá auditu, dôkazy a nápravy.
- Kontrolný zoznam ISO 27001Predbežne usporiadajte pracovné oblasti a existujúce pomôcky na začiatok.
Zaradenie ďalších rámcov do kontextu.
ISO 27002 dopĺňa ISO 27001 usmerneniami k zavádzaniu opatrení informačnej bezpečnosti. IT-Grundschutz opisuje metodiku BSI pre bezpečnostnú prácu a vlastný certifikačný postup. NIS2 stanovuje pre dotknuté subjekty samostatné zákonné povinnosti; certifikát ISO 27001 nenahrádza ich posúdenie. TISAX používa pre automobilový dodávateľský reťazec vlastný postup posudzovania a výmeny výsledkov.
V Secani.
Secani poskytuje vlastný redakčne vytvorený kontrolný katalóg k ISO/IEC 27001:2022 so zmenou Amendment 1:2024. V pracovnom priestore možno spoločne spracúvať opatrenia, dôkazy a úlohy. Katalóg obsahuje vlastné usmernenia k zavádzaniu a nenahrádza licencované znenie normy; odborné posúdenie a rozhodnutie o certifikácii zostávajú samostatnými úlohami.
Začnite konkrétnym rozsahom pôsobnosti.
Vyberte službu, pre ktorú potrebujete zrozumiteľný bezpečnostný doklad. Zaznamenajte príslušné informácie, zapojené tímy a dodávateľov aj to, kto smie rozhodovať o rizikách. Na tomto základe možno prediskutovať rozsah zavedenia a očakávania od certifikátu.
Následne požiadajte o ponuku auditu založenú na rovnakom rozsahu. Oddeľte interné úsilie, potrebné zlepšenia a náklady externého overovania. Ponuky tak budú porovnateľnejšie bez toho, aby ste už sľubovali termín certifikácie alebo výsledok.
Zdroje.
- ENX: príručka pre účastníkov TISAX
- ISO/IEC 27001:2022 – verejná stránka normy
- ISO/IEC 27001:2022/Amd 1:2024
- Komuniké ISO/IAF o doplneniach súvisiacich s klímou, február 2024
- ISO – certifikácia a akreditácia
- ISO/IEC 27006-1:2024 – požiadavky na certifikačné orgány
- ISO/IEC 27002:2022 – doplnkové usmernenia k zavádzaniu
Časté otázky.
Nie, všeobecná povinnosť certifikácie ISO 27001 pre každý podnik neexistuje. Či sa vyžaduje konkrétny doklad, závisí od uplatniteľných zákonných, zmluvných alebo odvetvových požiadaviek.
Spoľahlivú jednotnú cenu nemožno uviesť bez znalosti rozsahu pôsobnosti a východiskového stavu. Samostatne plánujte interné úsilie, potrebné zlepšenia, náklady externého auditu a priebežné udržiavanie.
Výber sa riadi rizikami a relevantnými požiadavkami. Vyhlásenie o aplikovateľnosti dokumentuje potrebné opatrenia, stav ich zavedenia a zdôvodnené vylúčenia referenčných opatrení.
Áno. Zaviesť ISMS a dať ho certifikovať externým orgánom sú odlišné rozhodnutia; ISO opisuje certifikáciu ako voliteľný spôsob preukázania.
Nie. Certifikáty vydávajú externé certifikačné orgány; ISO tvorí a publikuje normy.
Vyjasnite rozsah pôsobnosti.
Prediskutujte, ako môžete v Secani pracovať s požiadavkami, opatreniami a dôkazmi.
Táto stránka vysvetľuje ISO 27001 vlastnými slovami a nenahrádza licencované znenie normy ani odborné posúdenie. Rozhodujúce sú pôvodné publikácie a uplatniteľný certifikačný postup.