ISO 27001, Dodatek A: kako 93 kontrol uvesti v prakso

Dodatek A varnostnim ekipam daje uporaben referenčni nabor. Njegova operativna vrednost izhaja iz tega, da pokaže, zakaj se kontrola uporablja, kako je izvedena in katera dokazila jo podpirajo v vašem okolju. Register z 93 zelenimi oznakami stanja ne zadošča, če nihče ne zna pojasniti, katere sisteme te oznake zajemajo.

Za tehničnega direktorja (CTO) je praktični izziv prevesti namen kontrol v inženirsko in operativno delo, ne da bi sistem upravljanja informacijske varnosti postal vzporedna birokracija. Pregledi dostopov naj uporabljajo resnične podatke o pravicah. Načrti obnove naj odražajo odvisnosti storitev. Ocene dobaviteljev naj obravnavajo storitve, ki jih podjetje dejansko uporablja.

Ta vodnik pojasnjuje, kako izbrati kontrole, porazdeliti odgovornosti, opredeliti izvedbe in preizkusiti trditve, ki iz tega izhajajo. Pogostosti pregledov in primeri izvedbe v nadaljevanju so praktična priporočila, ne splošni intervali, ki bi jih predpisoval standard.

Razumite, kaj Dodatek A je in česa ne zagotavlja

ISO/IEC 27001:2022 vsebuje 93 kontrol iz Dodatka A v štirih temah. Točke 4–10 vsebujejo zahteve za sistem upravljanja: kontekst organizacije, voditeljstvo, planiranje, podporo, delovanje, vrednotenje izvedbe in izboljševanje. Dodatek A podpira izbiro kontrol; ne nadomešča teh zahtev ali vaše ocene tveganj.

To razlikovanje je pomembno pri izvedbi. Konfiguracija varnostnega kopiranja lahko podpira izbrano kontrolo, ne dokazuje pa, da ste opredelili obseg ISMS, ocenili tveganja, izvedli notranjo presojo ali opravili vodstveni pregled. To so ločene dejavnosti z ločenimi dokazili.

Izbira kontrol temelji na tveganjih. Določite kontrole, potrebne za obravnavo vaših tveganj, nato pa jih primerjajte z Dodatkom A, da preverite, da niste izpustili nobene potrebne kontrole. Morda bodo potrebne tudi dodatne kontrole zunaj Dodatka A. Nasprotno je utemeljena izključitev mogoča; ni pravila, da mora vsaka organizacija nekaj izključiti ali uvesti povsem enak izbor.

ISO/IEC 27002:2022 daje smernice za izvedbo kontrol. Njegovi atributi pomagajo kontrole razvrstiti po vrsti kontrole, lastnosti informacijske varnosti, konceptu kibernetske varnosti, operativni zmogljivosti in varnostni domeni. To so uporabni pripomočki za filtriranje, ne dodatni kontrolni seznami za certifikacijo. Za verodostojno besedilo uporabite licencirane standarde.

S štirimi temami poiščite prave odgovorne osebe

Teme zagotavljajo strukturo za orientacijo, ne štirih neodvisnih delovnih tokov. Proces odhoda zaposlenega na primer povezuje odgovornosti iz zaposlitve, upravljanje identitet, vračilo opreme in dostop do aplikacij.

Organizacijske kontrole: upravljanje povežite z operativnimi odločitvami

Te kontrole zajemajo politike, odgovornosti, ločevanje dolžnosti, sredstva, razvrščanje informacij in ravnanje z njimi, upravljanje dostopov, dobavitelje, incidente, neprekinjeno poslovanje, pravne obveznosti in dejavnosti pregledovanja.

Začnite z ugotavljanjem, kje se sprejemajo odločitve. Kdo odobri novo storitev v oblaku? Kdo dodeli razvrstitev informacij? Kdo odloči, ali je prijavljeni dogodek incident? Politika naj te odločitve naredi ponovljive in dodeli pooblastila, ne le izraža podporo varnosti.

Varnost dobaviteljev potrebuje verigo dokazil za posamezno storitev: poslovni namen storitve, informacije, ki jih obdeluje, ocenjena tveganja, pogodbene odgovornosti in stalen pregled. Poročilo dobavitelja o zagotovilih lahko podpre to oceno, vendar se morajo njegov obseg, obdobje in odgovornosti stranke ujemati z vašo uporabo.

Tudi upravljanje incidentov potrebuje več kot seznam kontaktov za nujne primere. Opredelite poti prijave, merila ocenjevanja, pooblastila za odziv, ravnanje z dokazi in dejavnosti učenja. Zapišite vaje ali dejanske odzive, vključno z nadaljnjimi ukrepi in odgovornimi osebami.

Kadrovske kontrole: dogodki v zaposlitvi naj bodo zanesljivi sprožilci

Osem kadrovskih kontrol obravnava preverjanje kandidatov, pogoje zaposlitve, ozaveščanje in usposabljanje, disciplinske postopke, odgovornosti po spremembah zaposlitve, zaupnost, delo na daljavo in poročanje o dogodkih.

Vgradite jih v obstoječe kadrovske poteke dela. Novi zaposleni potrebuje ustrezne obveznosti, dostope in navodila. Zaposleni, ki menja vlogo, potrebuje ponovno oceno pravic, ne le dodajanja novih. Zaposleni, ki odhaja, potrebuje odvzem dostopov, vračilo sredstev in jasnost glede nadaljnjih obveznosti zaupnosti.

Odgovornost pogosto obsega več ekip. Kadrovska služba lahko sproži odhod, administratorji identitet onemogočijo osrednji račun, skrbniki aplikacij odstranijo lokalno upravljane dostope, vodja pa potrdi dokončanje. Če celoten proces dodelite varnosti, te odvisnosti skrijete.

Uporabna dokazila vključujejo odobrene zapise potekov dela, opravljena usposabljanja in nadaljnje ukrepe ob zamudah, potrjene pogoje in vzorčene spremembe zaposlitve. Dostop do občutljivih kadrovskih dokazil omejite; pregledovalec kontrol ne potrebuje samodejno celotnih kadrovskih map.

Fizične kontrole: dokumentirajte svojo mejo in mejo dobavitelja

Fizične kontrole obravnavajo prostore, vstop, nadzor, okoljske grožnje, varovana območja, mize in zaslone, opremo, nosilce podatkov, oskrbo, kabelsko napeljavo, vzdrževanje in odstranjevanje.

Tudi organizacija, ki temelji na oblaku, mora upoštevati fizično varnost. Del izvedbe lahko zagotavlja ponudnik storitev v oblaku, medtem ko dostop do pisarn in naprave zaposlenih ostajajo njena odgovornost. To delitev zapišite, namesto da bi samodejno izključili celotno temo.

Za lastne lokacije opredelite, kdo lahko vstopi, kako se spreminjajo dostopi, kje je občutljiva oprema in kako se ravna z obiskovalci. Za naprave na daljavo opredelite shranjevanje, prevoz, popravila in odstranjevanje, ustrezno njihovim tveganjem.

Dokazila lahko vključujejo zapise o odobritvah dostopa, postopke za obiskovalce, popise opreme in zapise o odstranjevanju. Dokazila dobavitelja naj pojasnijo zajete objekte in storitve; ne smete jih obravnavati kot dokaz kontrol v vaši pisarni ali na prenosnikih.

Tehnološke kontrole: pokritost opredelite pred izbiro orodij

Tehnološka tema zajema končne naprave, privilegirane dostope, avtentikacijo, dostop do izvorne kode, zmogljivosti, zlonamerno programsko opremo, ranljivosti, konfiguracije, ravnanje s podatki, varnostne kopije, odpornost, beleženje, spremljanje, omrežja, kriptografijo, razvoj in upravljanje sprememb.

Začnite s pokritostjo sistemov. Politika identitet je nepopolna, če proizvodni dostop, storitveni računi ali ločeno upravljana aplikacija niso vključeni v njeno izvedbo. Platforma za beleženje je nepopolna, če kritični dogodki nikoli ne pridejo do nje ali se nihče ne odziva na opozorila.

Pri razvoju programske opreme zahteve in odločitve o zasnovi povežite s pregledom kode, varnostnim testiranjem, ločevanjem okolij, ravnanjem s testnimi podatki in odobritvijo izdaje. Modeliranje groženj lahko pomaga opredeliti varnostne zahteve pred izvedbo. Globina testiranja naj sledi tveganjem in obveznostim; ISO 27001 ne predpisuje splošnega razporeda penetracijskih testov.

Pri kriptografiji ločite podatke v mirovanju od podatkov v prenosu in dokumentirajte odgovornost za ključe, dostop, obnovo, menjavo in preklic. „Šifriranje je vklopljeno“ pusti pomembna vprašanja izvedbe neodgovorjena.

Kaj se je spremenilo leta 2022 in kje iskati vrzeli

Izdaja iz leta 2013 je imela 114 kontrol v 14 domenah. Izdaja iz leta 2022 jih je preuredila v 93 kontrol v štirih temah, vključno z 11 novimi kontrolami. Manjše število ne pomeni manj varnostnega dela: združevanje lahko pod en sklic postavi več operativnih odgovornosti.

Pri posodabljanju starejšega registra ohranite obstoječe izvedbe in dokazila, namesto da bi le zamenjali identifikatorje. Preverite, ali novo združevanje spremeni pokritost, odgovornosti ali teste, potrebne za podporo vašega stanja.

Prehodni rok za akreditirano certifikacijo po ISO/IEC 27001:2013 je bil 31. oktober 2025. Ti certifikati niso več veljavni; zgolj posodobitev registra kontrol ne pomeni certifikacije po izdaji iz leta 2022.

Spodaj so praktična izhodišča za 11 novih kontrol, ne povzetki njihovega verodostojnega besedila.

Teh kontrol ne obravnavajte kot enajst samodejnih nakupov izdelkov. Obveščevalni podatki o grožnjah na primer potrebujejo analizo in ukrepanje, ne le naročenega vira. Brisanje podatkov zahteva razumevanje kopij, varnostnih kopij in obveznosti hrambe, ne le gumba za brisanje. Spremljanje potrebuje operativno pot odziva.

Uporabnost in izvedbo zapisujte ločeno

Vaša izjava o uporabnosti (SoA) naj opredeli potrebne kontrole, pojasni njihovo vključitev, zapiše, ali so izvedene, in utemelji izključitve kontrol iz Dodatka A. Te zahteve so del določb o obravnavi tveganj v ISO/IEC 27001.

Uporaba vseh 93 sklicev kot kazala za pregled je praktičen način, da je primerjava preverljiva. Vključite tudi vse dodatne potrebne kontrole. Izjava o uporabnosti ni register tveganj, načrt obravnave ali skladišče dokazil, čeprav naj bo, kjer je relevantno, povezana z vsakim od njih.

Za vsako uporabno kontrolo zajemite:

• Tveganja ali obveznosti, ki podpirajo vključitev.
• Relevantne sisteme, lokacije, informacije in procese.
• Dejansko izvedbo in odgovorno osebo.
• Podporna dokazila in obdobje njihovega pregleda.
• Odvisnosti, izjeme in nedokončano delo.
• Datum naslednjega pregleda ali sprožilni dogodek.

Uporabnost ohranite neodvisno od stanja izvedbe. „Uporabna, delno izvedena“ je pošten in uporaben zapis. „Ni uporabna, ker orodja še nismo kupili“ ni utemeljitev uporabnosti.

Izključitev naj opiše dejstva o obsegu, zaradi katerih kontrola ni potrebna, in ostane skladna z oceno tveganj. „Ne razvijamo programske opreme“ zahteva natančen premislek, če vaš portal za stranke razvija zunanji izvajalec. Zunanje izvajanje spremeni pot izvedbe in dokazil; tveganja pa ne odpravi samodejno.

Pri porazdeljenih izvedbah zapišite delitev. Kontrola fizične zaščite je lahko odvisna od gostiteljskih objektov, ki jih upravlja dobavitelj, vstopa v pisarne, ki ga upravlja podjetje, in ravnanja zaposlenih z napravami. Ena oseba lahko ostane odgovorna za skupno trditev, medtem ko dejavnosti izvajajo različne ekipe.

Uporabna izjava o izvedbi je dovolj konkretna, da jo je mogoče preizkusiti: „Administratorji proizvodnega okolja prejmejo poimenski, odobren dostop prek storitve identitete; nujni dostop se ločeno beleži in pregleduje.“ Izjava „Dostop se upravlja varno“ ne more usmerjati inženirja ali pregledovalca.

Preizkusite trditev za oznako stanja

Politika opisuje nameravano ravnanje. Dokaže lahko zasnovo in odobritev, sama pa ne more dokazati delovanja. Zgradite verigo dokazil od zahteve do izvedenega mehanizma in nato do opazovanega rezultata.

Pri upravljanju dostopov primerjajte odobrena pravila z dejanskimi pravicami uporabnikov in zapisi o odhodih. Kjer je relevantno, vključite privilegirane identitete, nečloveške račune in aplikacije zunaj osrednjega upravljanja identitet. Zapišite populacijo, vzorec in izjeme, namesto da bi predstavili en sam priročen posnetek zaslona.

Pri varnostnih kopijah preglejte konfiguracijo in rezultat obnove. Uspešno opravilo varnostnega kopiranja dokazuje manj kot uspešna obnova uporabnih informacij. Preverite pravice, odvisnosti in cilje obnove; obnovljena podatkovna baza brez šifrirnih ključev morda ne obnovi storitve.

Pri varnosti dobaviteljev oceno povežite z določeno storitvijo in pogodbenimi odgovornostmi. Preverite, ali dokazila zajemajo storitev, ki jo uporabljate, in ali so ugotovljene odgovornosti na strani stranke izvedene.

Praktičen zapis o testu naj vsebuje pričakovani izid, metodo, obseg, datum dokazila, pregledovalca, rezultat in odločitev o nadaljnjih korakih. Ločite:

• Zasnova: predlagani mehanizem obravnava ugotovljeno tveganje.
• Izvedba: mehanizem obstaja v celotnem navedenem obsegu.
• Delovanje: zapisi kažejo, da je deloval v relevantnem obdobju.
• Učinkovitost: testiranje kaže, da dosega nameravani izid.

Dokazila lahko vključujejo konfiguracije, izvoze, zahtevke, pogodbe, intervjuje in fizična opažanja. Izberite dokazila, ki podpirajo dejansko trditev. Izvoz konfiguracije lahko pokaže trenutne nastavitve; pretekli zahtevki lahko pokažejo, ali so bile izjeme skozi čas obravnavane.

Ohranite izvor: izvorni sistem, datum zbiranja, zajeto obdobje in morebitno filtriranje. Dokazila, ki vsebujejo skrivnosti ali osebne podatke, zaščitite z omejitvami dostopa in ustreznim prekrivanjem. Zbiranje dokazil ne sme ustvariti novega nenadzorovanega skladišča občutljivih podatkov.

Primer: proces odhoda zaposlenega naj bo preverljiv

Vzemimo ponazoritveno podjetje SaaS s 45 zaposlenimi, eno pisarno, gostovanjem v oblaku, osrednje upravljanimi identitetami in dvema aplikacijama z lokalnimi računi. To so predpostavke primera, ne rezultati strank Secanija.

Tveganje je nadaljnji dostop do informacij strank ali podjetja po odhodu. Relevantne kontrole vključujejo odgovornosti ob spremembi zaposlitve, upravljanje identitet, pravice dostopa in vračilo sredstev. Izvedbo podpirajo tudi tehnična avtentikacija in omejitve dostopa.

Podjetje kontrolo zapiše kot uporabno. Kadrovska služba je odgovorna za sprožilec odhoda; IT za ukrepe pri identitetah in napravah; vsak skrbnik aplikacije za odstranitev lokalnih računov. Vodja zaposlenega potrdi zahtevani čas odhoda. Varnostni skrbnik pregleda proces in nerazrešene izjeme.

Izvedba vključuje odobren zahtevek za odhod, načrtovano onemogočenje osrednjega računa, preklic sej, kjer je to podprto, odstranitev lokalnih računov, vračilo sredstev in preverjanje poverilnic, ki jih je posameznik upravljal. Skupne skrivnosti se po potrebi zamenjajo; osebni računi se ne prenašajo kar tako na naslednika.

Paket dokazil povezuje odobreni postopek, zahtevek za odhod, zapise o ukrepih na računih, potrditve za lokalne aplikacije in zapis o opremi. Vsak element podpira opredeljen del trditve.

Med ponazoritvenim pregledom ekipa preuči štiri odhode. Osrednji računi so bili onemogočeni po načrtu, ena lokalna aplikacija pa je dostop ohranila še dva dni. Kontrola samo na podlagi dokazil o osrednjih identitetah ni razglašena za povsem učinkovito.

Skrbnik aplikacije odstrani račun, oceni, ali je prišlo do dostopa, in zapiše izid. Ekipa aplikacijo doda na kontrolni seznam za odhode in dodeli korak usklajevanja. Ukrep obravnave dobi odgovorno osebo in rok; poznejši test preveri, ali prenovljeni potek dela deluje.

Primer kaže, zakaj morajo dokazila slediti odvisnostim. Štirje sistemi z oznako „dokončano“ ne dokazujejo dokončanja, če peti sistem nikoli ni bil vključen.

Kontrole naj delujejo tudi med pregledi

Kontrole se spreminjajo, ko se spreminjajo sistemi, dobavitelji, ljudje in poslovne zahteve. Poleg načrtovanih pregledov določite sprožilce pregledov za pomembne izdaje, nove storitve, spremembe pisarn, incidente in spremenjene obveznosti.

Uporabite pogostost, ki ustreza spremenljivosti in tveganju. Izjeme pri privilegiranih dostopih morda potrebujejo hiter pregled, medtem ko lahko stabilna politika uporablja daljši cikel, dopolnjen s sprožilci sprememb. To so odločitve vodstva, ne splošne pogostosti iz Dodatka A.

Spremljajte majhno število uporabnih kazalnikov: zamujene odprave, nepokrite sisteme, nerazrešene izjeme pri dokazilih in neuspešne teste kontrol. Ločite jih od števila dokumentov. Velika knjižnica dokazil lahko še vedno pusti kritično proizvodno okolje nepreizkušeno.

Notranja presoja zagotavlja ločeno vrednotenje ISMS; rutinski pregledi skrbnikov kontrol je ne nadomeščajo. Tudi vodstveni pregled potrebuje odločitve vodstva o izvedbi, spremembah, virih in izboljšavah, ne le izpolnjene preglednice kontrol. Certifikacijo izvede neodvisen certifikacijski organ, ne ISO ali ponudnik programske opreme.

Pogoste napake so dodeljevanje vsega varnosti, kopiranje izključitev druge organizacije, zanašanje na certifikate dobaviteljev brez preverjanja obsega in zapiranje ugotovitev ob spremembi politike namesto takrat, ko je prenovljeni proces preizkušen.

Začnite z eno storitvijo in popolno verigo dokazil

Izberite reprezentativno storitev in sledite njenim sistemom, ponudnikom, informacijam in operativnim odgovornim osebam. Izberite manjši nabor povezanih kontrol, na primer dostope, upravljanje sprememb, beleženje in obnovo, in vsako izvedbo naredite preverljivo, preden register razširite.

Secani ta potek dela podpira z modeliranjem sistemov in odvisnosti, povezovanjem dokazil z zahtevami, kontrolami in odločitvami ter spremljanjem vrzeli kot nalog. Dodelite odgovorno osebo in pregledovalca, priložite obstoječe zapise ter ohranite komentarje in odobritve pregledov. Preslikave ali povzetke s pomočjo UI obravnavajte kot osnutke: preverite vire in poskrbite, da je človeška odobritev izrecna. Strukturirana pripravljenost na presojo pojasnjuje podporni model dokazil.

Prvi rezultat naj bo skladna veriga od tveganja do kontrole, izvedbe, dokazila, rezultata testa in odločitve o nadaljnjih korakih. To verigo lahko nato ponovite v preostalem obsegu, ne da bi za vsak sklic iz Dodatka A izumljali nov proces.

Praktična vprašanja

Ali lahko en zapis podpira več kontrol?

Da. Zahtevek za odhod lahko podpira več povezanih kontrol. Za vsako pojasnite, katero trditev podpira; skupna dokazila kontrol ne naredijo enakih.

Ali mora imeti vsaka kontrola svojo politiko?

Ne. Politike in postopke organizirajte okoli razumljivih operativnih procesov. En dokument lahko obravnava več kontrol, če odgovornosti in izvedba ostanejo jasne.

Od kod naj izhaja verodostojen seznam kontrol?

Za besedilo Dodatka A uporabite licenciran standard ISO/IEC 27001, za smernice za izvedbo pa ISO/IEC 27002. Operativni povzetki so uporabni pripomočki za orientacijo, ne nadomestek standardov.