Vysvetlenie normy ISO 27001

Nezávislý prehľad od DQS, akreditovaného certifikačného orgánu.

ISO 27001 je popredná medzinárodná norma pre systémy riadenia bezpečnosti informácií (ISMS). Špecifikuje požiadavky, ktoré musí organizácia spĺňať, aby systematicky identifikovala, posudzovala a riešila riziká v oblasti bezpečnosti informácií – a to so zreteľom na ľudí, procesy a technológie, a nie len na jednu technickú kontrolu. Táto norma je relevantná pre organizácie každej veľkosti a z každého odvetvia, od finančných inštitúcií, poskytovateľov zdravotnej starostlivosti a verejných orgánov až po poskytovateľov cloudových služieb, výrobcov a softvérové spoločnosti, ktoré spracúvajú citlivé informácie v mene zákazníkov, zamestnancov alebo partnerov. Aktuálne znenie je ISO/IEC 27001:2022, ktoré nahradilo verziu z roku 2013; trojročné prechodné obdobie pre organizácie s predchádzajúcou certifikáciou skončilo 31. októbra 2025 a dodatok uverejnený v roku 2024 (Dodatok 1:2024) doplnil výslovné požiadavky týkajúce sa opatrení v oblasti klímy.

Kľúčové fakty o norme ISO 27001 v skratke

Kontext a hnacie sily normy ISO 27001

Regulačný tlak na informačnú bezpečnosť

Regulačné prostredie v oblasti informačnej bezpečnosti sa v posledných rokoch výrazne sprísnilo, najmä v Európskej únii. Smernica o bezpečnosti sietí a informácií 2 (NIS2) rozširuje povinnosti v oblasti kyberbezpečnosti na podstatne širšiu skupinu kľúčových a dôležitých subjektov, vrátane stredne veľkých organizácií v rôznych odvetviach, ako sú energetika, doprava, zdravotníctvo, digitálna infraštruktúra a výrobný priemysel. Zákon o digitálnej prevádzkovej odolnosti (DORA), ktorý sa vzťahuje na finančné subjekty a ich kritických externých poskytovateľov informačných a komunikačných technológií (IKT), stanovuje podrobné požiadavky na riadenie rizík v oblasti IKT, hlásenie incidentov, testovanie odolnosti a dohľad nad poskytovateľmi. Ani smernica NIS2, ani zákon DORA nepredpisujú normu ISO 27001 ako povinný základ, ale obe sa odvolávajú na medzinárodne uznávané normy informačnej bezpečnosti ako na referenčný bod a mnohé organizácie využívajú certifikovaný systém riadenia informačnej bezpečnosti (ISMS) ako štrukturálny základ, na ktorom sú postavené ich regulačné programy.

Očakávania trhu a dôvera zákazníkov

Okrem formálnej regulácie sa informačná bezpečnosť stala bežnou súčasťou zmlúv medzi podnikmi, verejných obstarávaní a programov kvalifikácie dodávateľov. Podnikoví zákazníci čoraz častejšie vyžadujú od svojich dodávateľov preukázanie externého overenia systému riadenia informačnej bezpečnosti (ISMS) pred udelením prístupu k systémom alebo údajom, pričom certifikáty vydané akreditovanými certifikačnými orgánmi sú široko akceptované ako dôkaz tejto zrelosti. Pre dodávateľov softvéru, poskytovateľov cloudových služieb a iné organizácie, ktorých obchodný model spočíva na údajoch zákazníkov, sa certifikát ISO 27001 v mnohých odvetviach stal takmer nevyhnutnou podmienkou pre vstup na trh. Tento trend posilňuje rastúce verejné povedomie o únikoch údajov, ransomware a útokoch na dodávateľský reťazec, čo zvýšilo očakávania týkajúce sa toho, ako organizácie chránia informácie v rámci celého svojho hodnotového reťazca.

Prepojenie s odolnosťou, ochranou súkromia a udržateľnosťou

Informačná bezpečnosť už nie je izolovanou oblasťou. Čoraz viac sa prelína s prevádzkovou odolnosťou, kontinuitou podnikania, ochranou súkromia a – od uverejnenia dodatku 1:2024 – aj s otázkami súvisiacimi s klímou. Predstavenstvá a výbory pre riadenie rizík vnímajú informačnú bezpečnosť ako jednu z dimenzií širšieho kontextu, ktorý zahŕňa výpadky IKT, riziká súvisiace s tretími stranami a narušenia spôsobené extrémnymi poveternostnými udalosťami ovplyvňujúcimi kritickú infraštruktúru. Norma ISO 27001 poskytuje štrukturálny základ, ktorý organizáciám umožňuje integrovať tieto súvisiace témy – ochranu súkromia, kontinuitu, dohľad nad dodávateľmi a fyzickú odolnosť – do jediného systému riadenia namiesto mozaiky nesúvisiacich iniciatív.

Základné požiadavky normy ISO 27001

Norma ISO/IEC 27001:2022 sa riadi harmonizovanou štruktúrou prílohy SL, ktorú majú spoločné moderné normy ISO pre systémy riadenia. Články 1–3 stanovujú rozsah pôsobnosti, normatívne odkazy a pojmy. Články 4–10 obsahujú požiadavky na systém riadenia, ktoré je možné podrobiť auditu a ktoré sú zhrnuté nižšie. Príloha A potom odkazuje na 93 kontrolných opatrení v oblasti informačnej bezpečnosti podrobne opísaných v norme ISO 27002, z ktorých si organizácia na základe svojho posúdenia rizík vyberá tie, ktoré sú pre ňu relevantné.

Článok 4 — Kontext organizácie

Organizácia identifikuje vnútorné a vonkajšie faktory, ktoré ovplyvňujú jej systém riadenia bezpečnosti informácií (ISMS), a určí potreby a očakávania zainteresovaných strán, ako sú zákazníci, regulačné orgány, partneri v dodávateľskom reťazci a akcionári. Na tomto základe definuje rozsah pôsobnosti ISMS, vrátane lokalít, obchodných činností, technológií a informačných aktív, na ktoré sa vzťahuje.

Článok 5 – Vedenie

Najvyššie vedenie preukazuje vodcovstvo a angažovanosť voči systému ISMS, podpisuje sa politika informačnej bezpečnosti a prideľujú sa úlohy, zodpovednosti a právomoci. Informačná bezpečnosť je vnímaná ako téma strategického významu, nie ako delegovaná technická funkcia.

Článok 6 – Plánovanie

Organizácia vykonáva posúdenie rizík informačnej bezpečnosti, definuje kritériá pre akceptovanie a riešenie rizík a vyberá kontrolné opatrenia potrebné na riešenie týchto rizík. Vyhlásenie o uplatniteľnosti dokumentuje, ktoré kontrolné opatrenia z prílohy A sa uplatňujú, ktoré sú vylúčené a odôvodnenie v každom prípade. Ciele informačnej bezpečnosti sú definované a zosúladené so zásadami.

Článok 7 – Podpora

Riešia sa zdroje, kompetencie, informovanosť, komunikácia a zdokumentované informácie. Zamestnanci zapojení do systému riadenia informačnej bezpečnosti (ISMS) absolvujú primerané školenia a dokumentácia sa vedie vo forme primeranej veľkosti a zložitosti organizácie.

Článok 8 — Prevádzka

Organizácia plánuje, implementuje a riadi procesy potrebné na splnenie požiadaviek informačnej bezpečnosti, vykonáva posúdenie rizík a plány ich riešenia a riadi zmeny, ktoré by mohli ovplyvniť systém riadenia informačnej bezpečnosti (ISMS).

Článok 9 – Hodnotenie výkonnosti

Systém riadenia bezpečnosti informácií (ISMS) sa monitoruje, meria a analyzuje. Vnútorné audity a preskúmania vedením poskytujú základ pre hodnotenie, či je systém účinný, vyhovujúci a či sa neustále zlepšuje. Výstupy sa zohľadňujú pri plánovaní a pri prevádzkových rozhodnutiach.

Článok 10 – Zlepšovanie

Nezhody sa riešia prostredníctvom nápravných opatrení a organizácia je povinná neustále zlepšovať vhodnosť, primeranosť a účinnosť systému ISMS. Neustále zlepšovanie je štrukturálnou súčasťou normy, nie voliteľným doplnkom.

Príloha A – Referenčný súbor kontrolných opatrení

Príloha A uvádza 93 kontrolných opatrení zoskupených do štyroch tém: Organizačné kontrolné opatrenia (37), Kontrolné opatrenia týkajúce sa ľudí (8), Fyzické kontrolné opatrenia (14) a Technologické kontrolné opatrenia (34). Revízia z roku 2022 konsolidovala a reorganizovala 114 kontrolných opatrení verzie z roku 2013, zaviedla 11 nových kontrolných opatrení (vrátane spravodajstva o hrozbách, informačnej bezpečnosti pre cloudové služby, pripravenosť IKT na zabezpečenie kontinuity činnosti, monitorovanie fyzickej bezpečnosti, správu konfigurácie, vymazávanie informácií, maskovanie údajov, prevenciu úniku údajov, monitorovacie činnosti, filtrovanie webového obsahu a bezpečné kódovanie) a na každú kontrolnú činnosť sa uplatnilo päť atribútov (typ kontrolnej činnosti, vlastnosti informačnej bezpečnosti, koncepty kyberbezpečnosti, prevádzkové schopnosti a bezpečnostné domény) na podporu filtrovania a vykazovania.

Cieľové skupiny a oblasti uplatnenia normy ISO 27001

Norma ISO 27001 je svojou povahou nezávislá od odvetvia. Jej požiadavky sa rovnako vzťahujú na nadnárodnú banku, regionálnu sieť nemocníc, verejnú inštitúciu aj softvérový start-up, ktorý spracúva údaje zákazníkov v mene klientov. V praxi sa však niektoré oblasti uplatnenia stali obzvlášť viditeľnými.

Poskytovatelia informačných a komunikačných technológií – vrátane cloudových platforiem, dodávateľov softvéru ako služby (SaaS), poskytovateľov spravovaných služieb a prevádzkovateľov dátových centier – často považujú normu ISO 27001 za základný rámec záruk, ktorý očakávajú podnikoví zákazníci. Organizácie poskytujúce finančné služby využívajú normu ISO 27001 na štruktúrovanie programov riadenia rizík v oblasti IKT, ktoré zároveň podporujú povinnosti vyplývajúce z nariadenia DORA. Organizácie v oblasti zdravotníctva ju uplatňujú na ochranu informácií o pacientoch a klinických systémov, často spolu s odvetvovo špecifickými požiadavkami na ochranu súkromia a bezpečnosť. Orgány verejného sektora a prevádzkovatelia kritickej infraštruktúry implementujú normu ISO 27001 na podporu povinností vyplývajúcich z nariadenia NIS2 a vnútroštátnych právnych predpisov v oblasti kyberbezpečnosti. Výrobné organizácie ju zavádzajú na ochranu duševného vlastníctva, zabezpečenie prostredí prevádzkových technológií a splnenie požiadaviek veľkých zákazníkov, vrátane výrobcov originálneho vybavenia (OEM), na bezpečnosť dodávateľského reťazca.

Pre každú z týchto organizácií poskytuje certifikovaný systém riadenia informačnej bezpečnosti (ISMS) štruktúrovaný rámec pre rozhodnutia založené na dôkazoch o investíciách a prioritách v oblasti informačnej bezpečnosti. Podporuje informované rozhodnutia vedenia a poskytuje základ pre diskusie zamerané na riziká s regulačnými orgánmi, zákazníkmi a partnermi v dodávateľskom reťazci, pričom podstatné rozhodnutia ponecháva na osoby, ktoré za ne nesú zodpovednosť.

Normy súvisiace s ISO 27001

Harmonizovaná štruktúra a typické kombinácie

Norma ISO 27001 zdieľa harmonizovanú štruktúru prílohy SL s ďalšími široko používanými normami systémov riadenia, vrátane ISO 9001 (kvalita), ISO 14001 (životné prostredie) a ISO 22301 (kontinuita činnosti). Táto spoločná štruktúra umožňuje organizáciám prevádzkovať integrovaný systém riadenia, v ktorom sa požiadavky na informačnú bezpečnosť, kvalitu, životné prostredie a kontinuitu podnikania zhodujú v oblasti záväzkov vedenia, procesov plánovania, vnútorných auditov a preskúmaní vedenia. Kombinované audity v rámci týchto schém sú v praxi bežné a zvyčajne znižujú duplicitu.

Rodina noriem ISO 27000 

Norma ISO 27001 je stredobodom rodiny noriem ISO 27000, ktoré spoločne podrobne riešia riadenie informačnej bezpečnosti. Norma ISO 27000 poskytuje prehľad a terminológiu pre túto rodinu noriem. Norma ISO 27002 rozširuje každú kontrolnú požiadavku z prílohy A o podrobné usmernenia na implementáciu a je normou, ku ktorej sa pri implementácii najčastejšie odvolávajú spolu s normou ISO 27001. Norma ISO 27005 poskytuje usmernenia k riadeniu rizík informačnej bezpečnosti a široko sa využíva na praktické uplatňovanie ustanovení normy ISO 27001 založených na rizikách. Normy ISO 27017 a ISO 27018 rozširujú súbor kontrolných opatrení na cloudové služby, resp. na ochranu osobne identifikovateľných informácií (PII) vo verejných cloudových prostrediach. Norma ISO 27019 je usmerňujúcou normou na zavedenie systému riadenia informačnej bezpečnosti pre riadiace systémy používané v oblasti dodávok energie. Norma vychádza z kontrolných opatrení v oblasti informačnej bezpečnosti uvedených v norme ISO 27002 a dopĺňa ich o odvetvovo špecifické požiadavky, ktoré presahujú rámec všeobecných opatrení definovaných v uvedenej norme. Norma ISO 27701 špecifikuje požiadavky a usmernenia pre systém riadenia ochrany osobných údajov (PIMS).

Rozšírenia špecifické pre jednotlivé odvetvia a témy

Na norme ISO 27001 v normatívnom zmysle nadväzuje celý rad sektorovo špecifických noriem. Norma ISO/IEC 27011 poskytuje dodatočné usmernenia pre telekomunikačné organizácie. Normy ISO/IEC 27017 a ISO/IEC 27018 sa zaoberajú kontrolnými opatreniami špecifickými pre cloudové prostredie. Norma ISO/IEC 27019 poskytuje usmernenia pre odvetvie energetiky. Norma ISO/IEC 27799 uplatňuje kontrolné opatrenia normy ISO/IEC 27002 na oblasť zdravotníckej informatiky. Tieto rozšírenia využívajú systém riadenia podľa normy ISO 27001 a dopĺňajú alebo spresňujú kontrolné opatrenia relevantné pre dané odvetvie.

Odlíšenie od podobných rámcov

Norma ISO 27001 sa niekedy porovnáva s inými rámcami informačnej bezpečnosti, najmä so SOC 2 a rámcom kyberbezpečnosti NIST. Norma ISO 27001 je medzinárodná norma, na základe ktorej môže certifikačný orgán certifikovať systém riadenia informačnej bezpečnosti (ISMS). SOC 2 je rámec pre podávanie správ definovaný Americkým inštitútom certifikovaných účtovníkov (AICPA), v rámci ktorého odborníci v oblasti uisťovania vydávajú osvedčenia o kontrolných mechanizmoch týkajúcich sa bezpečnosti, dostupnosti, integrity spracovania, dôvernosti alebo ochrany súkromia. Hoci sa tieto dva rámce čiastočne prekrývajú, pokrývajú odlišné oblasti pôsobnosti a riadia sa odlišnými modelmi správy, nemali by sa považovať za rovnocenné. Rámec kyberbezpečnosti NIST je dobrovoľný rámec určený na usmerňovanie riadenia rizík, najmä v Spojených štátoch; nie je certifikovateľný v tom istom zmysle ako norma ISO 27001.