Czym jest ISO 27001?
ISO/IEC 27001 to międzynarodowa norma opublikowana wspólnie przez Międzynarodową Organizację Normalizacyjną (ISO) i Międzynarodową Komisję Elektrotechniczną (IEC). Określa wymagania dotyczące ustanowienia, wdrożenia, utrzymania i ciągłego doskonalenia Systemu Zarządzania Bezpieczeństwem Informacji. Celem systemu jest ochrona poufności, integralności i dostępności informacji w oparciu o zarządzanie ryzykiem.
W Polsce obowiązuje wydanie PN-EN ISO/IEC 27001:2023, czyli polskie przyjęcie międzynarodowej normy ISO/IEC 27001:2022. Tym numerem posługują się polskie jednostki certyfikujące i taki numer widnieje na certyfikatach wydawanych w Polsce. Oprócz wymagań dla samego systemu zarządzania (rozdziały 4-10: kontekst organizacji, przywództwo, planowanie, wsparcie, działania operacyjne, ocena wyników i doskonalenie) norma zawiera Załącznik A z 93 kontrolami bezpieczeństwa podzielonymi na cztery grupy: organizacyjne, osobowe, fizyczne i technologiczne. Normę wydaje w Polsce Polski Komitet Normalizacyjny.
Kogo dotyczy?
Certyfikacja ISO 27001 jest dobrowolna. Norma nie jest przepisem prawa i może ją wdrożyć każda organizacja, niezależnie od wielkości i branży. W praktyce certyfikat stał się jednak standardem rynkowym: coraz częściej wymagają go klienci korporacyjni w umowach i kwestionariuszach bezpieczeństwa, a także zamawiający w przetargach publicznych.
Najczęściej po certyfikat sięgają firmy technologiczne i SaaS, dostawcy usług IT i chmurowych, instytucje finansowe, firmy medyczne oraz każda organizacja przetwarzająca dane powierzone przez klientów. Wdrożony system ułatwia też wykazanie zgodności z innymi wymaganiami, na przykład z NIS 2, DORA, RODO czy TISAX, ponieważ znaczna część kontroli pokrywa się między tymi ramami.
Jak wygląda certyfikacja?
Certyfikat wydaje niezależna, akredytowana jednostka certyfikująca (na przykład TÜV, BSI, DNV, Bureau Veritas). Audyt certyfikacyjny przebiega w dwóch etapach. Stage 1 to przegląd dokumentacji i gotowości: audytor sprawdza zakres SZBI, politykę, ocenę ryzyka i Deklarację Stosowania oraz wskazuje obszary do poprawy przed właściwym audytem. Stage 2 to audyt wdrożenia: audytor weryfikuje na próbkach i wywiadach, czy system rzeczywiście działa w praktyce.
Certyfikat jest ważny 3 lata. W tym okresie jednostka certyfikująca przeprowadza coroczne audyty nadzoru (zwykle dwa: po pierwszym i po drugim roku), które potwierdzają utrzymanie systemu. Przed upływem trzeciego roku odbywa się pełny audyt recertyfikacyjny, który odnawia certyfikat na kolejny trzyletni cykl. Wykryte niezgodności trzeba usuwać działaniami korygującymi w uzgodnionych terminach. Poważne niezgodności mogą wstrzymać wydanie albo utrzymanie certyfikatu.
Ile to trwa i kosztuje?
Wdrożenie SZBI zajmuje zazwyczaj od trzech do dziewięciu miesięcy. Decyduje o tym wielkość organizacji, dojrzałość istniejących procesów i dostępność zespołu. Mała firma technologiczna z uporządkowanym IT może być gotowa do audytu szybciej; organizacja wielooddziałowa lub zaczynająca od zera potrzebuje więcej czasu. Do audytu warto podchodzić dopiero wtedy, gdy system działa od co najmniej kilku tygodni i wygenerował pierwsze dowody (zapisy szkoleń, przeglądy dostępów, audyt wewnętrzny, przegląd zarządzania).
Koszt certyfikacji zależy przede wszystkim od wielkości organizacji i zakresu systemu. Liczbę dni audytowych wyznacza się na podstawie liczby pracowników oraz złożoności działalności, zgodnie z zasadami akredytacyjnymi obowiązującymi jednostki certyfikujące. Na łączny budżet składają się: audyt certyfikacyjny (Stage 1 + Stage 2), coroczne audyty nadzoru, ewentualne wsparcie konsultanta oraz koszt pracy własnego zespołu. Dla małych i średnich firm największym kosztem jest zwykle czas zespołu, a nie sama opłata za audyt. Dlatego automatyzacja wdrożenia realnie obniża całkowity koszt.
Jak pomaga Guardiso?
Guardiso prowadzi Cię przez całe wdrożenie ISO 27001, od pierwszej samooceny po portal dla audytora, i utrzymuje system żywym po certyfikacji.
- Wszystkie dziewięćdziesiąt trzy kontrole Załącznika A tworzą się automatycznie po włączeniu standardu, razem z opisami, statusami wdrożenia i przypisanymi właścicielami.
- Polityki bezpieczeństwa generowane z gotowych szablonów i dopasowywane do Twojej organizacji, z wersjonowaniem i akceptacją kierownictwa.
- Zbieranie dowodów zgodności w jednym miejscu: załączniki, zadania cykliczne i automatyczne dowody z integracji.
- Deklaracja Stosowania (SoA) budowana z rejestru kontroli, z uzasadnieniami włączenia i wyłączenia, gotowa do przekazania audytorowi.
- Rejestr ryzyk powiązany z kontrolami: ocena, plany postępowania i śledzenie ryzyka, które zostaje.
- Portal audytora: audytor dostaje kontrolowany dostęp do dokumentacji i dowodów bez wysyłania plików mailem.
- Mapowanie krzyżowe na inne standardy, czyli NIS 2, DORA, SOC 2 i TISAX. Praca wykonana dla ISO 27001 zalicza wymagania pokrewnych ram.