Wdrożenie ISO 27001 —
etapy, dokumentacja i realny czas

Wydanie normy z 2022 r., którego polskim odpowiednikiem jest PN-EN ISO/IEC 27001:2023-08, porządkuje zabezpieczenia Załącznika A w cztery grupy tematyczne zamiast wcześniejszych czternastu obszarów:

• organizacyjne — 37 zabezpieczeń dotyczących zasad, ról, dostawców i zgodności,
• dotyczące osób — 8 zabezpieczeń związanych z rekrutacją, szkoleniami i odpowiedzialnością,
• fizyczne — 14 zabezpieczeń obejmujących strefy, sprzęt i nośniki,
• technologiczne — 34 zabezpieczenia dotyczące systemów, sieci, kryptografii i rozwoju oprogramowania.

Norma nie wymaga zastosowania wszystkich. Wymaga świadomego przeglądu każdego i uzasadnienia decyzji w deklaracji stosowania. Wyłączenie zabezpieczenia jest dopuszczalne, o ile wynika z analizy ryzyka, a nie z wygody.

To dwie różne rzeczy i warto rozstrzygnąć na początku, która jest celem.

Zgodność oznacza zbudowanie systemu według wymagań normy bez występowania o certyfikat. Wystarcza do wykazania należytej staranności, do spełnienia domniemania z § 19 ust. 3 rozporządzenia KRI i zwykle do odpowiedzi na ankiety bezpieczeństwa od kontrahentów.

Certyfikacja to potwierdzenie zgodności przez niezależną jednostkę certyfikującą. Kosztuje dodatkowo i wiąże się z corocznymi audytami nadzoru, ale bywa wymagana wprost w postępowaniach o zamówienie albo w umowach z dużymi kontrahentami.

Droga jest ta sama — certyfikacja to ostatni etap, nie inny projekt. Rozsądnie jest zbudować zgodny system, a decyzję o certyfikacie podjąć, gdy pojawi się wymagający go kontrahent lub postępowanie.

Norma nie narzuca formy ani nazw dokumentów, ale wskazuje informacje, które muszą być udokumentowane. Minimalny komplet obejmuje:

• zakres systemu zarządzania (pkt 4.3),
• politykę bezpieczeństwa informacji (pkt 5.2),
• metodykę szacowania i postępowania z ryzykiem (pkt 6.1.2),
• deklarację stosowania wraz z uzasadnieniem wyłączeń (pkt 6.1.3),
• cele bezpieczeństwa informacji i plany ich osiągnięcia (pkt 6.2),
• zapisy o kompetencjach osób pełniących role w systemie (pkt 7.2),
• wyniki szacowania ryzyka i plan postępowania (pkt 8.2 i 8.3),
• wyniki monitorowania i pomiarów (pkt 9.1),
• program i wyniki audytów wewnętrznych (pkt 9.2),
• wyniki przeglądu zarządzania (pkt 9.3),
• zapisy o niezgodnościach i działaniach korygujących (pkt 10.2).

Praktyczna wskazówka: audytor certyfikujący sprawdza przede wszystkim spójność. Jeżeli deklaracja stosowania mówi o zabezpieczeniu, którego nie widać w rejestrze ryzyk ani w procedurach, powstaje niezgodność — nawet jeśli samo zabezpieczenie fizycznie działa.

Cena wdrożenia ISO 27001 rozjeżdża się między ofertami kilkukrotnie, bo składa się z trzech niezależnych pozycji, które bywają mylone.

Przygotowanie systemu — praca nad zakresem, analizą ryzyka, dokumentacją i wdrożeniem zasad. Najbardziej zależy od stanu wyjściowego: organizacja z działającym SZBI potrzebuje uporządkowania, organizacja zaczynająca od zera — zbudowania wszystkiego.

Narzędzie — system, w którym system żyje po wdrożeniu. Arkusze są pozornie darmowe, ale koszt wraca co roku przy audycie, gdy trzeba ręcznie zebrać dowody z kilkunastu plików i skrzynek.

Audyt certyfikujący — opłata jednostki certyfikującej, zależna od liczby pracowników, liczby lokalizacji i zakresu systemu. Do tego dochodzą coroczne audyty nadzoru przez trzy lata ważności certyfikatu.

Największy wpływ na sumę ma decyzja o zakresie. Objęcie systemem całej organizacji tam, gdzie kontrahent wymaga certyfikatu wyłącznie dla jednej usługi, potrafi podwoić koszt bez żadnej korzyści. Zakres warto ustalić po rozmowie z tym, kto certyfikatu oczekuje.