Az ISO 27001 szabvány magyarázata

Független áttekintés a DQS-től, egy akkreditált tanúsító szervezettől.

Az ISO 27001 az információbiztonsági irányítási rendszerek (ISMS) vezető nemzetközi szabványa. Meghatározza azokat a követelményeket, amelyeknek egy szervezetnek meg kell felelnie az információbiztonsági kockázatok szisztematikus azonosítása, értékelése és kezelése érdekében – és nem csupán egyetlen technikai ellenőrzési intézkedésre, hanem az emberekre, a folyamatokra és a technológiára is kiterjed. A szabvány minden méretű és ágazatú szervezetre vonatkozik, a pénzügyi intézményektől, az egészségügyi szolgáltatóktól és a hatóságoktól kezdve a felhőszolgáltatókig, a gyártókig és a szoftvercégekig, amelyek ügyfelek, alkalmazottak vagy partnerek nevében kezelnek érzékeny információkat. A jelenlegi kiadás az ISO/IEC 27001:2022, amely felváltotta a 2013-as verziót; a korábban tanúsított szervezetek számára biztosított hároméves átmeneti időszak 2025. október 31-én lejárt, és a 2024-ben közzétett módosítás (1:2024. módosítás) kifejezett követelményeket foglalt magában az éghajlat-politikai intézkedésekkel kapcsolatban.

Az ISO 27001 legfontosabb tényei egy pillanat alatt

Az ISO 27001 kontextusa és mozgatórugói

Az információbiztonságra nehezedő szabályozási nyomás

Az információbiztonságra vonatkozó szabályozási környezet az elmúlt években jelentősen szigorodott, különösen az Európai Unióban. A hálózat- és információbiztonsági irányelv 2. verziója (NIS2) a kiberbiztonsági kötelezettségeket jelentősen kiterjeszti egy szélesebb körű, alapvető fontosságú és jelentős szervezetek csoportjára, beleértve az energia-, közlekedési, egészségügyi, digitális infrastruktúra és gyártási ágazatokban működő közepes méretű szervezeteket is. A pénzügyi szervezetekre és azok kritikus információs és kommunikációs technológiai (IKT) külső szolgáltatóira alkalmazandó digitális működési ellenállóképességről szóló törvény (DORA) részletes követelményeket határoz meg az IKT-kockázatkezelés, az incidensek bejelentése, az ellenállóképességi tesztelés és a szolgáltatók felügyelete tekintetében. Sem a NIS2, sem a DORA nem írja elő az ISO 27001 szabványt kötelező alapként, de mindkettő hivatkozik a nemzetközileg elismert információbiztonsági szabványokra referenciapontként, és számos szervezet használja a tanúsított ISMS-t (információbiztonsági irányítási rendszer) mint szerkezeti alapot, amelyre szabályozási programjaikat építik.

Piaci elvárások és az ügyfelek bizalma

A formális szabályozáson túl az információbiztonság rutinszerű témává vált a vállalatok közötti szerződésekben, a pályázati eljárásokban és a beszállítói minősítési programokban. A vállalati ügyfelek egyre gyakrabban követelik meg beszállítóiktól, hogy külső szervezet által ellenőrzött ISMS-t mutassanak be, mielőtt hozzáférést biztosítanának a rendszerekhez vagy az adatokhoz, és az akkreditált tanúsító szervezetek által kiadott tanúsítványokat széles körben elfogadják ennek az érettségnek a bizonyítékaként. A szoftvergyártók, felhőszolgáltatók és más, üzleti modelljüket az ügyféladatokra alapozó szervezetek számára az ISO 27001 tanúsítvány számos szektorban szinte elvárássá vált a piacra lépéshez. Ezt a tendenciát erősíti az adatvédelmi incidensekkel, a zsarolóvírusokkal és az ellátási lánc elleni támadásokkal kapcsolatos növekvő társadalmi tudatosság, amely megnövelte az elvárásokat azzal kapcsolatban, hogy a szervezetek hogyan védik az információkat az értékláncuk egészén.

Konvergencia a rugalmassággal, az adatvédelemmel és a fenntarthatósággal

Az információbiztonság már nem áll elszigetelten. Egyre inkább összefonódik az operatív rugalmassággal, az üzletmenet-folytonossággal, az adatvédelemmel, valamint – az 1:2024 módosítás közzététele óta – az éghajlati szempontokkal is. Az igazgatóságok és a kockázati bizottságok az információbiztonságot egy szélesebb kép egyik dimenziójaként tekintenek, amely magában foglalja az IKT-leállásokat, a harmadik felek kockázatait, valamint a kritikus infrastruktúrát érintő szélsőséges időjárási események által okozott zavarokat. Az ISO 27001 olyan strukturális alapot biztosít, amely lehetővé teszi a szervezetek számára, hogy ezeket a kapcsolódó témákat – az adatvédelmet, az üzletmenet-folytonosságot, a beszállítói felügyeletet és a fizikai rugalmasságot – egyetlen irányítási rendszerbe integrálják, ahelyett, hogy egymástól független kezdeményezésekből álló, összefüggéstelen rendszert alkotnának.

Az ISO 27001 alapvető követelményei

Az ISO/IEC 27001:2022 a modern ISO irányítási rendszer szabványok által közösen alkalmazott Annex SL harmonizált szerkezetet követi. Az 1–3. pontok határozzák meg a hatályt, a normatív hivatkozásokat és a fogalommeghatározásokat. A 4–10. pontok tartalmazzák az alábbiakban összefoglalt, ellenőrizhető irányítási rendszer követelményeket. Az A. melléklet ezután hivatkozik az ISO 27002 szabványban részletesen leírt 93 információbiztonsági ellenőrző intézkedésre, amelyek közül a szervezet kockázatértékelése alapján kiválasztja a rá vonatkozókat.

4. pont — A szervezet kontextusa

A szervezet azonosítja az ISMS-ét érintő belső és külső kérdéseket, és meghatározza az érdekelt felek – például az ügyfelek, a szabályozó hatóságok, az ellátási lánc partnerei és a részvényesek – igényeit és elvárásait. Ennek alapján meghatározza az ISMS hatályát, beleértve a lefedett telephelyeket, üzleti tevékenységeket, technológiákat és információs eszközöket.

5. pont – Vezetés

A felső vezetés vezetői szerepet vállal és elkötelezi magát az ISMS mellett, aláírják az információbiztonsági irányelvet, és kijelölik a szerepköröket, a felelősségi köröket és a hatásköröket. Az információbiztonságot stratégiai jelentőségű témaként kezelik, nem pedig delegált technikai feladatként.

6. pont – Tervezés

A szervezet elvégzi az információbiztonsági kockázatértékelést, meghatározza a kockázatok elfogadására és kezelésére vonatkozó kritériumokat, valamint kiválasztja az e kockázatok kezeléséhez szükséges ellenőrző intézkedéseket. Az alkalmazhatósági nyilatkozat dokumentálja, hogy az A. mellékletben szereplő ellenőrző intézkedések közül melyek alkalmazandók, melyek kizártak, és minden esetben megindokolja a döntést. Meghatározzák az információbiztonsági célokat, és azokat összehangolják a politikával.

7. pont – Támogatás

Kezelésre kerülnek az erőforrások, a kompetenciák, a tudatosság, a kommunikáció és a dokumentált információk. Az ISMS-ben részt vevő személyzet megfelelő képzésben részesül, és a dokumentációt a szervezet méretének és összetettségének megfelelő formában vezetik.

8. pont – Működés

A szervezet megtervezi, végrehajtja és ellenőrzi az információbiztonsági követelmények teljesítéséhez szükséges folyamatokat, végrehajtja a kockázatértékelést és a kockázatkezelési terveket, valamint kezeli az ISMS-t érintő változásokat.

9. pont – Teljesítményértékelés

Az ISMS-t figyelemmel kísérik, mérik és elemzik. A belső auditok és a vezetői felülvizsgálatok alapul szolgálnak annak értékeléséhez, hogy a rendszer hatékony-e, megfelel-e a követelményeknek és folyamatosan javul-e. Az eredmények visszacsatolásra kerülnek a tervezési és működési döntésekbe.

10. pont – Fejlesztés

A nem megfelelőségeket korrekciós intézkedésekkel orvosolják, és a szervezet köteles folyamatosan javítani az ISMS alkalmasságát, megfelelőségét és hatékonyságát. A folyamatos fejlesztés a szabvány strukturális jellemzője, nem pedig opcionális kiegészítő elem.

A. melléklet – Referencia-ellenőrzési készlet

Az A. melléklet 93 ellenőrző intézkedésre hivatkozik, amelyeket négy témakörbe csoportosítottak: szervezeti ellenőrzések (37), személyi ellenőrzések (8), fizikai ellenőrzések (14) és technológiai ellenőrzések (34). A 2022-es felülvizsgálat összevonta és átszervezte a 2013-as változat 114 ellenőrző intézkedését, 11 új ellenőrző intézkedést vezetett be (beleértve a fenyegetési hírszerzést, a felhőszolgáltatások információbiztonságát, az üzletmenet-folytonosságra való IKT-felkészültséget, a fizikai biztonsági felügyeletet, a konfigurációkezelést, az információk törlését, az adatmaszkolást, az adatszivárgás-megelőzést, a felügyeleti tevékenységeket, a webszűrést és a biztonságos kódolást), valamint minden ellenőrző intézkedéshez öt attribútumot rendelt (ellenőrző intézkedés típusa, információbiztonsági tulajdonságok, kiberbiztonsági fogalmak, operatív képességek és biztonsági területek) a szűrés és a jelentéskészítés támogatása érdekében.

Az ISO 27001 célcsoportjai és alkalmazási területei

Az ISO 27001 kialakításában ágazattól független. Követelményei egyaránt vonatkoznak egy multinacionális bankra, egy regionális kórházi hálózatra, egy állami szervre és egy olyan szoftver-startupra is, amely ügyfelei nevében feldolgozza az ügyféladatokat. A gyakorlatban bizonyos alkalmazási területek különösen előtérbe kerültek.

Az információs és kommunikációs technológiai szolgáltatók – ideértve a felhőalapú platformokat, a Software-as-a-Service (SaaS) szolgáltatókat, a menedzselt szolgáltatás-szolgáltatókat és az adatközponti üzemeltetőket – gyakran az ISO 27001-et tekintik az üzleti ügyfelek által elvárt alapvető biztosítási keretrendszernek. A pénzügyi szolgáltató szervezetek az ISO 27001 szabványt használják az IKT-kockázatkezelési programok kialakításához, amelyek egyúttal a DORA-kötelezettségeket is támogatják. Az egészségügyi szervezetek a betegadatok és a klinikai rendszerek védelmére alkalmazzák, gyakran az ágazatspecifikus adatvédelmi és biztonsági követelmények mellett. A közszektorbeli szervezetek és a kritikus infrastruktúra-üzemeltetők az ISO 27001 szabványt alkalmazzák az NIS2 és a nemzeti kiberbiztonsági jogszabályok szerinti kötelezettségek teljesítésének támogatására. A gyártó szervezetek a szellemi tulajdon védelme, az operatív technológiai környezetek biztonságának garantálása, valamint a nagy ügyfelek – beleértve az eredeti berendezésgyártókat (OEM-eket) – ellátási lánc-biztonsági követelményeinek teljesítése érdekében alkalmazzák.

Bármelyik ilyen szervezet számára a tanúsított ISMS strukturált keretrendszert biztosít az információbiztonsági beruházásokkal és prioritásokkal kapcsolatos, tényeken alapuló döntések meghozatalához. Támogatja a vezetés tájékozott döntéshozatalát, és alapot nyújt a szabályozó hatóságokkal, ügyfelekkel és ellátási lánc-partnerekkel folytatott, kockázatalapú párbeszédhez, miközben a lényegi döntéseket azokra bízza, akik azokért felelősek.

Az ISO 27001-hez kapcsolódó szabványok

Harmonizált szerkezet és tipikus kombinációk

Az ISO 27001 az Annex SL harmonizált szerkezetet osztja meg más széles körben alkalmazott irányítási rendszer szabványokkal, beleértve az ISO 9001-et (minőség), az ISO 14001-et (környezet) és az ISO 22301-et (üzletmenet-folytonosság). Ez a közös szerkezet lehetővé teszi a szervezetek számára, hogy integrált irányítási rendszert működtessenek, amelyben az információbiztonsági, minőségügyi, környezetvédelmi és üzletmenet-folytonossági követelmények közös vezetői elkötelezettségeket, tervezési folyamatokat, belső auditokat és vezetői felülvizsgálatokat igényelnek. A gyakorlatban gyakoriak az e rendszerekre kiterjedő kombinált auditok, amelyek általában csökkentik az átfedéseket.

Az ISO 27000 szabványcsalád 

Az ISO 27001 az ISO 27000 szabványcsalád középpontjában áll, amely együttesen mélyrehatóan foglalkozik az információbiztonsági irányítással. Az ISO 27000 áttekintést és szókincset nyújt a szabványcsaládhoz. Az ISO 27002 az A. mellékletben szereplő egyes ellenőrzési intézkedéseket részletes végrehajtási útmutatással egészíti ki, és a végrehajtás során az ISO 27001 mellett leggyakrabban hivatkozott szabvány. Az ISO 27005 útmutatást nyújt az információbiztonsági kockázatkezeléshez, és széles körben alkalmazzák az ISO 27001 kockázatalapú rendelkezéseinek gyakorlati megvalósításához. Az ISO 27017 és az ISO 27018 az ellenőrzési készletet kiterjeszti a felhőszolgáltatásokra, illetve a nyilvános felhőalapú környezetekben található személyazonosításra alkalmas információk (PII) védelmére. Az ISO 27019 iránymutató szabvány az energiaellátásban használt vezérlőrendszerek számára kialakítandó információbiztonsági irányítási rendszer létrehozásához. A szabvány az ISO 27002-ben vázolt információbiztonsági ellenőrzési intézkedésekre épül, és kiegészíti azokat az ágazatspecifikus követelményekkel, amelyek túlmutatnak az említett szabványban meghatározott általános intézkedéseken. Az ISO 27701 szabvány az adatvédelmi információkezelő rendszerre (PIMS) vonatkozó követelményeket és iránymutatásokat határozza meg.

Ágazat- és témakör-specifikus kiegészítések

Számos ágazatspecifikus szabvány normatív értelemben az ISO 27001-re épül. Az ISO/IEC 27011 kiegészítő iránymutatást nyújt a távközlési szervezetek számára. Az ISO/IEC 27017 és az ISO/IEC 27018 a felhőalapú környezetre jellemző ellenőrzési intézkedésekkel foglalkozik. Az ISO/IEC 27019 iránymutatást nyújt az energiaellátó ipar számára. Az ISO/IEC 27799 az ISO/IEC 27002 ellenőrzési intézkedéseit alkalmazza az egészségügyi informatika területén. Ezek a kiterjesztések újrahasznosítják az ISO 27001 irányítási rendszert, és kiegészítik vagy finomítják az adott szektorra vonatkozó ellenőrzési intézkedéseket.

Megkülönböztetés a hasonló keretrendszerektől

Az ISO 27001-et néha összehasonlítják más információbiztonsági keretrendszerekkel, nevezetesen a SOC 2-vel és a NIST kiberbiztonsági keretrendszerrel. Az ISO 27001 egy nemzetközi szabvány, amelynek alapján egy tanúsító szervezet tanúsíthatja az ISMS-t. A SOC 2 az Amerikai Bejegyzett Könyvvizsgálók Intézete (AICPA) által meghatározott jelentési keretrendszer, amelynek keretében a biztosítási szakemberek tanúsító jelentéseket állítanak ki a biztonság, a rendelkezésre állás, a feldolgozás integritása, a titkosság vagy a magánélet védelmével kapcsolatos ellenőrző intézkedésekről. Bár a két keretrendszer témakörei átfedik egymást, eltérő hatályt fednek le és különböző irányítási modelleket követnek, ezért nem tekinthetők egyenértékűnek. A NIST kiberbiztonsági keretrendszer egy önkéntes keretrendszer, amelynek célja a kockázatkezelés iránymutatása, különösen az Egyesült Államokban; nem tanúsítható ugyanabban az értelemben, mint az ISO 27001.