ISO 27001.
Vzpostavite sistem upravljanja informacijske varnosti, obvladujte tveganja in izberite ustrezno dokazilo za stranke in pogodbene partnerje.
- ISO/IEC 27001:2022 + Amd 1:2024
- Avtor: Jonathan Bezdek
- Stanje: 22. 10. 2026
- Čas branja: 7 min.
Kratek odgovor.
ISO 27001 je mednarodni standard za sisteme upravljanja informacijske varnosti, krajše ISMS. Opisuje, kako organizacije na podlagi tveganj organizirajo, izvajajo in izboljšujejo informacijsko varnost. ISO/IEC 27001:2022 je primeren za različne velikosti in panoge. Neodvisni certifikacijski organ lahko potrdi skladnost sistema upravljanja v določenem obsegu; ISO sam ne izdaja certifikatov.
ISO 27001 in ISMS.
ISO 27001 opisuje zahteve za upravljanje informacijske varnosti. ISMS povezuje odločitve vodstva z ravnanjem z informacijami, ljudmi, procesi in tehnologijo. Varuje zaupnost, celovitost in razpoložljivost: kdo sme videti informacije, kako ostajajo zanesljive in kdaj morajo biti uporabne? Javni opis ISO/IEC 27001:2022 pri tem poudarja pristop na podlagi tveganj.
Objavljena osnovna izdaja je ISO/IEC 27001:2022; dopolnjuje jo Amd 1:2024. Dopolnilo dodaja obravnavo podnebnih vprašanj v kontekstu sistema upravljanja. Po skupnem sporočilu ISO/IAF iz februarja 2024 je namen preveriti njihovo relevantnost za posamezen sistem upravljanja. Iz tega ne izhaja enak program ukrepov za vsako organizacijo.
ISMS je stalno delo organizacije, certificiranje pa eno od možnih zunanjih dokazil o njem. Uvedeno orodje, izpolnjen vprašalnik ali potrdilo o usposabljanju ne nadomešča delovanja sistema upravljanja niti njegove neodvisne ocene.
Za koga je primeren ISO 27001.
ISO 27001 je po javnem opisu ISO primeren za organizacije različnih velikosti in panog. Odločilne so informacije in odvisnosti v izbranem obsegu. Majhen ponudnik storitev zato lahko potrebuje drugačne pristojnosti in postopke kot podjetje z več lokacijami, ne da bi se osnovna naloga upravljanja varnosti spremenila.
Zahteve strank pogosto določajo potreben obseg certificiranja. Razjasnite, ali želi pogodbeni partner oceno določene storitve, lokacije ali pravne osebe. Premišljeno opredeljen obseg mora upoštevati relevantne vmesnike. Zunanje izvajana dejavnost ne izgine iz varnostne obravnave zgolj zato, ker jo izvaja dobavitelj.
Zahteve ISO 27001.
Zahteve ISO 27001 povezujejo upravljanje ISMS z izvajanjem ustreznih varnostnih ukrepov. Naslednjih šest delovnih področij za orientacijo z lastnimi besedami povzema poglavja 4 do 10 standarda ISO/IEC 27001:2022.
Določite kontekst in obseg.
Organizacija opredeli, katere dejavnosti in informacije zajema njen ISMS. Sem sodijo relevantne zahteve zainteresiranih strani in odvisnosti od drugih področij. Za izvajanje je priporočljiv opis, razumljiv tako strokovno odgovornim osebam kot zunanjim bralcem: samo ime storitve še ne pojasni njenih podpornih sistemov in vmesnikov.
Utrdite vodenje in odgovornosti.
Vodstvo daje varnostnemu delu usmeritev, pooblastila in vire. Odgovorne osebe morajo imeti možnost odločanja, ki ustreza njihovim nalogam. Osrednja koordinacijska oseba lahko ohranja pregled; s tem pa ne prevzame samodejno vseh nalog kadrovske službe, nabave, IT ali razvoja.
Ocenjujte in obravnavajte tveganja.
Ocena in obravnava tveganj določata, katere težave je treba obravnavati najprej. Merila ocenjevanja, pristojne osebe in sledljive odločitve povezujejo analizo s konkretnim delom. Izjava o uporabljivosti, imenovana tudi Statement of Applicability ali SoA, beleži izbiro ukrepov in njeno utemeljitev. Priloga A služi kot referenca za varnostne ukrepe.
Uredite vire in dokumentacijo.
Usposobljenost, komunikacija in vzdrževane dokumentirane informacije podpirajo delovanje. Praktično določite, kdo odobri pravilo, kdo ga uporablja in kje je veljavna različica. Obsežna zbirka dokumentov malo pomaga, če njene navedbe odstopajo od dejanskega dela ali če odgovorne osebe ne poznajo svojih nalog.
Ukrepe izvajajte vsakodnevno.
Varnostni ukrepi morajo v izbranem obsegu dejansko delovati. Organizacijski, kadrovski, fizični in tehnični ukrepi se dopolnjujejo. Kot praktičen pripomoček lahko odgovorni za vsak izbrani ukrep zabeležijo, kateri proces varuje in kateri zapisi kažejo njegovo izvajanje. Prispevek o Prilogi A podrobneje obravnava izbiro in izvajanje ukrepov.
Ocenjujte in izboljšujte.
Notranje revizije, vodstveni pregledi in obravnava odstopanj ohranjajo ISMS v razvoju. Organizacija preverja, ali njen način dela ustreza zahtevam in podpira nameravane rezultate. Pri vsakdanjem delu pomaga, če že ob popravku določite, kako boste pozneje prepoznali njegov učinek.
Pot do certifikata ISO 27001.
Dogovorite se o cilju in obsegu.
Za praktičen začetek razjasnite, katero dokazilo je potrebno za katero dejavnost, in opišite obseg z relevantnimi odvisnostmi.
Določite odgovornosti in zmogljivosti.
Imenujte vodstvo s pooblastili za odločanje, koordinacijo in lastnike procesov ter rezervirajte čas za uvedbo in stalno vzdrževanje.
Obravnavajte tveganja in ukrepe.
Uporabite sledljiv postopek ocenjevanja, odločite o obravnavi in v izjavi o uporabljivosti dokumentirajte izbiro ukrepov.
Povežite delovanje in dokazila.
Izvedite izbrane ukrepe in hranite ustrezne zapise iz dejanskega delovanja, namesto da zgolj izpolnjujete predloge dokumentov.
Notranje ocenite in popravite.
Z notranjo revizijo in vodstvenim pregledom pred zunanjim preverjanjem obravnavajte odprte odločitve, odstopanja in potrebe po virih.
Načrtujte zunanje preverjanje in nadaljnje delovanje.
Z ustreznim certifikacijskim organom dogovorite obseg in revizijski program ter po odločitvi o certificiranju nadaljujte delovanje ISMS z zahtevanimi pregledi.
Kaj potrjuje certifikat ISO 27001.
Certifikat ISO 27001 potrjuje ocenjeno skladnost sistema upravljanja v navedenem obsegu. Zato skupaj preverite obseg, izdajo standarda, izdajatelja ter datum veljavnosti in trenutni status. Certifikat ne jamči, da je zajeto vsako področje podjetja ali da v prihodnje ne more priti do varnostnega incidenta.
Certificiranje izvajajo zunanji certifikacijski organi; ISO sam ne izdaja certifikatov. ISO/IEC 27006-1:2024 dopolnjuje zahteve za takšne organe pri certificiranju ISMS. Akreditacija zadeva njihovo usposobljenost in jo je treba razlikovati od certifikata preverjane organizacije. Javna stran ISO o certificiranju pojasnjuje, kako preveriti status certificiranja in akreditacije.
Načrtovanje se ne konča s prvo izdajo. Certifikacijski organ naj vam pojasni revizijski program, pogoje ohranjanja veljavnosti in postopek obnove. Za proračunsko odločitev štejejo te ponavljajoče se storitve skupaj z notranjim delovanjem, ne le prva ponudba.
Preberite več na blogu.
- Kaj je ISMS?Povežite varnostno delo z odločitvami organizacije.
- Priprava na certificiranje ISO 27001Podrobno načrtujte pripravo, obseg dela in preverjanja.
- Priloga A ISO 27001Utrdite izbrane ukrepe v delovanju.
- Notranja revizija ISO 27001Uredite revizijska merila, dokazila in popravke.
- Kontrolni seznam ISO 27001Predhodno razvrstite delovna področja in razpoložljive pripomočke za začetek.
Umestitev drugih okvirov.
ISO 27002 dopolnjuje ISO 27001 z usmeritvami za izvajanje ukrepov informacijske varnosti. IT-Grundschutz opisuje metodologijo BSI za varnostno delo in lastno pot certificiranja. NIS2 za zajete subjekte vzpostavlja samostojne zakonske obveznosti; certifikat ISO 27001 ne nadomešča njihovega preverjanja. TISAX za avtomobilsko dobavno verigo uporablja lasten postopek ocenjevanja in izmenjave rezultatov.
V Secani.
Secani ponuja lasten uredniški katalog preverjanj za ISO/IEC 27001:2022 z dopolnilom Amendment 1:2024. V delovnem prostoru lahko povezano obravnavate ukrepe, dokazila in naloge. Katalog vsebuje lastne izvedbene napotke in ne nadomešča licenciranega besedila standarda; strokovna ocena in odločitev o certificiranju ostajata ločeni nalogi.
Začnite s konkretnim obsegom.
Izberite storitev, za katero potrebujete sledljivo dokazilo o varnosti. Zabeležite, katere informacije, sodelujoče ekipe in dobavitelji sodijo vanjo ter kdo sme odločati o tveganjih. Na tej podlagi se lahko pogovorite o obsegu izvajanja in pričakovanjih glede certifikata.
Nato zaprosite za revizijsko ponudbo na enaki podlagi obsega. Ločite notranje delo, potrebne izboljšave in stroške zunanjega preverjanja. Tako so ponudbe bolj primerljive, ne da bi že obljubili datum certificiranja ali rezultat.
Viri.
- ENX: priročnik za udeležence TISAX
- ISO/IEC 27001:2022 – javna stran standarda
- ISO/IEC 27001:2022/Amd 1:2024
- Sporočilo ISO/IAF o podnebnih dopolnitvah, februar 2024
- ISO – certificiranje in akreditacija
- ISO/IEC 27006-1:2024 – zahteve za certifikacijske organe
- ISO/IEC 27002:2022 – dopolnilne izvedbene smernice
Pogosta vprašanja.
Ne, za vsa podjetja ne obstaja splošna obveznost certificiranja ISO 27001. Ali se zahteva konkretno dokazilo, je odvisno od veljavnih zakonskih, pogodbenih ali sektorskih zahtev.
Brez opredeljenega obsega in izhodiščnega stanja ni mogoče navesti zanesljive enotne cene. Ločeno načrtujte notranje delo, potrebne izboljšave, zunanje revizijske stroške in stalno vzdrževanje.
Izbira temelji na tveganjih in relevantnih zahtevah. Izjava o uporabljivosti dokumentira potrebne ukrepe, stanje njihovega izvajanja in utemeljene izključitve referenčnih ukrepov.
Da. Izvajanje ISMS in njegovo certificiranje pri zunanjem organu sta različni odločitvi; ISO opisuje certificiranje kot izbirno dokazilo.
Ne. Certifikate izdajajo zunanji certifikacijski organi; ISO razvija in objavlja standarde.
Razjasnite obseg.
Pogovorite se o tem, kako lahko v Secani obravnavate zahteve, ukrepe in dokazila.
Ta stran z lastnimi besedami pojasnjuje ISO 27001 in ne nadomešča licenciranega besedila standarda ali strokovnega preverjanja. Odločilne so izvirne publikacije in veljavni postopek certificiranja.