Razlaga standarda ISO 27001

Neodvisen pregled, ki ga je pripravil DQS, akreditirani certifikacijski organ.

ISO 27001 je vodilni mednarodni standard za sisteme upravljanja informacijske varnosti (ISMS). Določa zahteve, ki jih mora organizacija izpolniti, da sistematično identificira, oceni in obravnava tveganja za informacijsko varnost – pri čemer zajema ljudi, procese in tehnologijo, ne pa le enega samega tehničnega nadzornega mehanizma. Standard velja za organizacije vseh velikosti in iz vseh sektorjev, od finančnih institucij, izvajalcev zdravstvenih storitev in javnih organov do ponudnikov storitev v oblaku, proizvajalcev in podjetij za programsko opremo, ki obdelujejo občutljive podatke v imenu strank, zaposlenih ali partnerjev. Trenutna izdaja je ISO/IEC 27001:2022, ki je nadomestila različico iz leta 2013; triletno prehodno obdobje za organizacije, ki so bile že certificirane, se je končalo 31. oktobra 2025, sprememba, objavljena leta 2024 (Sprememba 1:2024), pa je dodala izrecne zahteve v zvezi z ukrepi za boj proti podnebnim spremembam.

Ključni podatki o standardu ISO 27001 na kratko

Kontekst in gonilne sile za ISO 27001

Regulativni pritisk na informacijsko varnost

Regulativno okolje na področju informacijske varnosti se je v zadnjih letih močno zaostrilo, zlasti v Evropski uniji. Direktiva o varnosti omrežij in informacij 2 (NIS2) razširja obveznosti na področju kibernetske varnosti na znatno širši nabor ključnih in pomembnih subjektov, vključno s srednje velikimi organizacijami iz različnih sektorjev, kot so energetika, promet, zdravstvo, digitalna infrastruktura in proizvodnja. Zakon o digitalni operativni odpornosti (DORA), ki velja za finančne subjekte in njihove kritične zunanje ponudnike informacijsko-komunikacijske tehnologije (IKT), določa podrobne zahteve za obvladovanje tveganj na področju IKT, poročanje o incidentih, testiranje odpornosti in nadzor nad ponudniki. Niti NIS2 niti DORA ne predpisujeta standarda ISO 27001 kot obvezne osnove, vendar se oba sklicujeta na mednarodno priznane standarde informacijske varnosti kot referenčno točko, številne organizacije pa uporabljajo certificirane sisteme upravljanja informacijske varnosti (ISMS) kot strukturno podlago, na kateri temeljijo njihovi regulativni programi.

Pričakovanja trga in zaupanje strank

Poleg formalnih predpisov je informacijska varnost postala rutinska tema v pogodbah med podjetji, razpisnih postopkih in programih za kvalifikacijo dobaviteljev. Podjetja kot stranke vse pogosteje zahtevajo, da njihovi dobavitelji pred odobritvijo dostopa do sistemov ali podatkov dokažejo zunanje preverjen sistem upravljanja informacijske varnosti (ISMS), certifikati, ki jih izdajo akreditirani certifikacijski organi, pa so splošno sprejeti kot dokaz te zrelosti. Za ponudnike programske opreme, ponudnike storitev v oblaku in druge organizacije, katerih poslovni model temelji na podatkih strank, je certifikat ISO 27001 v mnogih sektorjih postal skorajda pogoj za vstop na trg. Ta trend še okrepi vse večja ozaveščenost javnosti o kršitvah varnosti podatkov, izsiljevalski programski opremi in napadih na dobavno verigo, kar je povečalo pričakovanja glede tega, kako organizacije varujejo informacije v celotni vrednostni verigi.

Povezovanje z odpornostjo, zasebnostjo in trajnostjo

Informacijska varnost ni več osamljen pojav. Vedno bolj se prepleta z operativno odpornostjo, neprekinjenim poslovanjem, zasebnostjo ter – od objave spremembe 1:2024 – tudi z vidiki, povezanimi s podnebnimi spremembami. Upravni odbori in odbori za obvladovanje tveganj obravnavajo informacijsko varnost kot eno od dimenzij širšega konteksta, ki vključuje izpade informacijsko-komunikacijske tehnologije, tveganja, povezana s tretjimi stranmi, ter motnje, ki jih povzročajo ekstremni vremenski pojavi, ki vplivajo na kritično infrastrukturo. Standard ISO 27001 zagotavlja strukturno oporo, ki organizacijam omogoča, da te sorodne teme – zasebnost, neprekinjeno poslovanje, nadzor dobaviteljev in fizično odpornost – vključijo v enoten sistem upravljanja, namesto da bi jih obravnavale kot mozaik nepovezanih pobud.

Osnovne zahteve standarda ISO 27001

Standard ISO/IEC 27001:2022 sledi usklajeni strukturi Priloge SL, ki je skupna sodobnim standardom sistemov vodenja ISO. Klavzule 1–3 opredeljujejo področje uporabe, normativne reference in izraze. Klavzule 4–10 vsebujejo zahteve sistema vodenja, ki se lahko preverjajo in so povzete v nadaljevanju. Priloga A nato navaja 93 ukrepov za informacijsko varnost, podrobno opisanih v standardu ISO 27002, iz katerih organizacija na podlagi svoje ocene tveganja izbere tiste, ki so zanjo primerni.

Ključ 4 — Kontekst organizacije

Organizacija opredeli notranje in zunanje zadeve, ki vplivajo na njen sistem upravljanja informacijske varnosti (ISMS), ter določi potrebe in pričakovanja zainteresiranih strani, kot so stranke, regulativni organi, partnerji v dobavni verigi in delničarji. Na tej podlagi opredeli obseg sistema ISMS, vključno z lokacijami, poslovnimi dejavnostmi, tehnologijami in informacijskimi sredstvi, ki so zajeta v sistemu.

Ključ 5 — Vodstvo

Najvišje vodstvo izkazuje vodstvene sposobnosti in zavezanost sistemu ISMS, podpiše se politika informacijske varnosti ter se dodelijo vloge, odgovornosti in pooblastila. Informacijska varnost je opredeljena kot strateško pomembna tema, ne pa kot delegirana tehnična funkcija.

Ključ 6 – Načrtovanje

Organizacija opravi oceno tveganj za informacijsko varnost, opredeli merila za sprejemanje in obravnavanje tveganj ter izbere nadzorne ukrepe, potrebne za obvladovanje teh tveganj. Izjava o veljavnosti dokumentira, kateri nadzorni ukrepi iz Priloge A se uporabljajo, kateri so izključeni in kakšna je utemeljitev v vsakem posameznem primeru. Cilji informacijske varnosti so opredeljeni in usklajeni s politiko.

Ključ 7 — Podpora

Obravnavajo se viri, usposobljenost, ozaveščenost, komunikacija in dokumentirane informacije. Osebje, vključeno v sistem upravljanja informacijske varnosti (ISMS), prejme ustrezno usposabljanje, dokumentacija pa se vzdržuje v obliki, ki je sorazmerna z velikostjo in zapletenostjo organizacije.

Ključ 8 — Delovanje

Organizacija načrtuje, izvaja in nadzira procese, potrebne za izpolnjevanje zahtev informacijske varnosti, izvaja oceno tveganj in načrte za obravnavo tveganj ter upravlja spremembe, ki bi lahko vplivale na sistem upravljanja informacijske varnosti (ISMS).

Ključ 9 – Ocena uspešnosti

Sistem upravljanja informacijske varnosti (ISMS) se spremlja, meri in analizira. Notranje revizije in pregledi s strani vodstva zagotavljajo podlago za ocenjevanje, ali je sistem učinkovit, skladen z zahtevami in se nenehno izboljšuje. Rezultati se upoštevajo pri načrtovanju in operativnih odločitvah.

Ključ 10 – Izboljševanje

Neskladnosti se odpravljajo s korekcijskimi ukrepi, organizacija pa mora nenehno izboljševati primernost, ustreznost in učinkovitost sistema ISMS. Nenehno izboljševanje je strukturna značilnost standarda in ne le neobvezna dopolnitev.

Priloga A – Referenčni nabor kontrolnih ukrepov

Priloga A navaja 93 kontrolnih ukrepov, razvrščenih v štiri teme: organizacijski kontrolni ukrepi (37), kontrolni ukrepi v zvezi z osebjem (8), fizični kontrolni ukrepi (14) in tehnološki kontrolni ukrepi (34). Revizija iz leta 2022 je konsolidirala in preuredila 114 kontrolnih ukrepov iz različice iz leta 2013, uvedla 11 novih kontrolnih ukrepov (vključno z obveščanjem o grožnjah, informacijsko varnostjo za storitve v oblaku, pripravljenost IKT za neprekinjeno poslovanje, nadzor fizične varnosti, upravljanje konfiguracij, brisanje informacij, maskiranje podatkov, preprečevanje uhajanja podatkov, dejavnosti nadzora, filtriranje spletnih vsebin in varno kodiranje) ter za vsak nadzorni ukrep uporabila pet atributov (vrsta nadzornega ukrepa, lastnosti informacijske varnosti, koncepti kibernetske varnosti, operativne zmogljivosti in varnostna področja) za podporo filtriranju in poročanju.

Ciljne skupine in področja uporabe standarda ISO 27001

Standard ISO 27001 je po zasnovi neodvisen od sektorja. Njegove zahteve veljajo enako za multinacionalno banko, regionalno mrežo bolnišnic, javno agencijo in start-up podjetje za programsko opremo, ki obdeluje podatke strank v imenu naročnikov. V praksi so postala posebej vidna določena področja uporabe.

Ponudniki informacijsko-komunikacijske tehnologije – vključno s platformami v oblaku, ponudniki storitev »programska oprema kot storitev« (SaaS), ponudniki upravljanih storitev in upravljavci podatkovnih centrov – pogosto obravnavajo standard ISO 27001 kot osnovni okvir zagotavljanja varnosti, ki ga pričakujejo podjetniški kupci. Organizacije na področju finančnih storitev uporabljajo standard ISO 27001 za oblikovanje programov upravljanja tveganj na področju informacijskih in komunikacijskih tehnologij, ki podpirajo tudi obveznosti iz uredbe DORA. Organizacije v zdravstvu ga uporabljajo za zaščito podatkov o pacientih in kliničnih sistemov, pogosto skupaj z zahtevami glede zasebnosti in varnosti, specifičnimi za ta sektor. Organi javnega sektorja in upravljavci kritične infrastrukture izvajajo standard ISO 27001 za izpolnjevanje obveznosti v skladu z direktivo NIS2 in nacionalno zakonodajo o kibernetski varnosti. Proizvodna podjetja ga sprejemajo za zaščito intelektualne lastnine, zaščito operativnih tehnoloških okolij ter izpolnjevanje varnostnih zahtev v dobavni verigi velikih strank, vključno s proizvajalci originalne opreme (OEM).

Za vse te organizacije certificiran sistem upravljanja informacijske varnosti (ISMS) zagotavlja strukturiran okvir za na dokazih temelječe odločitve o naložbah v informacijsko varnost in prednostnih nalogah. Podpira utemeljene odločitve vodstva in zagotavlja podlago za pogovore o tveganjih z regulatorji, strankami in partnerji v dobavni verigi, hkrati pa prepušča vsebinske odločitve osebam, ki so zanje odgovorne.

Standardi, povezani z ISO 27001

Usklajena struktura in tipične kombinacije

Standard ISO 27001 si deli usklajeno strukturo Priloge SL z drugimi široko uporabljanimi standardi sistemov vodenja, vključno z ISO 9001 (kakovost), ISO 14001 (okolje) in ISO 22301 (neprekinjeno poslovanje). Ta skupna struktura omogoča organizacijam, da uporabljajo integriran sistem vodenja, v katerem zahteve glede informacijske varnosti, kakovosti, okolja in neprekinjenega poslovanja delijo zaveze vodstva, postopke načrtovanja, notranje revizije in preglede vodenja. Kombinirane revizije v okviru teh sistemov so v praksi pogoste in ponavadi zmanjšujejo podvajanje.

Družina standardov ISO 27000 

Standard ISO 27001 je v središču družine standardov ISO 27000, ki skupaj podrobno obravnavajo upravljanje informacijske varnosti. Standard ISO 27000 zagotavlja pregled in terminologijo za to družino. Standard ISO 27002 vsak nadzorni ukrep iz Priloge A dopolnjuje s podrobnimi navodili za izvajanje in je standard, ki se pri izvajanju najpogosteje uporablja skupaj s standardom ISO 27001. Standard ISO 27005 zagotavlja smernice za upravljanje tveganj informacijske varnosti in se široko uporablja za operacionalizacijo klavzul standarda ISO 27001, ki temeljijo na tveganju. Standarda ISO 27017 in ISO 27018 razširjata nabor kontrolnih ukrepov na storitve v oblaku oziroma na zaščito osebno identificirljivih podatkov (PII) v javnih oblačnih okoljih. ISO 27019 je standard s smernicami za vzpostavitev sistema upravljanja informacijske varnosti za krmilne sisteme, ki se uporabljajo pri oskrbi z energijo. Standard temelji na kontrolah informacijske varnosti, opredeljenih v standardu ISO 27002, in dodaja sektorsko specifične zahteve, ki presegajo splošne ukrepe, opredeljene v navedenem standardu. Standard ISO 27701 določa zahteve in smernice za sistem upravljanja z informacijami o zasebnosti (PIMS).

Razširitve, specifične za posamezne sektorje in teme

Številni sektorju specifični standardi v normativnem smislu temeljijo na standardu ISO 27001. Standard ISO/IEC 27011 zagotavlja dodatne smernice za telekomunikacijske organizacije. Standarda ISO/IEC 27017 in ISO/IEC 27018 obravnavata nadzorne ukrepe, specifične za oblak. Standard ISO/IEC 27019 zagotavlja smernice za sektor energetskih podjetij. Standard ISO/IEC 27799 uporablja nadzorne ukrepe iz standarda ISO/IEC 27002 na področju zdravstvene informatike. Te razširitve ponovno uporabljajo sistem upravljanja iz standarda ISO 27001 ter dodajajo ali izpopolnjujejo nadzorne ukrepe, ki so relevantni za zadevni sektor.

Razlikovanje od podobnih okvirov

Standard ISO 27001 se včasih primerja z drugimi okviri informacijske varnosti, zlasti s SOC 2 in okvirom NIST za kibernetsko varnost. ISO 27001 je mednarodni standard, v skladu s katerim lahko certifikacijski organ certifi-cira sistem upravljanja informacijske varnosti (ISMS). SOC 2 je okvir poročanja, ki ga je opredelil Ameriški inštitut pooblaščenih računovodij (AICPA), v skladu s katerim strokovnjaki za zagotavljanje kakovosti izdajajo potrditvena poročila o kontrolnih ukrepih, ki se nanašajo na varnost, razpoložljivost, integriteto obdelave, zaupnost ali zasebnost. Čeprav se področji delovanja prekrivata, pokrivata različna področja in sledita različnim modelom upravljanja, zato ju ne smemo opisovati kot enakovredna. Okvir za kibernetsko varnost NIST je prostovoljni okvir, namenjen usmerjanju obvladovanja tveganj, zlasti v Združenih državah Amerike; ni mogoče ga certificirati v istem smislu kot standard ISO 27001.