Opracowanie dokumentacji ISO27001
Z przyjemnością informujemy, że zakończyliśmy prace nad opracowaniem dokumentacji dla standardu ISO/IEC 27001!
To niezwykle istotny krok w kierunku skutecznego zarządzania bezpieczeństwem informacji i zgodności z uznaną normą międzynarodową — ułatwia też spełnienie wymagań regulacyjnych, np. NIS2.
Opracowanie przepisałem. Pierwotna wersja (2025-03-15) w dużej mierze odtwarzała tekst normy i miała błędy: wymagania (shall) były oddane jako zalecenia („powinna”), brakowało klauzuli 6.3 „Planowanie zmian” z wydania 2022, nie było poprawki Amd 1:2024 (zmiana klimatu w 4.1 i 4.2), a kilka zabezpieczeń z Załącznika A było źle przetłumaczonych (np. operational systems jako „systemy operacyjne”).
Teraz to omówienie własnymi słowami: dla każdej klauzuli co norma wymaga, jak to wygląda w praktyce i co pokazać audytorowi. Nie zastępuje tekstu normy — ten trzeba kupić w ISO lub PKN.
📌 Czym jest ISO/IEC 27001?
ISO 27001 to międzynarodowy standard określający wymagania dotyczące Systemu Zarządzania Bezpieczeństwem Informacji (SZBI). Jego wdrożenie pomaga organizacjom w ochronie poufności, integralności i dostępności danych. Standard ten koncentruje się na podejściu opartym na ryzyku, umożliwiając organizacjom identyfikację i minimalizowanie zagrożeń.
📑 Kluczowe elementy dokumentacji ISO 27001
Norma sama wskazuje, które udokumentowane informacje są obowiązkowe — m.in.:
✔️ Zakres SZBI (4.3) – granice systemu: lokalizacje, procesy, usługi.
✔️ Polityka bezpieczeństwa informacji (5.2) – główny dokument określający cele i zasady bezpieczeństwa.
✔️ Proces i wyniki oceny ryzyka (6.1.2, 8.2) – identyfikacja, analiza i ewaluacja ryzyk dla informacji.
✔️ Proces i plan postępowania z ryzykiem (6.1.3, 8.3) – wybrane zabezpieczenia i akceptacja ryzyka rezydualnego.
✔️ Deklaracja Stosowania (SoA) (6.1.3) – dla każdego z 93 zabezpieczeń Załącznika A: czy jest stosowane, dlaczego i czy jest wdrożone.
✔️ Cele bezpieczeństwa informacji (6.2).
✔️ Monitorowanie, audyt i przegląd zarządzania (9.1–9.3) – dowody, że system działa i jest oceniany.
✔️ Niezgodności i działania korygujące (10.2).
Inne dokumenty — procedury operacyjne (kopie zapasowe, dostęp, incydenty, kryptografia) czy plan ciągłości działania — wynikają z zabezpieczeń wybranych w Deklaracji Stosowania, a nie z samej normy. Ich zakres zależy od oceny ryzyka.
Pełna lista jest w omówieniu klauzuli 7.5.1.
🔗 Sprawdź opracowanie tutaj:
Dzięki wdrożeniu ISO 27001 organizacje nie tylko zwiększają bezpieczeństwo swoich zasobów, ale także budują zaufanie klientów i partnerów biznesowych.
Jeśli masz pytania dotyczące wdrożenia standardu albo znajdziesz błąd w opracowaniu, napisz.
📧 Kontakt: [email protected]