ISO 27002.
Usmernenia k opatreniam informačnej bezpečnosti: čo ISO 27002 usporadúva, ako ju používať a aké dôkazy z toho vznikajú.
- ISO/IEC 27002:2022
- Autor: Jonathan Bezdek
- Stav k: 22. 10. 2026
- Čas čítania: 6 min.
Stručná odpoveď.
ISO 27002 je medzinárodné usmernenie k zavádzaniu opatrení informačnej bezpečnosti. ISO/IEC 27002:2022 usporadúva opatrenia do organizačných, personálnych, fyzických a technologických tém a vysvetľuje ich použitie. Organizácie používajú usmernenia podľa svojich rizík a prevádzky. Samostatná certifikácia ISO 27002 neexistuje; certifikovateľné požiadavky na ISMS obsahuje ISO 27001.
ISO 27002:2022 ako usmernenie k zavádzaniu.
ISO 27002 vysvetľuje bezpečnostné opatrenia, zatiaľ čo ISO 27001 opisuje požiadavky na systém manažérstva informačnej bezpečnosti, skrátene ISMS. Anglické označenie Controls znamená opatrenia na ovplyvňovanie bezpečnostných rizík. Patria sem organizačné postupy aj technické alebo fyzické opatrenia. Katalóg opatrení preto neopisuje iba zoznam produktov ani výlučne prácu oddelenia IT.
Verejná stránka vydavateľa uvádza ISO/IEC 27002:2022 ako tretie vydanie z februára 2022 a spomína opravené anglické znenie z marca 2022. Článok redaktoriek v časopise SC 27 Journal, vydanie z decembra 2022, vysvetľuje na stranách 13 až 15 štruktúru s 93 opatreniami v štyroch témach a doplnkové atribúty. Táto orientácia nenahrádza prácu s oprávnene získanou normou.
Usmernenia sa používajú v kontexte vlastnej organizácie. Produktový opis IEC uvádza využitie v rámci ISMS aj tvorbu bezpečnostných usmernení špecifických pre organizáciu. Samotný prevzatý katalóg ešte neurčuje, ktoré prostredie sa chráni, kto opatrenie prevádzkuje ani či skutočne funguje.
Pre koho je ISO 27002 vhodná.
Podľa verejného opisu ISO je ISO 27002 určená organizáciám rôznych veľkostí a odvetví. Môže podporiť prácu s opatreniami v existujúcom ISMS alebo slúžiť ako orientácia pre bezpečnostnú prácu. Plánovaná certifikácia na to nie je podmienkou. Pred zavedením by malo byť jasné, či potrebujete spoločný odborný jazyk, lepšie zavedenie alebo doklad pre konkrétneho príjemcu.
Na používaní sa bežne podieľa viacero funkcií. Pri praktickom rozdelení práce môžu osoby zodpovedné za bezpečnosť koordinovať výber, vlastníci služieb vysvetliť dotknuté prostredie a odborné útvary prevziať zavedenie. Nákup, personálne oddelenie, správa budov a vývoj sa zapájajú, ak konkrétne opatrenie zasahuje ich procesy. Toto rozdelenie je odporúčaním pre organizáciu práce, nie všeobecne platným obsadením rolí podľa normy.
Opatrenia ISO 27002 ako pracovný základ.
Opatrenia usporadúvajú štyri témy; pri používaní pomáhajú výber a atribúty. Nasledujúcich šesť pracovných oblastí prepája túto štruktúru s praktickými rozhodnutiami a nepredstavuje šesť oficiálnych kapitol normy ani úplný zoznam opatrení.
Organizačná zodpovednosť.
Organizačné opatrenia tvoria samostatnú tému. Pre praktické zavedenie vyjasnite, kde sa rozhodnutie prijíma, schvaľuje a overuje. Zrozumiteľné pravidlo prepája chránenú službu s príslušnou funkciou; samotná existencia dokumentu smernice túto súvislosť ešte nevysvetľuje.
Ľudia a pracovné postupy.
Personálne opatrenia posudzujú bezpečnosť v súvislosti s ľuďmi a ich prácou. Pri používaní overte, ktoré udalosti v každodennej práci vyvolávajú činnosť a kto ju preberá. Školenie a zmena roly potrebujú odlišné zavedenie, aj keď ich oba sprevádza rovnaký odborný útvar.
Fyzické prostredie.
Fyzické opatrenia sa týkajú prostredia, v ktorom sa používajú informácie a podporné prostriedky. Pri praktickom vymedzení rozlišujte vlastné lokality a služby poskytovateľov. Doklad o dátovom centre napríklad automaticky nezodpovedá otázky zaobchádzania so zariadeniami vo vlastnej kancelárii.
Technologické zavedenie.
Technologické opatrenia tvoria štvrtú tému. Pri používaní najskôr opíšte, ktoré systémy a informácie má technické opatrenie pokrývať. Potom možno overiť, či konfigurácia, prevádzkový postup a monitorovanie sú navzájom v súlade. Aktivovaná funkcia je východiskom overovania, nie úplným vyjadrením o účinnosti.
Prepojenie výberu s rizikom.
Používanie by malo vychádzať z potrieb ochrany a rizík posudzovanej prevádzky. Ako praktické odporúčanie zaznamenajte, ktoré rozhodnutie opatrenie podkladá a ktoré závislosti boli zohľadnené. Zostane tak zrozumiteľné, prečo dve služby môžu potrebovať rôzne zavedenie, hoci sa orientujú podľa rovnakého usmernenia.
Využívanie atribútov na zrozumiteľné pohľady.
Podľa článku redaktoriek umožňujú atribúty rôzne pohľady na súbor opatrení. Využívajte takéto pohľady napríklad pri koordinácii organizácie bezpečnosti a osôb zodpovedných za prevádzku. Triedenie uľahčuje orientáciu; nenahrádza rozhodnutie o použití ani dôkaz, že je opatrenie zavedené alebo účinné.
Používanie ISO 27002 v prevádzke.
Vybrať zvládnuteľný rozsah.
Ako praktický začiatok vymedzte službu s jej informáciami, systémami a účastníkmi, aby malo neskoršie zavedenie overiteľnú hranicu.
Zaznamenať základ rozhodnutia.
Pred využitím vhodných usmernení pre prácu s opatreniami opíšte relevantné riziká a obchodné, právne alebo zmluvné požiadavky.
Čítať usmernenia v súvislostiach.
Podľa oprávnene získanej normy posúďte, ktoré usmernenia sú vhodné pre vaše prostredie, a nepovažujte stručný opis za úplný pokyn na zavedenie.
Určiť zavedenie a zodpovednosť.
Dohodnite, čo sa má v posudzovanej prevádzke diať, kto za to zodpovedá a na ktorý existujúci proces práca nadväzuje.
Overiť tvrdenie dôkazmi.
Vyberte záznamy alebo testy, ktoré skutočne pokrývajú opísaný rozsah, a zaznamenajte výsledok, dátum overenia a potrebné nadväzujúce opatrenia.
Opätovne posúdiť zmeny.
Určte vhodné podnety na preskúmanie, napríklad zmenenú službu alebo incident, a s dotknutými zodpovednými osobami aktualizujte rozhodnutie o zavedení.
Preukazovanie bez certifikátu ISO 27002.
Samostatná certifikácia podľa ISO 27002 sa podľa produktových častých otázok ISO nepredpokladá. Kto potrebuje certifikovaný doklad o ISMS, posudzuje ISO 27001 a konkrétny rozsah certifikácie. Samotná ISO takéto certifikácie nevykonáva; podľa stránky ISO o certifikácii ich zabezpečujú externé orgány. Pre usmernenie k zavádzaniu preto neexistuje ani všeobecná doba platnosti certifikátu.
Pre vlastnú prácu s dôkazmi sa odporúča jasné tvrdenie: ktoré zavedenie sa má preukázať v ktorom prostredí? Postup môže opisovať plánovaný spôsob práce, zatiaľ čo záznam ukazuje jeho vykonanie. Test zasa skúma konkrétne očakávanie. Tieto druhy dôkazov sa môžu dopĺňať, ale zodpovedajú rôzne otázky.
Pred odovzdaním dôkazu overte jeho pôvod, obdobie a rozsah. Aktuálne nastavenie nepreukazuje historickú prevádzku; vzorka automaticky nevysvetľuje každú výnimku. Dokumentujte obmedzené pokrytie a následnú prácu namiesto odvodzovania úplného bezpečnostného prísľubu alebo zhody z jedného podkladu.
Zaradenie ďalších rámcov do kontextu.
ISO 27001 opisuje požiadavky na ISMS, ISO 27002 podporuje prácu s opatreniami v ňom. IT-Grundschutz poskytuje vlastnú metodiku BSI so štandardmi a kompendiom. Zákonné povinnosti dotknutých subjektov podľa BSIG treba naďalej preverovať samostatne; používanie usmernenia k zavádzaniu nepotvrdzuje súlad s NIS2.
V Secani.
Secani obsahuje redakčne vytvorený pracovný katalóg k ISO/IEC 27002:2022 s profilovými údajmi okrem iného o cloudových službách, vývoji softvéru a mobilnej práci. Katalóg slúži na systematickú prácu a nie je úradným znením normy. Rozhodnutia o aplikovateľnosti potrebujú odôvodnenie; redakčne vytvorená pomôcka nenahrádza samostatné odborné posúdenie.
Začnite preukázateľným zavedením.
Vyberte službu, ktorej zodpovedné osoby a závislosti poznáte. Zaznamenajte konkrétne bezpečnostné rozhodnutie s jeho podnetom, plánovaným zavedením a vhodným spôsobom overenia. Následne s účastníkmi vyjasnite, či tento opis zodpovedá skutočnej práci v praxi. Až potom možno prístup zmysluplne preniesť na ďalšie služby.
Časté otázky.
Nie. ISO 27002 je usmernenie k zavádzaniu; pre certifikovaný doklad systému manažérstva informačnej bezpečnosti je príslušnou normou požiadaviek ISO 27001.
Nie. Konkrétne zavedenie závisí od kontextu a rizík posudzovaného prostredia; spoločná referencia neznamená rovnaký prevádzkový model pre všetky organizácie.
Nie. Atribúty umožňujú rôzne pohľady na opatrenia a pomáhajú pri usporiadaní; nenahrádzajú rozhodnutie o aplikovateľnosti ani dôkaz zavedenia.
Nie. Zrozumiteľná smernica alebo prevádzkový postup môže podporovať viacero opatrení, ak zostáva zrozumiteľné ich konkrétne zavedenie a zodpovednosť.
Pracujte s opatreniami preukázateľne.
Usporiadajte riziká, zodpovednosť a dôkazy v Secani.
Táto stránka vysvetľuje usmernenie k zavádzaniu. Rozhodujúce sú oprávnene získané normy a konkrétny kontext použitia.