Wyjaśnienie normy ISO 27001

Niezależny przegląd przygotowany przez DQS, akredytowaną jednostkę certyfikującą.

ISO 27001 to wiodąca międzynarodowa norma dotycząca systemów zarządzania bezpieczeństwem informacji (ISMS). Określa ona wymagania, które organizacja musi spełnić, aby systematycznie identyfikować, oceniać i zarządzać ryzykiem związanym z bezpieczeństwem informacji — obejmując ludzi, procesy i technologie, a nie tylko pojedyncze środki kontroli technicznej. Norma ta ma zastosowanie do organizacji każdej wielkości i z każdej branży, od instytucji finansowych, podmiotów świadczących usługi opieki zdrowotnej i organów publicznych po dostawców usług w chmurze, producentów i firmy programistyczne, które przetwarzają poufne informacje w imieniu klientów, pracowników lub partnerów. Obecna edycja to ISO/IEC 27001:2022, która zastąpiła wersję z 2013 r.; trzyletni okres przejściowy dla organizacji posiadających wcześniejsze certyfikaty zakończył się 31 października 2025 r., a poprawka opublikowana w 2024 r. (Poprawka 1:2024) wprowadziła wyraźne wymagania dotyczące działań na rzecz klimatu.

Najważniejsze fakty dotyczące normy ISO 27001 w skrócie

Kontekst i czynniki napędzające rozwój normy ISO 27001

Presja regulacyjna w zakresie bezpieczeństwa informacji

W ostatnich latach otoczenie regulacyjne w zakresie bezpieczeństwa informacji uległo znacznemu zaostrzeniu, szczególnie w Unii Europejskiej. Dyrektywa w sprawie bezpieczeństwa sieci i informacji 2 (NIS2) rozszerza obowiązki w zakresie cyberbezpieczeństwa na znacznie szerszą grupę kluczowych i ważnych podmiotów, w tym średnie organizacje z różnych sektorów, takich jak energetyka, transport, opieka zdrowotna, infrastruktura cyfrowa i produkcja. Ustawa o cyfrowej odporności operacyjnej (DORA), mająca zastosowanie do podmiotów finansowych i ich kluczowych zewnętrznych dostawców technologii informacyjno-komunikacyjnych (ICT), określa szczegółowe wymagania dotyczące zarządzania ryzykiem ICT, zgłaszania incydentów, testowania odporności oraz nadzoru nad dostawcami. Ani NIS2, ani DORA nie nakładają normy ISO 27001 jako obowiązkowej podstawy, ale obie odwołują się do uznanych na arenie międzynarodowej norm bezpieczeństwa informacji jako punktu odniesienia, a wiele organizacji wykorzystuje certyfikowane systemy zarządzania bezpieczeństwem informacji (ISMS) jako podstawę strukturalną, na której opierają się ich programy regulacyjne.

Oczekiwania rynku i zaufanie klientów

Poza formalnymi regulacjami bezpieczeństwo informacji stało się rutynowym tematem w umowach między przedsiębiorstwami, procedurach przetargowych oraz programach kwalifikacji dostawców. Klienci korporacyjni coraz częściej wymagają od swoich dostawców wykazania się zewnętrznie zweryfikowanym systemem zarządzania bezpieczeństwem informacji (ISMS) przed przyznaniem dostępu do systemów lub danych, a certyfikaty wydane przez akredytowane jednostki certyfikujące są powszechnie akceptowane jako dowód tej dojrzałości. Dla dostawców oprogramowania, dostawców usług w chmurze i innych organizacji, których model biznesowy opiera się na danych klientów, certyfikat ISO 27001 stał się w wielu sektorach niemal warunkiem koniecznym do wejścia na rynek. Tendencję tę wzmacnia rosnąca świadomość społeczna dotycząca naruszeń bezpieczeństwa danych, oprogramowania ransomware oraz ataków na łańcuch dostaw, co podniosło oczekiwania co do sposobu, w jaki organizacje chronią informacje w całym swoim łańcuchu wartości.

Zbieżność z odpornością, prywatnością i zrównoważonym rozwojem

Bezpieczeństwo informacji nie jest już kwestią odizolowaną. W coraz większym stopniu krzyżuje się ono z odpornością operacyjną, ciągłością działania, prywatnością oraz – od czasu opublikowania poprawki 1:2024 – kwestiami związanymi z klimatem. Zarządy i komitety ds. ryzyka postrzegają bezpieczeństwo informacji jako jeden z wymiarów szerszego obrazu, który obejmuje awarie systemów informatycznych, ryzyko związane z podmiotami zewnętrznymi oraz zakłócenia spowodowane ekstremalnymi zjawiskami pogodowymi wpływającymi na infrastrukturę krytyczną. Norma ISO 27001 stanowi strukturalną podstawę, która pozwala organizacjom zintegrować te powiązane zagadnienia — prywatność, ciągłość działania, nadzór nad dostawcami oraz odporność fizyczną — w ramach jednego systemu zarządzania, zamiast tworzyć mozaikę niepowiązanych ze sobą inicjatyw.

Podstawowe wymagania normy ISO 27001

Norma ISO/IEC 27001:2022 jest zgodna ze zharmonizowaną strukturą Annex SL, wspólną dla współczesnych norm ISO dotyczących systemów zarządzania. Klauzule 1–3 określają zakres, odniesienia normatywne i terminologię. Klauzule 4–10 zawierają podlegające audytowi wymagania dotyczące systemu zarządzania, podsumowane poniżej. W załączniku A wymieniono następnie 93 środki kontroli bezpieczeństwa informacji wyszczególnione w normie ISO 27002, spośród których organizacja wybiera te, które mają zastosowanie w oparciu o przeprowadzoną przez nią ocenę ryzyka.

Klauzula 4 — Kontekst organizacji

Organizacja identyfikuje kwestie wewnętrzne i zewnętrzne, które mają wpływ na jej system zarządzania bezpieczeństwem informacji (ISMS), oraz określa potrzeby i oczekiwania zainteresowanych stron, takich jak klienci, organy regulacyjne, partnerzy w łańcuchu dostaw i akcjonariusze. Na tej podstawie definiuje zakres ISMS, w tym lokalizacje, działalność biznesową, technologie i zasoby informacyjne objęte systemem.

Klauzula 5 — Przywództwo

Kierownictwo najwyższego szczebla wykazuje przywództwo i zaangażowanie w system ISMS, podpisywana jest polityka bezpieczeństwa informacji oraz przydzielane są role, obowiązki i uprawnienia. Bezpieczeństwo informacji traktowane jest jako kwestia o znaczeniu strategicznym, a nie jako delegowana funkcja techniczna.

Klauzula 6 — Planowanie

Organizacja przeprowadza ocenę ryzyka związanego z bezpieczeństwem informacji, określa kryteria akceptacji i postępowania z ryzykiem oraz wybiera środki kontroli niezbędne do przeciwdziałania tym zagrożeniom. W oświadczeniu o zakresie stosowania dokumentuje się, które środki kontroli z załącznika A mają zastosowanie, które są wyłączone oraz uzasadnienie w każdym przypadku. Określane są cele w zakresie bezpieczeństwa informacji i dostosowuje się je do polityki.

Klauzula 7 — Wsparcie

Uwzględniono zasoby, kompetencje, świadomość, komunikację oraz udokumentowane informacje. Personel zaangażowany w system zarządzania bezpieczeństwem informacji (ISMS) przechodzi odpowiednie szkolenia, a dokumentacja jest prowadzona w formie proporcjonalnej do wielkości i złożoności organizacji.

Klauzula 8 — Działanie

Organizacja planuje, wdraża i kontroluje procesy niezbędne do spełnienia wymagań dotyczących bezpieczeństwa informacji, realizuje plany oceny ryzyka i postępowania z ryzykiem oraz zarządza zmianami, które mogą mieć wpływ na system zarządzania bezpieczeństwem informacji (ISMS).

Klauzula 9 — Ocena skuteczności

System zarządzania bezpieczeństwem informacji (ISMS) jest monitorowany, mierzony i analizowany. Audyty wewnętrzne oraz przeglądy kierownictwa stanowią podstawę do oceny, czy system jest skuteczny, zgodny z wymaganiami i podlega ciągłemu doskonaleniu. Wyniki tych działań są wykorzystywane przy podejmowaniu decyzji dotyczących planowania i działalności operacyjnej.

Klauzula 10 — Doskonalenie

Niezgodności są eliminowane poprzez działania korygujące, a organizacja ma obowiązek stale doskonalić przydatność, adekwatność i skuteczność systemu ISMS. Ciągłe doskonalenie jest strukturalną cechą normy, a nie opcjonalnym dodatkiem.

Załącznik A — Zestaw kontrolny odniesienia

Załącznik A zawiera odniesienia do 93 środków kontroli pogrupowanych w cztery tematy: środki kontroli organizacyjne (37), środki kontroli dotyczące personelu (8), środki kontroli fizyczne (14) oraz środki kontroli technologiczne (34). W ramach aktualizacji z 2022 r. skonsolidowano i zreorganizowano 114 środków kontroli z wersji z 2013 r., wprowadzono 11 nowych środków kontroli (w tym analizę zagrożeń, bezpieczeństwo informacji w usługach chmurowych, gotowość ICT do zapewnienia ciągłości działania, monitorowanie bezpieczeństwa fizycznego, zarządzanie konfiguracją, usuwanie informacji, maskowanie danych, zapobieganie wyciekom danych, działania monitorujące, filtrowanie treści internetowych oraz bezpieczne kodowanie), a także zastosowano pięć atrybutów dla każdego środka kontroli (typ środka kontroli, właściwości bezpieczeństwa informacji, koncepcje cyberbezpieczeństwa, zdolności operacyjne oraz domeny bezpieczeństwa) w celu ułatwienia filtrowania i raportowania.

Grupy docelowe i obszary zastosowania normy ISO 27001

Norma ISO 27001 z założenia nie jest ograniczona do konkretnej branży. Jej wymagania mają jednakowe zastosowanie zarówno do międzynarodowego banku, regionalnej sieci szpitali, agencji publicznej, jak i start-upu programistycznego przetwarzającego dane klientów na zlecenie. W praktyce niektóre obszary zastosowań stały się szczególnie widoczne.

Dostawcy technologii informacyjnych i komunikacyjnych — w tym platformy chmurowe, dostawcy oprogramowania jako usługi (SaaS), dostawcy usług zarządzanych oraz operatorzy centrów danych — często traktują normę ISO 27001 jako podstawowe ramy zapewnienia bezpieczeństwa, których oczekują klienci korporacyjni. Organizacje z sektora usług finansowych wykorzystują normę ISO 27001 do tworzenia programów zarządzania ryzykiem związanym z technologiami informacyjno-komunikacyjnymi (ICT), które wspierają również wypełnianie obowiązków wynikających z rozporządzenia DORA. Organizacje opieki zdrowotnej stosują ją w celu ochrony danych pacjentów i systemów klinicznych, często w połączeniu z branżowymi wymogami dotyczącymi prywatności i bezpieczeństwa. Organy sektora publicznego i operatorzy infrastruktury krytycznej wdrażają normę ISO 27001 w celu wypełnienia obowiązków wynikających z dyrektywy NIS2 oraz krajowych przepisów dotyczących cyberbezpieczeństwa. Organizacje produkcyjne stosują ją w celu ochrony własności intelektualnej, zabezpieczenia środowisk technologii operacyjnych oraz spełnienia wymagań dotyczących bezpieczeństwa łańcucha dostaw stawianych przez dużych klientów, w tym producentów oryginalnego sprzętu (OEM).

Dla każdej z tych organizacji certyfikowany system zarządzania bezpieczeństwem informacji (ISMS) zapewnia ustrukturyzowane ramy dla opartych na dowodach decyzji dotyczących inwestycji i priorytetów w zakresie bezpieczeństwa informacji. Wspiera on podejmowanie świadomych decyzji przez kierownictwo oraz stanowi podstawę do rozmów opartych na ryzyku z organami regulacyjnymi, klientami i partnerami w łańcuchu dostaw, pozostawiając jednocześnie merytoryczne decyzje osobom za nie odpowiedzialnym.

Normy powiązane z ISO 27001

Zharmonizowana struktura i typowe kombinacje

Norma ISO 27001 wykorzystuje zharmonizowaną strukturę załącznika SL wspólną z innymi powszechnie stosowanymi normami dotyczącymi systemów zarządzania, w tym ISO 9001 (jakość), ISO 14001 (środowisko) oraz ISO 22301 (ciągłość działania). Ta wspólna struktura pozwala organizacjom na stosowanie zintegrowanego systemu zarządzania, w którym wymagania dotyczące bezpieczeństwa informacji, jakości, ochrony środowiska i ciągłości działania opierają się na wspólnych zobowiązaniach kierownictwa, procesach planowania, audytach wewnętrznych oraz przeglądach kierowniczych. Połączone audyty obejmujące te systemy są powszechne w praktyce i zazwyczaj ograniczają powielanie działań.

Rodzina norm ISO 27000 

Norma ISO 27001 stanowi centralny element rodziny norm ISO 27000, które łącznie dogłębnie poruszają temat zarządzania bezpieczeństwem informacji. Norma ISO 27000 zawiera przegląd i słownictwo dotyczące tej rodziny norm. Norma ISO 27002 rozszerza każdy środek kontroli z załącznika A o szczegółowe wytyczne dotyczące wdrożenia i jest normą najczęściej stosowaną wraz z normą ISO 27001 podczas wdrażania. Norma ISO 27005 zawiera wytyczne dotyczące zarządzania ryzykiem związanym z bezpieczeństwem informacji i jest szeroko stosowana w celu operacyjnego wdrożenia klauzul normy ISO 27001 opartych na ryzyku. Normy ISO 27017 i ISO 27018 rozszerzają zestaw środków kontroli odpowiednio na usługi w chmurze oraz na ochronę danych osobowych (PII) w środowiskach chmury publicznej. Norma ISO 27019 stanowi wytyczne dotyczące ustanowienia systemu zarządzania bezpieczeństwem informacji dla systemów sterowania stosowanych w dostawach energii. Norma ta opiera się na środkach kontroli bezpieczeństwa informacji określonych w normie ISO 27002 i dodaje wymagania specyficzne dla sektora, wykraczające poza ogólne środki zdefiniowane w tej normie. Norma ISO 27701 określa wymagania i wytyczne dotyczące systemu zarządzania informacjami dotyczącymi prywatności (PIMS).

Rozszerzenia branżowe i tematyczne

Szereg norm branżowych opiera się na normie ISO 27001 w sensie normatywnym. Norma ISO/IEC 27011 zawiera dodatkowe wytyczne dla organizacji telekomunikacyjnych. Normy ISO/IEC 27017 i ISO/IEC 27018 dotyczą środków kontroli specyficznych dla chmury. Norma ISO/IEC 27019 zawiera wytyczne dla branży energetycznej. Norma ISO/IEC 27799 stosuje środki kontroli z normy ISO/IEC 27002 w informatyce medycznej. Rozszerzenia te wykorzystują system zarządzania z normy ISO 27001 oraz dodają lub udoskonalają środki kontroli istotne dla danego sektora.

Różnice w stosunku do podobnych ram

Normę ISO 27001 porównuje się czasem z innymi ramami bezpieczeństwa informacji, w szczególności z SOC 2 i ramami cyberbezpieczeństwa NIST. Norma ISO 27001 jest międzynarodową normą, zgodnie z którą system zarządzania bezpieczeństwem informacji (ISMS) może zostać certyfikowany przez jednostkę certyfikującą. SOC 2 to ramy sprawozdawczości zdefiniowane przez Amerykański Instytut Biegłych Księgowych (AICPA), w ramach których specjaliści ds. zapewnienia jakości wydają raporty poświadczające dotyczące środków kontroli związanych z bezpieczeństwem, dostępnością, integralnością przetwarzania, poufnością lub prywatnością. Chociaż zakresy obu standardów częściowo się pokrywają, obejmują one różne obszary i opierają się na różnych modelach zarządzania, dlatego nie należy ich określać jako równoważnych. Ramy cyberbezpieczeństwa NIST to dobrowolne ramy mające na celu ukierunkowanie zarządzania ryzykiem, szczególnie w Stanach Zjednoczonych; nie podlegają one certyfikacji w takim samym sensie jak norma ISO 27001.