Što je ISMS
Sustav upravljanja informacijskom sigurnošću (engl. Information Security Management System, ISMS) skup je politika, postupaka, uloga i kontrola kojima organizacija štiti povjerljivost, cjelovitost i dostupnost informacija. ISO/IEC 27001 propisuje kako se takav sustav uspostavlja, provodi, održava i poboljšava.
Glavni elementi norme
- kontekst organizacije i opseg sustava
- predanost uprave i politika informacijske sigurnosti
- procjena rizika i plan postupanja s rizicima
- Izjava o primjenjivosti, u kojoj se obrazlaže izbor kontrola iz Priloga A
- kompetentnost i svijest zaposlenika
- interni audit i upravina ocjena
- korektivne radnje i stalno poboljšavanje
Važeće izdanje je ISO/IEC 27001:2022. Prilog A sadrži 93 kontrole u četiri skupine: organizacijske, kadrovske, fizičke i tehnološke.
Certifikat
Certifikat izdaje akreditirano certifikacijsko tijelo nakon audita u dvije faze. Vrijedi tri godine, uz godišnje nadzorne audite, a prije isteka provodi se recertifikacija.
ISO 27001 i NIS2
Kontrole iz norme velikim se dijelom preklapaju s mjerama iz Zakona o kibernetičkoj sigurnosti i Uredbe o kibernetičkoj sigurnosti. Certifikat ipak ne zamjenjuje reviziju ni samoprocjenu kibernetičke sigurnosti koje zakon propisuje za ključne odnosno važne subjekte.
Primjer
Softverska tvrtka koja razvija aplikacije za banke uvodi ISMS jer ga klijenti traže u ugovorima. Opseg ograničava na razvoj i održavanje aplikacija, provodi procjenu rizika, uvodi potrebne kontrole i nakon godinu dana rada sustava prolazi certifikacijski audit.