ISO 27001 – norma bezpieczeństwa informacji
ISO 27001 (ISO/IEC 27001) to międzynarodowa norma, która określa wymagania dla systemu zarządzania bezpieczeństwem informacji (SZBI) - zbioru zasad, procedur i zabezpieczeń chroniących poufność, integralność i dostępność informacji. Organizacja dobiera zabezpieczenia na podstawie analizy ryzyka, a zgodność z normą może potwierdzić certyfikatem wydanym przez akredytowaną jednostkę.
Czego wymaga norma ISO 27001
ISO 27001 nie jest listą programów do kupienia, tylko opisem systemu zarządzania. Norma mówi, jak firma ma ustalić, które informacje chroni, jakie im grożą ryzyka i kto za co odpowiada. Wymagania zawarto w rozdziałach od 4 do 10: kontekst organizacji, przywództwo, planowanie, wsparcie, działania operacyjne, ocena efektów i doskonalenie. Organizacja, która deklaruje zgodność z normą, nie może wyłączyć żadnego z nich. Sercem systemu jest szacowanie ryzyka i plan postępowania z ryzykiem, a wydanie z 2022 r. dodało wymaganie planowania zmian w SZBI. Aktualna polska wersja to PN-EN ISO/IEC 27001:2023-08, odpowiednik ISO/IEC 27001:2022, dostępna po polsku od września 2024 r. w Polskim Komitecie Normalizacyjnym. Norma jest płatna - jej tekstu nie znajdziesz legalnie za darmo.
Załącznik A - 93 zabezpieczenia w czterech grupach
Załącznik A to katalog zabezpieczeń, z którym organizacja porównuje własne środki. W wydaniu 2022 zamiast 114 zabezpieczeń w 14 sekcjach jest 93 w czterech grupach:
- Organizacyjne (37) - polityki, role, relacje z dostawcami, zarządzanie incydentami, analiza zagrożeń.
- Osobowe (8) - weryfikacja przed zatrudnieniem, szkolenia, obowiązki po zakończeniu pracy.
- Fizyczne (14) - strefy bezpieczne, kontrola wejść, ochrona sprzętu i nośników.
- Technologiczne (34) - kontrola dostępu, kopie zapasowe, logowanie zdarzeń, zarządzanie konfiguracją, maskowanie danych, bezpieczne kodowanie.
Nie trzeba wdrażać wszystkich. Wybór wynika z analizy ryzyka, a deklaracja stosowania (Statement of Applicability) pokazuje, które zabezpieczenia firma stosuje i dlaczego pomija pozostałe. Szczegółowe wskazówki wdrożeniowe zawiera osobna norma ISO/IEC 27002 - ona jednak nie podlega certyfikacji.
Certyfikat ISO 27001 - jak przebiega certyfikacja
Audyt certyfikujący ma dwa etapy. Na pierwszym audytor sprawdza dokumentację i planuje drugi, na drugim ocenia, czy system działa w praktyce. Certyfikat wydaje się standardowo na trzy lata. W tym czasie jednostka certyfikująca przeprowadza audyty nadzoru, zwykle raz w roku, a w ostatnim roku - audyt ponownej certyfikacji. Certyfikaty według wydania z 2013 r. wygasły lub zostały wycofane z końcem okresu przejściowego, 31 października 2025 r., więc ważny certyfikat dotyczy dziś wydania 2022. Sprawdzając dostawcę, patrz też na zakres certyfikatu - może obejmować tylko wybrane usługi lub lokalizacje.
Norma jest dobrowolna. W sektorze publicznym rozporządzenie w sprawie Krajowych Ram Interoperacyjności z 21 maja 2024 r. wymaga prowadzenia SZBI i uznaje wymagania za spełnione, jeśli system oparto na PN-ISO/IEC 27001, a zabezpieczenia i zarządzanie ryzykiem - na normach z nią związanych, m.in. PN-ISO/IEC 27002 i PN-ISO/IEC 27005. Firmy objęte ustawą o krajowym systemie cyberbezpieczeństwa, znowelizowaną 23 stycznia 2026 r. w związku z NIS2, też mogą na niej budować zarządzanie ryzykiem.
ISO 27001 w obiegu dokumentów i w praktyce e-MSI
System obiegu dokumentów przechowuje faktury, umowy i akta pracownicze, więc wchodzi w zakres SZBI. Najczęściej realizuje zabezpieczenia z grupy technologicznej: dostęp według ról, dziennik operacji, szyfrowanie i kontrolę integralności dokumentów. Dostawca systemu podlega z kolei zabezpieczeniom dotyczącym relacji z dostawcami.
e-MSI posiada certyfikaty ISO 9001 i ISO 27001, a zasady opisuje polityka zintegrowanego systemu zarządzania. Platforma JobRouter®, na której e-MSI wdraża procesy, szyfruje komunikację, pozwala szyfrować dane w spoczynku, nadaje uprawnienia według ról z integracją z Active Directory i może zapisywać, kto, kiedy i jaką operację wykonał. W modelu chmurowym JobRouter® korzysta z centrów danych certyfikowanych według ISO 27001. O znaczeniu certyfikatów ISO 9001 i ISO 27001 pisze wpis o roli certyfikatów ISO przy wyborze dostawcy.
Najczęstsze błędy przy wdrażaniu ISO 27001
- Dokumentacja kupiona z szablonu, która nie opisuje tego, jak firma naprawdę pracuje.
- Analiza ryzyka zrobiona raz, na potrzeby audytu, i nigdy nieaktualizowana.
- SZBI traktowany jako projekt działu IT, bez udziału zarządu, kadr i księgowości.
- Zbyt wąski zakres certyfikatu, który nie obejmuje usług ważnych dla klientów.
- Uprawnienia w systemach nadawane ręcznie i nieodbierane po zmianie stanowiska.
- Brak testów odtwarzania kopii zapasowych - kopia istnieje tylko na papierze.
Przykłady zastosowania
Szpital ogłasza przetarg na system obiegu dokumentów medycznych i w warunkach udziału wymaga od wykonawcy ważnego certyfikatu ISO 27001 obejmującego usługi wdrożeniowe i serwisowe.
Biuro rachunkowe obsługujące kilkadziesiąt firm buduje SZBI. W analizie ryzyka wskazuje wyciek danych kadrowo-płacowych jako ryzyko wysokie i wprowadza szyfrowanie dysków oraz dostęp do teczek klientów według ról.
Urząd gminy nie certyfikuje się, ale opiera system zarządzania bezpieczeństwem informacji na PN-ISO/IEC 27001, żeby wykazać spełnienie wymagań Krajowych Ram Interoperacyjności podczas kontroli.
Kancelaria prawna przed wyborem dostawcy chmury sprawdza jego certyfikat ISO 27001 - wersję normy, datę ważności i to, czy zakres obejmuje centrum danych, w którym będą przechowywane akta spraw.
Firma produkcyjna po audycie nadzoru dostaje niezgodność za brak przeglądu uprawnień. Wprowadza kwartalny proces, w którym kierownicy w systemie workflow potwierdzają lub odbierają dostęp swoich pracowników.
Najczęstsze pytania
Czym jest norma ISO 27001?
To międzynarodowa norma opisująca, jak firma ma zarządzać bezpieczeństwem informacji. Nie narzuca konkretnych programów, tylko sposób działania: ustal, co chronisz, oceń ryzyka, dobierz zabezpieczenia, sprawdzaj, czy działają, i poprawiaj. Zgodność potwierdza certyfikat wydany przez akredytowaną jednostkę certyfikującą.
Czy ISO 27001 jest obowiązkowe?
Nie. Norma jest dobrowolna, ale certyfikat bywa warunkiem w przetargach i umowach z dużymi klientami. Podmioty publiczne muszą prowadzić system zarządzania bezpieczeństwem informacji według Krajowych Ram Interoperacyjności - oparcie go na PN-ISO/IEC 27001 i normach z nią związanych oznacza, że wymagania rozporządzenia uznaje się za spełnione.
Jak uzyskać certyfikat ISO 27001?
Trzeba wdrożyć system zarządzania bezpieczeństwem informacji zgodny z normą, a potem przejść audyt w akredytowanej jednostce certyfikującej. Audyt ma dwa etapy: najpierw sprawdzenie dokumentacji, potem ocena, czy system działa w praktyce. Certyfikat wydaje się standardowo na trzy lata, z audytami nadzoru zwykle raz w roku i audytem ponownej certyfikacji w ostatnim roku.
Ile kosztuje certyfikacja ISO 27001?
Nie ma jednej ceny. Koszt zależy głównie od liczby osób objętych zakresem i złożoności systemu, bo na tej podstawie jednostka certyfikująca wylicza liczbę dni audytu. Na całość składają się opłaty za audyt certyfikujący i audyty nadzoru, czas własnego zespołu, ewentualne doradztwo i nowe zabezpieczenia oraz zakup płatnej normy w Polskim Komitecie Normalizacyjnym.
Czym różni się ISO 27001 od ISO 27002?
ISO 27001 zawiera wymagania, a jej zgodność można certyfikować. ISO 27002 to przewodnik: opisuje każde z 93 zabezpieczeń z załącznika A normy 27001 i podpowiada, jak je wdrożyć. Firma certyfikuje się więc według 27001, a z 27002 korzysta przy projektowaniu zabezpieczeń.
Czy certyfikat ISO 27001 oznacza zgodność z RODO?
Nie. ISO 27001 dotyczy bezpieczeństwa wszystkich informacji firmy, a RODO - praw osób i zasad przetwarzania danych osobowych. Dobrze działający SZBI pomaga spełnić wymóg odpowiednich zabezpieczeń, ale nie zastępuje rejestru czynności przetwarzania, podstaw prawnych ani obsługi żądań osób, których dane dotyczą.
Powiązane hasła
Zobacz, jak wygląda to w systemach, które wdrażamy w polskich firmach.
