O tym opracowaniu
To jest omówienie normy ISO/IEC 27001:2022 razem z poprawką Amd 1:2024, napisane własnymi słowami. Nie jest to tekst normy ani jej tłumaczenie. Kolejne strony idą za numeracją rozdziałów normy, żeby łatwo było przejść od omówienia do oryginału. Każdą stronę traktuj jako wyjaśnienie „o co chodzi i jak to wygląda w praktyce”.
Do wdrożenia, audytu albo certyfikacji potrzebny jest oryginalny tekst normy. Można go kupić w ISO albo, w wersji polskiej, w Polskim Komitecie Normalizacyjnym (pkn.pl).
Jak czytać wymagania
Norma rozróżnia wymaganie od zalecenia i to rozróżnienie jest w niej istotne:
| W normie (EN) | Znaczenie | W tym omówieniu |
|---|---|---|
| shall | wymaganie — trzeba je spełnić, żeby deklarować zgodność | „norma wymaga”, „trzeba”, „musi” |
| should | zalecenie | „norma zaleca” |
| may / can | dopuszczenie lub możliwość | „można”, „może” |
Sekcje „W praktyce” i „Co pokazać audytorowi” to mój komentarz, a nie treść normy.
Historia wydań
- BS 7799-2 — brytyjski poprzednik normy.
- ISO/IEC 27001:2005 — pierwsze wydanie międzynarodowe.
- ISO/IEC 27001:2013 — przejście na wspólną strukturę norm systemów zarządzania (Annex SL), 114 zabezpieczeń w 14 domenach.
- ISO/IEC 27001:2022 — wydanie trzecie, obecne.
- ISO/IEC 27001:2022/Amd 1:2024 (luty 2024) — poprawka dotycząca zmian klimatu (rozdziały 4.1 i 4.2).
Okres przejściowy dla certyfikatów wydanych według wersji 2013 skończył się 31 października 2025 r.
Co zmieniło się w wydaniu 2022
- Załącznik A dostosowano do ISO/IEC 27002:2022. Zamiast 114 zabezpieczeń w 14 domenach jest 93 zabezpieczeń w 4 grupach: organizacyjne (37), dotyczące ludzi (8), fizyczne (14) i technologiczne (34). 11 z nich jest nowych — zob. Załącznik A.
- Nowa klauzula 6.3 „Planowanie zmian”.
- 4.2 c) — trzeba określić, które wymagania zainteresowanych stron SZBI będzie realizował.
- 4.4 — SZBI obejmuje także potrzebne procesy i ich wzajemne powiązania.
- 6.2 — cele bezpieczeństwa muszą być monitorowane.
- 8.1 — trzeba ustalić kryteria dla procesów; mowa o procesach, produktach i usługach dostarczanych z zewnątrz.
- 9.3.2 c) — nowe dane wejściowe przeglądu: zmiany w potrzebach i oczekiwaniach zainteresowanych stron.
- 10 — zamieniono kolejność: 10.1 to ciągłe doskonalenie, 10.2 to niezgodności.
- Rozdziały 4–10 dostosowano do zharmonizowanej struktury (harmonized structure) norm systemów zarządzania.
Poprawka Amd 1:2024
Poprawka dodaje dwie rzeczy:
- w 4.1: organizacja musi określić, czy zmiana klimatu jest dla niej istotną kwestią;
- w 4.2: uwagę, że zainteresowane strony mogą mieć wymagania związane ze zmianą klimatu.
Nie wymaga to od każdej organizacji uznania klimatu za istotny. Wymaga, żeby rozważyć tę kwestię i umieć pokazać wynik.