Vysvětlení normy ISO 27001

Nezávislý přehled od DQS, akreditovaného certifikačního orgánu.

ISO 27001 je přední mezinárodní norma pro systémy řízení bezpečnosti informací (ISMS). Stanovuje požadavky, které musí organizace splnit, aby mohla systematicky identifikovat, posuzovat a řešit rizika v oblasti bezpečnosti informací – a to s ohledem na lidi, procesy a technologie, nikoli pouze na jednotlivé technické kontrolní mechanismy. Norma se vztahuje na organizace všech velikostí a ze všech odvětví, od finančních institucí, poskytovatelů zdravotní péče a orgánů veřejné správy až po poskytovatele cloudových služeb, výrobce a softwarové společnosti, které zpracovávají citlivé informace jménem zákazníků, zaměstnanců nebo partnerů. Aktuální vydání je ISO/IEC 27001:2022, které nahradilo verzi z roku 2013; tříleté přechodné období pro dříve certifikované organizace skončilo 31. října 2025 a dodatek zveřejněný v roce 2024 (Dodatek 1:2024) doplnil výslovné požadavky týkající se opatření v oblasti klimatu.

Klíčové informace o normě ISO 27001 v kostce

Kontext a hnací síly normy ISO 27001

Regulační tlak na informační bezpečnost

Regulační prostředí v oblasti informační bezpečnosti se v posledních letech výrazně zpřísnilo, zejména v Evropské unii. Směrnice o bezpečnosti sítí a informací 2 (NIS2) rozšiřuje povinnosti v oblasti kyberbezpečnosti na podstatně širší skupinu klíčových a důležitých subjektů, včetně středních organizací napříč odvětvími, jako jsou energetika, doprava, zdravotnictví, digitální infrastruktura a výroba. Zákon o digitální operační odolnosti (DORA), který se vztahuje na finanční subjekty a jejich klíčové externí poskytovatele informačních a komunikačních technologií (IKT), stanoví podrobné požadavky na řízení rizik v oblasti IKT, hlášení incidentů, testování odolnosti a dohled nad poskytovateli. Ani směrnice NIS2, ani zákon DORA nepředepisují normu ISO 27001 jako povinný základ, ale obě odkazují na mezinárodně uznávané normy informační bezpečnosti jako na referenční bod a mnoho organizací využívá certifikovaný systém řízení informační bezpečnosti (ISMS) jako strukturální základ, na kterém jsou postaveny jejich regulační programy.

Očekávání trhu a důvěra zákazníků

Kromě formální regulace se informační bezpečnost stala běžnou součástí smluv mezi podniky, výběrových řízení a programů kvalifikace dodavatelů. Podnikoví zákazníci stále častěji vyžadují, aby jejich dodavatelé před udělením přístupu k systémům nebo datům prokázali externě ověřený systém řízení bezpečnosti informací (ISMS), a certifikáty vydané akreditovanými certifikačními orgány jsou široce přijímány jako důkaz této vyspělosti. Pro dodavatele softwaru, poskytovatele cloudových služeb a další organizace, jejichž obchodní model spočívá na zákaznických datech, se certifikát ISO 27001 v mnoha odvětvích stal téměř nezbytnou podmínkou pro vstup na trh. Tento trend je posílen rostoucím povědomím veřejnosti o úniku dat, ransomwaru a útocích na dodavatelský řetězec, což zvýšilo očekávání ohledně toho, jak organizace chrání informace v rámci celého svého hodnotového řetězce.

Propojení s odolností, ochranou soukromí a udržitelností

Informační bezpečnost již není izolovanou záležitostí. Stále více se prolíná s provozní odolností, kontinuitou podnikání, ochranou soukromí a – od zveřejnění dodatku 1:2024 – s aspekty souvisejícími s klimatem. Představenstva a výbory pro řízení rizik vnímají informační bezpečnost jako jednu z dimenzí širšího kontextu, který zahrnuje výpadky informačních a komunikačních technologií, rizika spojená s třetími stranami a narušení způsobená extrémními povětrnostními jevy ovlivňujícími kritickou infrastrukturu. Norma ISO 27001 poskytuje strukturální základ, který organizacím umožňuje integrovat tato související témata – ochranu soukromí, kontinuitu, dohled nad dodavateli a fyzickou odolnost – do jediného systému řízení namísto nesourodé mozaiky nesouvislých iniciativ.

Základní požadavky normy ISO 27001

Norma ISO/IEC 27001:2022 se řídí harmonizovanou strukturou Přílohy SL, kterou sdílejí moderní normy ISO pro systémy řízení. Články 1–3 stanovují rozsah, normativní odkazy a pojmy. Články 4–10 obsahují požadavky na systém řízení, které lze podrobit auditu a které jsou shrnuty níže. Příloha A pak odkazuje na 93 kontrolních opatření v oblasti informační bezpečnosti podrobně popsaných v normě ISO 27002, z nichž si organizace na základě svého posouzení rizik vybere ta, která jsou pro ni relevantní.

Článek 4 — Kontext organizace

Organizace identifikuje vnitřní a vnější faktory, které ovlivňují její systém řízení bezpečnosti informací (ISMS), a určuje potřeby a očekávání zainteresovaných stran, jako jsou zákazníci, regulační orgány, partneři v dodavatelském řetězci a akcionáři. Na tomto základě definuje rozsah ISMS, včetně lokalit, obchodních činností, technologií a informačních aktiv, na které se systém vztahuje.

Článek 5 — Vedení

Nejvyšší vedení prokazuje vedení a odhodlání k ISMS, je podepsána politika informační bezpečnosti a jsou přiděleny role, odpovědnosti a pravomoci. Informační bezpečnost je považována za téma strategického významu, nikoli za delegovanou technickou funkci.

Článek 6 – Plánování

Organizace provádí posouzení rizik informační bezpečnosti, definuje kritéria pro přijímání a řešení rizik a vybírá kontrolní opatření nezbytná k řešení těchto rizik. Prohlášení o použitelnosti dokumentuje, která kontrolní opatření z přílohy A se použijí, která jsou vyloučena a odůvodnění v každém jednotlivém případě. Jsou definovány cíle informační bezpečnosti a jsou sladěny s politikou.

Článek 7 — Podpora

Jsou řešeny zdroje, kompetence, informovanost, komunikace a dokumentované informace. Zaměstnanci zapojení do systému ISMS absolvují odpovídající školení a dokumentace je vedena v rozsahu přiměřeném velikosti a složitosti organizace.

Článek 8 — Provoz

Organizace plánuje, zavádí a řídí procesy potřebné ke splnění požadavků na bezpečnost informací, provádí posouzení rizik a plány jejich řešení a řídí změny, které by mohly mít vliv na systém ISMS.

Článek 9 – Hodnocení výkonnosti

Systém ISMS je monitorován, měřen a analyzován. Interní audity a přezkoumání vedením poskytují základ pro hodnocení, zda je systém účinný, vyhovující a zda se neustále zlepšuje. Výstupy se promítají do plánování a provozních rozhodnutí.

Článek 10 – Zlepšování

Neshodnosti jsou řešeny nápravnými opatřeními a organizace je povinna neustále zlepšovat vhodnost, přiměřenost a účinnost systému ISMS. Neustálé zlepšování je strukturální součástí normy, nikoli volitelným doplňkem.

Příloha A – Referenční soubor kontrolních opatření

Příloha A odkazuje na 93 kontrolních opatření seskupených do čtyř témat: organizační opatření (37), personální opatření (8), fyzická opatření (14) a technologická opatření (34). Revize z roku 2022 sjednotila a reorganizovala 114 kontrolních opatření z verze z roku 2013, zavedla 11 nových kontrolních opatření (včetně zpravodajství o hrozbách, informační bezpečnosti pro cloudové služby, připravenost ICT na zajištění kontinuity podnikání, monitorování fyzické bezpečnosti, správu konfigurace, mazání informací, maskování dat, prevenci úniku dat, monitorovací činnosti, filtrování webového obsahu a bezpečné kódování) a na každou kontrolní opatření aplikovala pět atributů (typ kontrolního opatření, vlastnosti informační bezpečnosti, koncepty kyberbezpečnosti, operační schopnosti a bezpečnostní domény) za účelem podpory filtrování a vykazování.

Cílové skupiny a oblasti použití normy ISO 27001

Norma ISO 27001 je ze své podstaty nezávislá na odvětví. Její požadavky se vztahují stejně na nadnárodní banku, regionální síť nemocnic, veřejný orgán i softwarový start-up, který zpracovává údaje o zákaznících jménem svých klientů. V praxi se však některé oblasti použití staly obzvláště viditelnými.

Poskytovatelé informačních a komunikačních technologií – včetně cloudových platforem, dodavatelů softwaru jako služby (SaaS), poskytovatelů spravovaných služeb a provozovatelů datových center – často považují normu ISO 27001 za základní rámec záruk, který očekávají podnikoví zákazníci. Organizace poskytující finanční služby využívají normu ISO 27001 k vytvoření programů řízení rizik v oblasti informačních a komunikačních technologií, které rovněž podporují povinnosti vyplývající z nařízení DORA. Organizace ve zdravotnictví ji uplatňují k ochraně informací o pacientech a klinických systémů, často spolu s odvětvově specifickými požadavky na ochranu soukromí a bezpečnost. Orgány veřejného sektoru a provozovatelé kritické infrastruktury zavádějí normu ISO 27001 na podporu povinností vyplývajících z nařízení NIS2 a vnitrostátních právních předpisů v oblasti kyberbezpečnosti. Výrobní organizace ji přijímají za účelem ochrany duševního vlastnictví, zabezpečení prostředí provozních technologií a splnění požadavků na bezpečnost dodavatelského řetězce ze strany velkých zákazníků, včetně výrobců originálního vybavení (OEM).

Pro všechny tyto organizace představuje certifikovaný systém řízení bezpečnosti informací (ISMS) strukturovaný rámec pro rozhodování založené na důkazech ohledně investic a priorit v oblasti informační bezpečnosti. Podporuje informovaná rozhodnutí vedení a poskytuje základ pro diskuse zaměřené na rizika s regulačními orgány, zákazníky a partnery v dodavatelském řetězci, přičemž podstatná rozhodnutí ponechává na osobách, které za ně nesou odpovědnost.

Normy související s normou ISO 27001

Harmonizovaná struktura a typické kombinace

Norma ISO 27001 sdílí harmonizovanou strukturu Annex SL s dalšími široce používanými normami systémů řízení, včetně ISO 9001 (kvalita), ISO 14001 (životní prostředí) a ISO 22301 (kontinuita podnikání). Tato společná struktura umožňuje organizacím provozovat integrovaný systém řízení, v němž požadavky na informační bezpečnost, kvalitu, životní prostředí a kontinuitu sdílejí závazky vedení, procesy plánování, interní audity a přezkoumání ze strany vedení. Kombinované audity napříč těmito systémy jsou v praxi běžné a obvykle vedou ke snížení duplicit.

Rodina norem ISO 27000 

Norma ISO 27001 zaujímá ústřední místo v rodině norem ISO 27000, které se společně podrobně zabývají řízením informační bezpečnosti. Norma ISO 27000 poskytuje přehled a slovník pojmů pro celou rodinu norem. Norma ISO 27002 rozšiřuje jednotlivá kontrolní opatření z přílohy A o podrobné pokyny k implementaci a při zavádění je nejčastěji konzultována společně s normou ISO 27001. Norma ISO 27005 poskytuje pokyny k řízení rizik v oblasti informační bezpečnosti a je široce využívána k praktickému uplatnění ustanovení normy ISO 27001 založených na rizicích. Normy ISO 27017 a ISO 27018 rozšiřují sadu kontrolních opatření na cloudové služby, respektive na ochranu osobních údajů (PII) ve veřejných cloudových prostředích. Norma ISO 27019 je normou s pokyny pro zavedení systému řízení bezpečnosti informací pro řídicí systémy používané v oblasti dodávek energie. Norma vychází z kontrolních opatření v oblasti informační bezpečnosti uvedených v normě ISO 27002 a doplňuje je o odvětvově specifické požadavky, které jdou nad rámec obecných opatření definovaných v této normě. Norma ISO 27701 specifikuje požadavky a pokyny pro systém řízení ochrany osobních údajů (PIMS).

Odvětvová a tematická rozšíření

Řada odvětvově specifických norem v normativním smyslu vychází z normy ISO 27001. Norma ISO/IEC 27011 poskytuje doplňkové pokyny pro telekomunikační organizace. Normy ISO/IEC 27017 a ISO/IEC 27018 se zabývají kontrolními opatřeními specifickými pro cloud. Norma ISO/IEC 27019 poskytuje pokyny pro odvětví energetiky. Norma ISO/IEC 27799 aplikuje kontrolní opatření normy ISO/IEC 27002 na zdravotnickou informatiku. Tato rozšíření využívají systém řízení podle normy ISO 27001 a doplňují či upřesňují kontrolní opatření relevantní pro dané odvětví.

Odlišení od podobných rámců

Norma ISO 27001 je někdy srovnávána s jinými rámci informační bezpečnosti, zejména s SOC 2 a rámcem kyberbezpečnosti NIST. Norma ISO 27001 je mezinárodní norma, podle níž může certifikační orgán certifikovat systém řízení informační bezpečnosti (ISMS). SOC 2 je rámec pro podávání zpráv definovaný Americkým institutem certifikovaných účetních (AICPA), v jehož rámci odborníci na ověřování vydávají osvědčující zprávy o kontrolních opatřeních týkajících se bezpečnosti, dostupnosti, integrity zpracování, důvěrnosti nebo ochrany soukromí. Ačkoli se tyto dva rámce částečně překrývají, pokrývají odlišné oblasti a řídí se odlišnými modely správy, neměly by být popisovány jako rovnocenné. Rámec kyberbezpečnosti NIST je dobrovolný rámec určený jako vodítko pro řízení rizik, zejména ve Spojených státech; nelze jej certifikovat ve stejném smyslu jako normu ISO 27001.