01 Zakres
To omówienie ISO/IEC 27002:2022 własnymi słowami, a nie tłumaczenie normy. Struktura, numeracja zabezpieczeń i wartości atrybutów odpowiadają normie. Opisy, przykłady i sekcje „W praktyce” są moje. Pełny tekst normy jest płatny i dostępny w ISO oraz w PKN (jako PN-EN ISO/IEC 27002). Nazwy zabezpieczeń to tłumaczenie robocze — oficjalne polskie nazwy mogą się różnić. Opracowanie przepisano od nowa 4 października 2026 r.; wcześniejsza wersja była bliska tłumaczeniu i miała błędy merytoryczne.
Czym jest ISO/IEC 27002
ISO/IEC 27002 to katalog zabezpieczeń bezpieczeństwa informacji z wytycznymi wdrożeniowymi. Opisuje 93 zabezpieczenia (controls): co każde z nich ma osiągnąć, jak można je wdrożyć i na co uważać.
Norma jest przeznaczona do trzech zastosowań:
- w ramach systemu zarządzania bezpieczeństwem informacji (SZBI) zgodnego z ISO/IEC 27001 — jako rozwinięcie jej Załącznika A;
- do wdrażania zabezpieczeń opartych na uznanych dobrych praktykach, także bez certyfikacji;
- do budowy własnych, branżowych lub firmowych wytycznych bezpieczeństwa.
27002 a 27001
| ISO/IEC 27001:2022 | ISO/IEC 27002:2022 | |
|---|---|---|
| Charakter | wymagania (shall) — „musi” | wytyczne (should) — „powinien”, „zaleca się” |
| Certyfikacja | tak, na zgodność z nią się certyfikuje | nie, to dokument pomocniczy |
| Zabezpieczenia | Załącznik A: 93 jednozdaniowe opisy | te same 93 zabezpieczenia z celem, wytycznymi i atrybutami |
| Wybór zabezpieczeń | wynika z oceny ryzyka i Deklaracji Stosowania | norma nie mówi, które wybrać — to decyzja organizacji |
Dlatego w tym opracowaniu „powinien” jest poprawne: 27002 zaleca, a nie wymaga. Wymagania stawia ISO/IEC 27001, a 27002 podpowiada, jak je spełnić.
Czego norma nie robi
- Nie mówi, które zabezpieczenia są obowiązkowe. Wybór wynika z oceny ryzyka organizacji (zob. klauzulę 6.1.3 ISO/IEC 27001).
- Nie jest listą zamkniętą — organizacja może stosować zabezpieczenia spoza katalogu.
- Nie zastępuje przepisów prawa. Wytyczne trzeba dopasować do lokalnych wymagań, np. RODO czy Kodeksu pracy.
Jak czytać strony zabezpieczeń
Każde zabezpieczenie w rozdziałach 5–8 ma ten sam układ:
- W skrócie i Cel — o co chodzi i po co;
- Atrybuty — tabela pięciu typów atrybutów z normy (zob. 4.2);
- Wytyczne — co norma zaleca, opisane własnymi słowami;
- W praktyce — narzędzia i przykłady, które nie pochodzą z normy;
- Powiązania — odpowiednik w Załączniku A ISO/IEC 27001, pokrewne zabezpieczenia i numer z wydania 2013.
★ oznacza 11 zabezpieczeń nowych w wydaniu 2022: 5.7, 5.23, 5.30, 7.4, 8.9, 8.10, 8.11, 8.12, 8.16, 8.23, 8.28.