ISO 27001

Čo to znamená

ISO 27001 je medzinárodná norma pre systém riadenia informačnej bezpečnosti. Neurčuje konkrétny softvér, ale spôsob, ako má firma systematicky chrániť dôvernosť, integritu a dostupnosť informácií: identifikovať riziká, zvoliť opatrenia, zaviesť ich a pravidelne preverovať, či fungujú.

Základom je analýza rizík. Firma zistí, aké informácie má, čo by sa stalo pri ich úniku či strate a aké hrozby sú reálne. Podľa toho vyberá opatrenia z prílohy normy, napríklad riadenie prístupov, zálohovanie, šifrovanie, bezpečnosť dodávateľov či reakciu na incidenty.

Firma môže normu len používať ako návod, alebo sa nechať certifikovať nezávislým certifikačným orgánom. Certifikát platí niekoľko rokov a medzitým sa robia dozorné audity. Norma je príbuzná ISO 9001 a obe sa dajú zaviesť ako jeden integrovaný systém.

Ako to funguje v praxi

Certifikát ISO 27001 čoraz častejšie vyžadujú veľkí odberatelia, banky či verejní obstarávatelia od svojich dodávateľov IT, účtovných a spracovateľských služieb. Pre firmy spadajúce pod NIS2 je norma praktickou cestou, ako povinné bezpečnostné opatrenia preukázať.

Zavedenie trvá podľa veľkosti firmy spravidla mesiace. Súčasťou sú dokumenty, napríklad bezpečnostná politika a smernice, ale najmä zmena praxe: kto má k čomu prístup, ako sa pracuje s heslami, ako sa hlásia incidenty a ako sa preverujú dodávatelia.

Náklady na zavedenie a certifikáciu, teda poradenstvo, audit, školenia a technické opatrenia, sú daňovým výdavkom. Pri väčších investíciách do softvéru a zariadení sa posudzuje, či ide o majetok na odpisovanie.

Na čo si dať pozor

Najčastejšou chybou je brať ISO 27001 ako papierovú úlohu. Firma má smernice, ktoré nikto nečíta, a certifikát, ktorý nechráni. Pri incidente sa ukáže, že v praxi sa postupy nedodržiavali, a certifikát nepomôže ani pri poistení, ani pri zodpovednosti.

Druhým rizikom je nesprávne vymedzený rozsah. Certifikát sa vzťahuje len na časť firmy uvedenú v rozsahu. Ak sa odberateľ domnieva, že pokrýva celú firmu, a incident nastane mimo rozsahu, vzniká spor o dôveryhodnosť.