W jaki sposób przejść na normę ISO/IEC 27001:2022?

W jaki sposób przejść na normę ISO/IEC 27001:2022 - system zarządzanie bezpieczeństwem informacji

Zacznij od podstaw

 

Pierwszym krokiem na drodze do aktualizacji systemu zarządzania bezpieczeństwem informacji jest zapoznanie się z nowym wydaniem normy ISO/IEC 27001:2022 oraz zrozumienie kluczowych zmian względem wersji z 2013 roku. Szczególnie istotne są modyfikacje wprowadzone w Załączniku A, który został znacząco uproszczony i przeorganizowany.

 

W nowej wersji zrezygnowano z określenia „cele stosowania zabezpieczeń” na rzecz bardziej precyzyjnego terminu „kontrole bezpieczeństwa informacji”. Dotychczasowe 114 kontroli rozdzielonych w 14 grupach zostało zastąpionych przez 93 kontrole pogrupowane w cztery główne kategorie: kontrole organizacyjne (37), kontrole dotyczące personelu (8), kontrole fizyczne (14) oraz kontrole technologiczne (34).

 

Wśród nich znalazło się 11 zupełnie nowych kontroli, wiele dotychczasowych zostało scalonych lub rozszerzonych o dodatkowe wymagania. Zmiany te mają na celu lepsze dopasowanie do obecnych realiów i wyzwań związanych z bezpieczeństwem informacji.

 

  • 5.7: Analiza zagrożeń
  • 5.23: Bezpieczeństwo informacji w przypadku korzystania z usług w chmurze
  • 5.30: Gotowość ICT do zapewnienia ciągłości działania
  • 7.4: Monitorowanie bezpieczeństwa fizycznego
  • 8.9: Zarządzanie konfiguracją
  • 8.10: Usuwanie informacji
  • 8.11: Maskowanie danych
  • 8.12: Zapobieganie wyciekom danych 
  • 8.16: Działania monitoringowe
  • 8.23: Filtrowanie sieci
  • 8.28: Bezpieczne kodowanie

 

Analiza luk i plan działania

 

Organizacja przeprowadzając analizę luk powinna przejrzeć te nowe kontrole i ustalić, czy są one istotne dla organizacji. Innymi słowy, czy istnieje ryzyko dla bezpieczeństwa informacji wymagające wdrożenia takich środków kontroli.

 

Przykładowo, w firmie, która wszystkie systemy ma w chmurze, a jej pracownicy pracują zdalnie, kwestia monitorowania bezpieczeństwa fizycznego nie jest w zupełności istotna.

 

Warto też przyjrzeć się już wdrożonym środkom, aby mieć obraz, co jeszcze trzeba wprowadzić, by spełnić wymagania nowych kontroli. Przeprowadzając analizę luk należy skupić się na 8 kluczowych zmianach, wprowadzonych do głównych klauzul normy ISO 27001:2022 i 11 nowych kontrolach w załączniku A. Spostrzeżenia i uwagi warto odnotować w raporcie, szczegółowo opisując każdą z tych kluczowych zmian i nowych kontroli.

 

Dopiero po analizie luk skupmy się na opracowaniu planu działania. Powinien on zawierać szczegółową listę wszystkich działań, jakie powinny zostać podjęte, aby uzyskać zgodność z normą ISO/IEC 27001, wraz z szacunkową liczbą dni, potrzebnych na wykonanie każdego działania.

 

Istotne wyzwania dla kontroli

 

Kontrola 5.23: bezpieczeństwo informacji w przypadku korzystania z usług w chmurze

 

Kontrola 5.23 mówi:

Procesy nabywania, użytkowania, zarządzania i wychodzenia z usług w chmurze należy ustanowić zgodnie z wymogami bezpieczeństwa informacji organizacji.

Niektóre organizacje wdrożyły kontrolę 5.23 jeszcze przed opublikowaniem normy ISO/IEC 27001:2022. Wiele z nich ma narzędzia w celu nabycia, użytkowania i zarządzania usługami w chmurze, ale nie opracowało strategii wyjścia. Rzadko firmy myślą o sytuacjach, gdy będą chciały opuścić obecnego dostawcę i przenieść swoje dane w chmurze do innego dostawcy.

 

Dlaczego to jest problematyczne?

Wielu dostawców usług w chmurze ma taki model biznesowy, który ułatwia wprowadzenie danych do ich usług, ale utrudnia ich usunięcie. Dlatego warto przed rozpoczęciem współpracy z nowym dostawcą, sprawdzić, czy w jego regulaminie nie ma żadnych ostrzeżeń czy wykluczeń. Co w sytuacji, gdy dostawca zmieni swój sposób pracy na taki, który nie będzie spełniał wymagań organizacji? Kluczowe jest zatem opracowanie strategii i procesów wyjścia.

 

Kontrola 5.30: Gotowość ICT do zapewnienia ciągłości działania

 

Kontrola 5.30 mówi:

Gotowość ICT powinna być planowana, wdrażana, utrzymywana i testowana w oparciu o cele ciągłości działania i wymagania dotyczące ciągłości ICT.

 

Chociaż organizacje często mają opracowane obszerne plany ciągłości działania, to rzadko się zdarza, że testują one swoje plany, by sprawdzić, czy na pewno działają zgodnie z oczekiwaniami. Realnie oznacza to, że ​​gdyby zaszła potrzeba wdrożenia ich planu, nie miałyby pewności, czy on zadziała, czy będą w stanie przywrócić usługi ICT, zachowując przy tym cele dotyczące ciągłości działania firmy.

 

Podczas auditu warto móc przedstawić auditorowi przeprowadzone wcześniej testy, a także sporządzony pisemny raport, dotyczący wyciągniętych wniosków i ich wdrożenia. Niezbędnym będzie także pisemny plan testów.

 

Kontrola 5.7: Analiza zagrożeń

 

Analiza zagrożeń [5.7] to kolejny przykład. Co mówi norm na ten temat?

 

Informacje dotyczące zagrożeń bezpieczeństwa informacji powinny być systematycznie zbierane i analizowane w celu pozyskania użytecznych danych wywiadowczych.

 

Samo subskrybowanie kilku newsletterów nie jest wystarczające – istotne jest, aby informacje te były rzeczywiście analizowane i aby można było wykazać, że taki proces ma miejsce. Na co zwrócić uwagę podczas analizy? Poniżej kilka pomocnych pytań:

  • Czy informacje są istotne z perspektywy działalności Twojej organizacji?
  • Czy wskazują na zagrożenia, które mogą wykorzystać luki w zabezpieczeniach występujących w Twoim środowisku?
  • Jeśli tak, w jaki sposób przekażesz te informacje odpowiednim osobom, aby możliwe było podjęcie działań zwiększających poziom bezpieczeństwa organizacji?

 

Organizacja powinna umieć wykazać, jakie rodzaje informacji wywiadowczych gromadzi i jak często są one przeglądane. Istotną kwestią będzie też dowód na działania następcze. Nie muszą być to formalne dowody. Wystarczającym może być e-mail do właściciela procesu, informujący o tym, że musi zainstalować aktualizację, poprawkę albo dowód zgłoszenia serwisowego. Ważne, aby pokazać podczas auditu, że organizacja spełnia wymogi standardu i podejmuje odpowiednie działania w celu ograniczenia ryzyka.

 

Zanim organizacja zdecyduje się podejść do auditu przejścia na normę ISO/IEC 27001:2022 warto zrobić dokładny przegląd stanu obecnego i wyzwań, z którymi należy stawić czoło w związku ze zmianami. Koniecznym krokiem jest dokładna analiza luk z napisaniem szczegółowego raportu. Następnie warto sporządzić dokładny plan działania.

 

Jeśli potrzebujesz wsparcia w zakresie aktualizacji swojego systemu bezpieczeństwa, rozważ udział w szkoleniu np. wymagań nowej normy ISO/IEC 27001:2022. To ostatni moment, by zorganizować audit przejścia w Twojej firmie. Masz czas tylko do 31 października 2025.

Skontaktuj się z nami

„Zgodnie z art. 13 ust. 1 i ust. 2 ogólnego rozporządzenia o ochronie danych osobowych z dnia 27 kwietnia 2016 r. (dalej RODO) informujemy, iż Administratorem Państwa danych osobowych jest ISOQAR CEE sp. z o.o  z siedzibą w Warszawie,  adres: ul.   Wąwozowa 11,  02-796 Warszawa.  Państwa dane osobowe przetwarzane będą w celach kontaktowych niezbędnych do realizacji usługi, zgodnie z obowiązującymi przepisami prawa na podstawie art. 6 ust. 1 lit. f RODO.„

>>Wyrażam zgodę na przetwarzanie moich danych osobowych przez ISOQAR CEE sp. z o.o jako administratora danych osobowych, w celach otrzymywania informacji handlowych i marketingowych wysyłanych na podany adres e-mail na podstawie art. 6 ust. 1 lit. a RODO. Więcej informacji w Polityka prywatności

Polityka prywatności

Klauzula informacyjna w zakresie przetwarzania danych osobowych na potrzeby newsletter

W związku z obowiązywaniem od dnia 25 maja 2018 r. rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (Dz. Urz. UE L 119, str. 1), zwanego dalej „rozporządzeniem RODO”, informujemy, że:

  1. Administratorem Pani/Pana danych osobowych jest ISOQAR CEE sp. z o.o  z siedzibą w Warszawie,  adres: ul.   Wąwozowa 11,  02-796 Warszawa, NIP 9512091016, wpisana do Krajowego Rejestru Sądowego prowadzonego  przez Sąd Rejonowy w dla m.st. Warszawy, XIII Wydział Gospodarczy Krajowego Rejestru Sądowego pod numerem KRS: 0000178492, 

  2. Administrator wyznaczył Inspektora Ochrony Danych Krzysztofa Radtke, z którym można się skontaktować drogą elektroniczną: iod@isoqar.pl

  3. Pani/Pana dane osobowe będą przetwarzane w celach wysyłki i otrzymywania newslettera.

  4. Przetwarzanie Pani/Pana danych osobowych odbywać się będzie na podstawie wyrażonej przez Panią/Pana zgody (podstawa prawna: art. 6 ust. 1 lit. a Rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE RODO

  5. Pani/Pana dane osobowe będą przetwarzane do czasu cofnięcia przez Panią/Pana zgody. 

  6. Odbiorcą Pani/Pana danych osobowych będą podmioty, którym Administrator zleca wykonywanie czynności, z którymi wiąże konieczność przetwarzania danych (podmioty przetwarzające) oraz podmioty publiczne na podstawie odrębnych przepisów prawa. 

  7. W związku z przetwarzaniem danych osobowych przysługuje Pani/Panu prawo dostępu do treści danych, ich sprostowania, usunięcia, ograniczenia ich przetwarzania oraz prawo do wniesienia sprzeciwu wobec przetwarzania danych osobowych. 

  8. Ma Pani/Pan prawo do cofnięcia zgody na przetwarzanie Pani/Pana danych w dowolnym momencie bez wpływu na zgodność z prawem przetwarzania, którego dokonano na podstawie zgody przed jej cofnięciem.

  9. W przypadku uznania, że przetwarzanie przez Administratora Pani/Pana danych osobowych narusza przepisy Rozporządzenia ma Pani/Pan prawo wnieść skargę do Prezesa Urzędu Ochrony Danych Osobowych (PUODO). 

  10. Podanie przez Panią/Pana danych osobowych jest dobrowolne, jednak jest warunkiem wysyłki newslettera.

  11. Pani/Pana dane osobowe nie będą przetwarzane w sposób zautomatyzowany, nie będą poddawane profilowaniu.

  12. Pani/Pana dane osobowe mogą być przekazywane do państwa trzeciego (UK).

Klauzula informacyjna zapytanie ofertowe

Zgodnie z art. 13 ust. 1 i ust. 2 ogólnego rozporządzenia o ochronie danych osobowych z dnia 27 kwietnia 2016 r. (dalej RODO) informuję, iż:

1. Administratorem Pani/Pana danych osobowych jest ISOQAR CEE sp. z o.o  z siedzibą w Warszawie,  adres: ul.   Wąwozowa 11,  02-796 Warszawa, NIP 9512091016, wpisana do Krajowego Rejestru Sądowego prowadzonego  przez Sąd Rejonowy w dla m.st. Warszawy, XIII Wydział Gospodarczy Krajowego Rejestru Sądowego pod numerem KRS: 0000178492, 

2. Administrator wyznaczył Inspektora Ochrony Danych Krzysztofa Radtke, z którym można się skontaktować drogą elektroniczną:  iod@isoqar.pl

3. Pani/Pana dane osobowe przetwarzane będą w celu:

•             odpowiedzi na zapytanie ofertowe na podstawie art. 6 ust. 1 lit. f RODO

więcej informacji pod linkiem

•             kontaktu w celu przekazania informacji marketingowych i handlowych na podstawie art. 6 ust. 1 lit. a RODO

•             w celu realizacji prawnie uzasadnionego interesu Spółki, polegającego na ewentualnym ustaleniu lub dochodzeniu roszczeń lub obronie przed roszczeniami, na podstawie prawnie uzasadnionego interesu Spółki (art. 6 ust. 1 lit. f RODO).

4. Odbiorcą Pani/Pana danych osobowych będą wspólnicy i pracownicy Administratora w zakresie swoich obowiązków służbowych na podstawie upoważnienia.

5. Pani/Pana dane osobowe nie będą przekazywane do państwa trzeciego ani organizacji międzynarodowej;

6. Pani/Pana dane osobowe będą przechowywane do czasu zakończenia współpracy lub do czasu cofnięcia przez Pani/Pana zgody.

7. Posiada Pani/Pan prawo dostępu do treści swoich danych oraz prawo ich sprostowania, usunięcia, ograniczenia przetwarzania, prawo do przenoszenia danych, prawo wniesienia sprzeciwu, prawo do przenoszenia danych.

8. Ma Pan/Pani prawo wniesienia skargi do organu nadzorczego- Urzędu Ochrony Danych Osobowych, gdy uzna Pani/Pan, iż przetwarzanie danych osobowych Pani/Pana dotyczących narusza przepisy ogólnego rozporządzenia o ochronie danych osobowych z dnia 27 kwietnia 2016 r.;

9. Podanie przez Pana/Panią danych osobowych jest dobrowolne, jednak konieczne w celu realizacji przedmiotu umowy/ jest konieczne w związku z przepisami szczególnymi ustawy (przetwarzanie danych osobowych jest wymogiem ustawowym). W przypadku niewyrażenia zgody na przetwarzanie danych osobowy, Administrator może zrezygnować z zawarcia umowy.

10. Pani/Pana dane nie będą przetwarzane w sposób zautomatyzowany w tym również w formie profilowania tzn. żadne decyzje wywołujące wobec osoby skutki prawne lub w podobny sposób na nią istotnie wpływające nie będą oparte wyłącznie na automatycznym przetwarzaniu danych osobowych i nie wiążą się z taką automatycznie podejmowaną decyzją.