Wprowadzenie
Do czego służy norma
ISO/IEC 27001 opisuje wymagania wobec systemu zarządzania bezpieczeństwem informacji (SZBI, ang. ISMS). Nie mówi, jakie konkretne technologie wdrożyć. Mówi, jak zorganizować zarządzanie bezpieczeństwem, żeby było oparte na ryzyku, miało właścicieli, mierzalne cele i żeby było stale poprawiane.
Celem SZBI jest ochrona poufności, integralności i dostępności informacji przez zarządzanie ryzykiem, a przy okazji danie klientom, partnerom i regulatorom podstaw do zaufania, że ryzyko jest pod kontrolą.
Norma podkreśla, że SZBI ma być częścią sposobu działania organizacji, a nie osobnym projektem obok niej. Kształt systemu zależy od wielkości firmy, jej procesów, wymagań i celów.
Budowa normy
| Część | Charakter | Zawartość |
|---|---|---|
| Rozdziały 0–3 | informacyjne | wprowadzenie, zakres, odniesienia normatywne, terminy |
| Rozdziały 4–10 | wymagania | kontekst, przywództwo, planowanie, wsparcie, działania operacyjne, ocena, doskonalenie |
| Załącznik A | normatywny | lista 93 zabezpieczeń, z którą trzeba porównać własny wybór zabezpieczeń (6.1.3) |
Kolejność wymagań w normie nie oznacza ich ważności ani kolejności wdrażania.
Wspólna struktura z innymi normami
Rozdziały 4–10 mają ten sam układ i wiele wspólnych sformułowań co inne normy systemów zarządzania ISO, np. ISO 9001 (jakość), ISO 14001 (środowisko), ISO 22301 (ciągłość działania) czy ISO/IEC 42001 (AI). Ułatwia to zbudowanie jednego, zintegrowanego systemu zarządzania dla kilku norm naraz.
Cykl PDCA
Wydanie 2005 opierało się wprost na modelu PDCA. Wydania 2013 i 2022 już go nie przywołują i nie narzucają żadnego konkretnego modelu doskonalenia. Układ rozdziałów da się jednak na niego nałożyć:
- Plan — rozdziały 4–6 (kontekst, przywództwo, planowanie),
- Do — rozdziały 7–8 (wsparcie, działania operacyjne),
- Check — rozdział 9 (ocena efektów),
- Act — rozdział 10 (doskonalenie).
Rodzina norm 27000
| Norma | Rola |
|---|---|
| ISO/IEC 27000 | przegląd i słownictwo — definicje obowiązujące w 27001 |
| ISO/IEC 27001 | wymagania wobec SZBI — jedyna norma z rodziny, według której się certyfikuje organizacje |
| ISO/IEC 27002 | wytyczne do każdego zabezpieczenia z Załącznika A — zob. opracowanie ISO 27002 |
| ISO/IEC 27003 | wytyczne do wdrażania wymagań 27001 |
| ISO/IEC 27004 | monitorowanie, pomiary, analiza i ocena |
| ISO/IEC 27005 | wytyczne do zarządzania ryzykiem bezpieczeństwa informacji |
| ISO/IEC 27006 | wymagania wobec jednostek certyfikujących |