ISO 27002.
Smernice za ukrepe informacijske varnosti: kaj ureja ISO 27002, kako ga uporabljate in katera dokazila iz tega nastajajo.
- ISO/IEC 27002:2022
- Avtor: Jonathan Bezdek
- Stanje: 22. 10. 2026
- Čas branja: 6 min.
Kratek odgovor.
ISO 27002 je mednarodna pomoč pri izvajanju ukrepov informacijske varnosti. ISO/IEC 27002:2022 razvršča kontrole v organizacijske, kadrovske, fizične in tehnološke teme ter pojasnjuje njihovo uporabo. Organizacije smernice uporabljajo skladno s svojimi tveganji in delovanjem. Samostojno certificiranje ISO 27002 ne obstaja; zahteve za ISMS, po katerih se je mogoče certificirati, vsebuje ISO 27001.
ISO 27002:2022 kot izvedbena pomoč.
ISO 27002 pojasnjuje varnostne ukrepe, ISO 27001 pa opisuje zahteve za sistem upravljanja informacijske varnosti, krajše ISMS. Angleški izraz Controls pomeni ukrepe za vplivanje na varnostna tveganja. Mednje sodijo tako organizacijski postopki kot tehnične ali fizične rešitve. Katalog ukrepov zato ne opisuje zgolj seznama izdelkov ali samo dela oddelka IT.
Javna stran izdajatelja navaja ISO/IEC 27002:2022 kot tretjo izdajo iz februarja 2022 in popravljeno angleško različico iz marca 2022. Članek urednic v reviji SC-27 Journal, izdaja december 2022, na straneh 13 do 15 pojasnjuje strukturo s 93 ukrepi v štirih temah in dodatne atribute. Ta orientacija ne nadomešča dela z zakonito pridobljenim standardom.
Smernice se uporabljajo v kontekstu lastne organizacije. Opis izdelka IEC navaja tako uporabo znotraj ISMS kot razvoj varnostnih smernic za posamezno organizacijo. Sam prevzet katalog še ne določa, katero okolje se varuje, kdo izvaja ukrep ali ali ukrep dejansko deluje.
Za koga je primeren ISO 27002.
ISO 27002 je po javnem opisu ISO namenjen organizacijam različnih velikosti in panog. Podpira lahko delo z ukrepi obstoječega ISMS ali služi kot orientacija za varnostno delo. Načrtovano certificiranje ni pogoj. Pred uvedbo naj bo jasno, ali potrebujete skupen strokovni jezik, boljše izvajanje ali dokazilo za določenega prejemnika.
Pri uporabi praviloma sodeluje več funkcij. Kot praktično delitev dela lahko odgovorni za varnost koordinirajo izbiro, odgovorni za storitve pojasnijo zadevno okolje, strokovna področja pa prevzamejo izvajanje. Nabava, kadrovska služba, upravljanje stavb in razvoj se vključijo, če konkretni ukrep posega v njihove procese. Ta delitev je priporočilo za organizacijo dela, ne splošno veljavna razporeditev vlog iz standarda.
Kontrole ISO 27002 kot delovna podlaga.
Ukrepe strukturirajo štiri teme; izbira in atributi pomagajo pri njihovi uporabi. Naslednjih šest delovnih področij to strukturo povezuje s praktičnimi odločitvami, ne predstavlja pa šestih uradnih poglavij standarda ali celotnega seznama ukrepov.
Organizacijska odgovornost.
Organizacijski ukrepi so samostojna tema. Za praktično izvajanje razjasnite, kje se odločitev sprejme, odobri in preveri. Razumljiva ureditev povezuje varovano storitev s pristojno funkcijo; sam obstoj dokumenta politike te povezave še ne pojasni.
Ljudje in delovni postopki.
Kadrovski ukrepi obravnavajo varnost v povezavi z ljudmi in njihovim delom. Pri uporabi preverite, kateri dogodki v vsakdanjem delu sprožijo dejanje in kdo ga izvede. Usposabljanje in sprememba vloge potrebujeta različni izvedbi, tudi če oboje spremlja isto strokovno področje.
Fizično okolje.
Fizični ukrepi zadevajo okolje, v katerem se uporabljajo informacije in podporna sredstva. Pri praktični opredelitvi razlikujte lastne lokacije in storitve ponudnikov. Dokazilo o podatkovnem centru na primer ne odgovori samodejno na vprašanja ravnanja z napravami v lastni pisarni.
Tehnološka izvedba.
Tehnološki ukrepi so četrta tema. Za uporabo najprej opišite, katere sisteme in informacije naj tehnična rešitev zajema. Nato lahko preverite usklajenost konfiguracije, operativnega postopka in spremljanja. Omogočena funkcija je izhodišče za preverjanje, ne celovita ugotovitev o učinkovitosti.
Izbiro povežite s tveganjem.
Uporaba naj izhaja iz potreb po zaščiti in tveganj obravnavanega delovanja. Kot praktično priporočilo zabeležite odločitev, ki utemeljuje ukrep, in upoštevane odvisnosti. Tako ostaja sledljivo, zakaj lahko dve storitvi potrebujeta različni izvedbi, čeprav uporabljata iste smernice za orientacijo.
Atribute uporabite za razumljive poglede.
Po članku urednic atributi omogočajo različne poglede na nabor ukrepov. Take poglede uporabite na primer za usklajevanje med varnostno organizacijo in odgovornimi za delovanje. Razvrščanje olajša navigacijo; ne nadomešča odločitve o uporabi ali dokaza, da je ukrep izveden oziroma učinkovit.
Uporaba ISO 27002 v delovanju.
Izberite obvladljiv obseg.
Za praktičen začetek opredelite storitev z informacijami, sistemi in udeleženci, da bo poznejša izvedba imela preverljive meje.
Zabeležite podlago za odločanje.
Opišite relevantna tveganja ter poslovne, pravne ali pogodbene zahteve, preden uporabite ustrezne smernice za delo z ukrepi.
Smernice berite v kontekstu.
Na podlagi zakonito pridobljenega standarda preverite, kateri napotki ustrezajo vašemu okolju, in kratkega opisa ne obravnavajte kot popolne izvedbene zahteve.
Določite izvedbo in odgovornost.
Dogovorite, kaj naj se zgodi v obravnavanem delovanju, kdo je za to odgovoren in na kateri obstoječi proces se delo navezuje.
Navedbo preverite z dokazili.
Izberite zapise ali preizkuse, ki dejansko zajemajo opisani obseg, ter zabeležite rezultat, datum preverjanja in potrebne nadaljnje ukrepe.
Ponovno ocenite spremembe.
Določite ustrezne razloge za ponoven pregled, na primer spremenjeno storitev ali incident, ter z zadevnimi odgovornimi osebami posodobite odločitev o izvedbi.
Dokazovanje brez certifikata ISO 27002.
Samostojno certificiranje po ISO 27002 po pogostih vprašanjih ISO o izdelku ni predvideno. Kdor potrebuje certificirano dokazilo ISMS, obravnava ISO 27001 in konkretni obseg certificiranja. ISO sam takšnih certificiranj ne izvaja; po strani ISO o certificiranju to prevzemajo zunanji organi. Za izvedbene smernice zato ni splošnega obdobja veljavnosti certifikata.
Za lastno dokazovanje je priporočljiva jasna navedba: katero izvedbo želite dokazati v katerem okolju? Postopek lahko opisuje načrtovani način dela, zapis pa kaže njegovo izvedbo. Preizkus nato preverja konkretno pričakovanje. Te vrste dokazil se lahko dopolnjujejo, vendar odgovarjajo na različna vprašanja.
Pred posredovanjem dokazila preverite njegov izvor, obdobje in obseg. Trenutna nastavitev ne dokazuje preteklega delovanja; vzorec ne pojasni samodejno vsake izjeme. Dokumentirajte omejeno pokritost in iz nje izhajajoče delo, namesto da iz posameznega dokumenta izpeljete celovito zagotovilo varnosti ali skladnosti.
Umestitev drugih okvirov.
ISO 27001 opisuje zahteve za ISMS, ISO 27002 pa podpira delo z ukrepi v njem. IT-Grundschutz zagotavlja lastno metodologijo BSI s standardi in kompendijem. Zakonske obveznosti zavezanih subjektov po BSIG je treba preveriti ločeno; uporaba izvedbenih smernic ne potrjuje skladnosti z NIS2.
V Secani.
Secani vsebuje uredniški delovni katalog za ISO/IEC 27002:2022 s podatki profila med drugim o storitvah v oblaku, razvoju programske opreme in mobilnem delu. Katalog služi strukturirani obravnavi in ni uradno besedilo standarda. Odločitve o uporabljivosti potrebujejo utemeljitev; uredniški pripomoček ne nadomešča samostojnega strokovnega preverjanja.
Začnite s sledljivo izvedbo.
Izberite storitev z znanimi odgovornimi osebami in odvisnostmi. Zabeležite konkretno varnostno odločitev z njenim razlogom, predvideno izvedbo in ustreznim načinom preverjanja. Nato z udeleženci razjasnite, ali ta opis ustreza dejanskemu delu. Šele nato je pristop smiselno prenesti na druge storitve.
Pogosta vprašanja.
Ne. ISO 27002 je izvedbena pomoč; za certificirano dokazilo sistema upravljanja informacijske varnosti je ustrezen standard zahtev ISO 27001.
Ne. Konkretna izvedba temelji na kontekstu in tveganjih obravnavanega okolja; skupna referenca ne pomeni enakega modela delovanja za vse organizacije.
Ne. Atributi omogočajo različne poglede na ukrepe in pomagajo pri urejanju; ne nadomeščajo odločitve o uporabljivosti ali dokazila o izvedbi.
Ne. Razumljiva politika ali operativni postopek lahko podpira več ukrepov, če sta posamezna izvedba in odgovornost sledljivi.
Sledljivo obravnavajte ukrepe.
V Secani uredite tveganja, odgovornosti in dokazila.
Ta stran pojasnjuje izvedbene smernice. Odločilni so zakonito pridobljeni standardi in konkretni kontekst uporabe.