Što je ISO 27001
ISO/IEC 27001 je norma Međunarodne organizacije za normizaciju (ISO) i Međunarodnog elektrotehničkog povjerenstva (IEC) koja propisuje zahtjeve za uspostavu, provedbu, održavanje i stalno poboljšavanje sustava upravljanja informacijskom sigurnošću.
Cilj je zaštititi povjerljivost, cjelovitost i dostupnost informacija, bez obzira na to jesu li u digitalnom obliku, na papiru ili u glavama zaposlenika. Zato ISO 27001 nije samo IT projekt: obuhvaća i organizaciju, ljude, dobavljače i fizičku zaštitu prostora.
Norma je primjenjiva na organizacije svih veličina i djelatnosti. Uz nju se koriste srodne norme iz obitelji ISO/IEC 27000, primjerice ISO/IEC 27002 sa smjernicama za provedbu kontrola i ISO/IEC 27701 za upravljanje privatnošću.
Zašto tvrtke uvode ISO 27001
- zahtjevi kupaca i nabave: veliki kupci i javni naručitelji sve češće traže certifikat ili odgovore na sigurnosne upitnike
- sustavno upravljanje rizicima: sigurnost se planira i mjeri, umjesto da se rješava od incidenta do incidenta
- lakša usklađenost s propisima: ISMS pokriva velik dio mjera koje traže Zakon o kibernetičkoj sigurnosti, GDPR i DORA
- dokaz trećim stranama: certifikat neovisnog tijela potvrđuje da sustav postoji i da se primjenjuje
Zahtjevi norme (poglavlja 4. do 10.)
| Poglavlje | Što zahtijeva |
|---|---|
| 4. Kontekst organizacije | utvrditi unutarnje i vanjske čimbenike, zainteresirane strane i opseg ISMS-a |
| 5. Vodstvo | predanost uprave, politika informacijske sigurnosti, uloge i odgovornosti |
| 6. Planiranje | procjena rizika, plan postupanja s rizicima, Izjava o primjenjivosti, ciljevi informacijske sigurnosti |
| 7. Podrška | resursi, kompetentnost, svijest zaposlenika, komunikacija i dokumentirane informacije |
| 8. Provedba | provedba plana postupanja s rizicima i periodične procjene rizika |
| 9. Vrednovanje | praćenje i mjerenje, interni audit i upravina ocjena |
| 10. Poboljšavanje | korektivne radnje i stalno poboljšavanje |
Svi zahtjevi iz poglavlja 4. do 10. su obvezni za certifikaciju. Fleksibilnost postoji samo u izboru kontrola iz Priloga A, i to na temelju procjene rizika.
Prilog A: 93 kontrole
| Skupina | Broj kontrola | Primjeri |
|---|---|---|
| Organizacijske | 37 | politike, upravljanje imovinom, kontrola pristupa, sigurnost dobavljača, upravljanje incidentima, kontinuitet poslovanja, usklađenost s propisima |
| Kadrovske | 8 | provjera kandidata, uvjeti zaposlenja, svijest, edukacija i osposobljavanje, postupak pri prestanku zaposlenja, rad na daljinu |
| Fizičke | 14 | fizički perimetar, kontrola ulaska, zaštita opreme, čist stol i čist zaslon |
| Tehnološke | 34 | upravljanje ovlastima, sigurna autentifikacija, zaštita od zlonamjernog softvera, sigurnosne kopije, zapisivanje događaja, kriptografija, sigurni razvoj |
Za svaku kontrolu tvrtka u Izjavi o primjenjivosti navodi primjenjuje li je i zašto te, ako je ne primjenjuje, zašto je isključena.
Kako teče certifikacija
| Korak | Što se radi |
|---|---|
| 1. Opseg i analiza nedostataka | odrediti koje lokacije, usluge i sustave ISMS obuhvaća i usporediti postojeće stanje sa zahtjevima norme |
| 2. Procjena rizika | utvrditi informacijsku imovinu, prijetnje i ranjivosti te odlučiti kako postupiti sa svakim rizikom |
| 3. Kontrole i dokumentacija | uvesti odabrane kontrole, izraditi politike, postupke i Izjavu o primjenjivosti |
| 4. Primjena | sustav mora neko vrijeme stvarno raditi kako bi postojali dokazi o primjeni |
| 5. Interni audit i upravina ocjena | provjeriti sustav iznutra i ispraviti nedostatke prije vanjskog audita |
| 6. Certifikacijski audit, faza 1 | certifikacijsko tijelo pregledava dokumentaciju i spremnost sustava |
| 7. Certifikacijski audit, faza 2 | certifikacijsko tijelo provjerava primjenjuje li se sustav u praksi |
| 8. Nadzorni auditi | jednom godišnje tijekom trogodišnjeg razdoblja valjanosti certifikata, zatim recertifikacija |
Certifikacijsko tijelo treba biti akreditirano. U Hrvatskoj akreditaciju provodi Hrvatska akreditacijska agencija, a priznaju se i akreditacije tijela iz drugih država članica EU-a.
Trajanje i trošak ovise o veličini organizacije, opsegu ISMS-a i zatečenom stanju. Najveći dio troška u pravilu je rad vlastitih zaposlenika na uspostavi i provedbi sustava.
ISO 27001 i Zakon o kibernetičkoj sigurnosti
Zakon o kibernetičkoj sigurnosti (NN 14/24) i Uredba o kibernetičkoj sigurnosti (NN 135/24) propisuju mjere upravljanja kibernetičkim sigurnosnim rizicima za ključne i važne subjekte. Te se mjere u velikoj mjeri preklapaju s kontrolama ISO 27001: upravljanje rizicima, postupanje s incidentima, kontinuitet poslovanja, sigurnost lanca opskrbe, kontrola pristupa, kriptografija, sigurnosne kopije i osposobljavanje zaposlenika.
Razlike koje treba znati:
- certifikat ne zamjenjuje zakonsku provjeru: ključni subjekti moraju najmanje jednom u dvije godine provesti reviziju kibernetičke sigurnosti kod certificiranog revizora kibernetičke sigurnosti, a važni subjekti u istom roku samoprocjenu
- Uredba ima vlastite mjere i razine (osnovna, srednja, napredna), od kojih su neke obvezne neovisno o procjeni rizika
- Uredba propisuje rokove prijave incidenata (rano upozorenje u roku od 24 sata) koje ISO 27001 ne propisuje
- uprava osobno odgovara za provedbu mjera i mora pohađati osposobljavanje
Središnje državno tijelo za kibernetičku sigurnost objavljuje korelacijski pregled mjera iz Uredbe u odnosu na najvažnije europske i međunarodne norme, koji olakšava korištenje postojećeg ISMS-a za ispunjavanje zakonskih zahtjeva. Više o obvezama u članku NIS2 direktiva u Hrvatskoj.
ISO 27001, GDPR i DORA
- GDPR (čl. 32.) traži odgovarajuće tehničke i organizacijske mjere zaštite osobnih podataka. ISMS daje okvir za procjenu rizika, izbor mjera i njihovo dokumentiranje. Za upravljanje privatnošću koristi se i ISO/IEC 27701.
- DORA za banke, osiguratelje i druge financijske subjekte propisuje okvir za upravljanje IKT rizicima. ISO 27001 je dobar temelj, ali DORA ima i posebne zahtjeve, primjerice za prijavu incidenata, testiranje digitalne operativne otpornosti i ugovore s pružateljima IKT usluga.
Edukacija zaposlenika u ISO 27001
Norma izričito zahtijeva da zaposlenici budu svjesni politike informacijske sigurnosti, svojeg doprinosa sustavu i posljedica nepridržavanja (poglavlje 7.3.), a Prilog A sadrži kontrolu svijesti, edukacije i osposobljavanja o informacijskoj sigurnosti. Na nadzornim auditima auditor provjerava i jesu li zaposlenici educirani i postoji li o tome evidencija.
Najčešće pogreške
- certifikat kao cilj, a ne sustav koji se svakodnevno primjenjuje
- preširok opseg na početku, zbog kojeg se projekt oduži
- procjena rizika kao formalnost, a ne temelj izbora kontrola
- dokumentacija koju nitko ne koristi
- zanemarena ljudska komponenta: kontrole bez educiranih zaposlenika
- nedovoljna podrška uprave
Često postavljana pitanja
Što je ISO 27001?
Međunarodna norma ISO/IEC 27001 propisuje zahtjeve za sustav upravljanja informacijskom sigurnošću (ISMS): kako sustavno procjenjivati rizike, birati i provoditi kontrole i stalno poboljšavati informacijsku sigurnost.
Je li ISO 27001 zakonski obvezan u Hrvatskoj?
Nije. Riječ je o dobrovoljnoj normi. Može biti ugovorni uvjet kupca ili uvjet u javnoj nabavi, a olakšava ispunjavanje zakonskih obveza iz Zakona o kibernetičkoj sigurnosti i GDPR-a.
Koliko kontrola ima ISO 27001:2022?
Prilog A sadrži 93 kontrole u četiri skupine: 37 organizacijskih, 8 kadrovskih, 14 fizičkih i 34 tehnološke.
Koliko vrijedi certifikat ISO 27001?
Tri godine, uz nadzorne audite jednom godišnje. Prije isteka tri godine provodi se recertifikacija.
Je li ISO 27001 dovoljan za usklađenost s NIS2?
Nije sam po sebi dovoljan. Uvelike olakšava provedbu mjera iz Zakona i Uredbe o kibernetičkoj sigurnosti, ali ne zamjenjuje zakonsku reviziju ili samoprocjenu, prijavu incidenata u propisanim rokovima ni obveze uprave.
Može li mala tvrtka uvesti ISO 27001?
Može. Norma se temelji na procjeni rizika, pa je ISMS male tvrtke razmjerno jednostavniji: uži opseg, manje sustava i manje kontrola.
Koja je razlika između ISO 27001 i ISO 27002?
ISO/IEC 27001 sadrži zahtjeve prema kojima se organizacija certificira. ISO/IEC 27002 sadrži smjernice za provedbu kontrola iz Priloga A i nije norma za certifikaciju.
Povezani članci
- NIS2 direktiva u Hrvatskoj: obveze i kazne
- Kibernetička sigurnost: vodič za zaposlenike
- DORA uredba: obveze financijskog sektora
- Ransomware: kako zaštititi tvrtku
Izvori
- ISO/IEC 27001:2022, Međunarodna organizacija za normizaciju
- Zakon o kibernetičkoj sigurnosti (NN 14/2024)
- Uredba o kibernetičkoj sigurnosti (NN 135/2024)
- Hrvatska akreditacijska agencija
Ovaj je članak informativne naravi i nije pravni savjet.