ISO 27001 - czyli System Zarządzania Bezpieczeństwem informacji (SZBI). Wszystko, co musisz wiedzieć

Czym są normy ISO?

ISO to międzynarodowa organizacja pozarządowa, która ustanawia standardy jakości. Normy ISO określają, jak będzie wyglądać wiele usług czy produktów z którymi stykamy się na co dzień. Przykładowo, norma ISO 216 definiuje dokładny rozmiar kartki papieru A4.

ISO 27001 (pełna nazwa: ISO/IEC 27001:2022) to norma ściśle związana z kwestią bezpieczeństwa informacji, cyberbezpieczeństwa i ochrony prywatności. Określa ona wymagania dla systemu zarządzania bezpieczeństwem informacji (SZBI). Certyfikacja ISO 27001 czy wdrożenie ISO 27001 oznacza w praktyce wdrożenie takiego systemu.

System zarządzania bezpieczeństwem informacji

SZBI to nic innego jak strategia działania, której celem jest zapewnianie właściwej ochrony informacji. Strategia ta ma zapewnić ciągłe doskonalenie podjętych działań i procedur w celu optymalizacji ryzyk związanych z naruszeniem poufności.

Innymi słowy system ma chronić przed zagrożeniami w sposób, który zapewni organizacji:

• ciągłość prowadzenia działalności
• zminimalizowanie strat
• maksymalizowanie zwrotu nakładów na inwestycje i działania o charakterze biznesowym

System Zarządzania Bezpieczeństwem Informacji zgodny z normą ISO/IEC 27001 uznawany jest za najlepsze rozwiązanie zapewniające zachowanie poufności, integralności i dostępności informacji, których ochrona jest obecnie naturalnym wymogiem naszych czasów.

GRC (Governance, Risk management, and Compliance) – czym jest i kogo obowiązuje? Dowiedz się więcej

Obszary normy ISO 27001

Norma ISO/IEC 27001 zbudowana jest z dwóch podstawowych części:

1. części podstawowej, w której zdefiniowano wymagania związane z ustanowieniem, utrzymywaniem i doskonaleniem systemu zarządzania bezpieczeństwem informacji, w tym utrzymywaniem wymaganej dokumentacji, odpowiedzialnością, wewnętrznymi audytami, przeglądami zarządzania;
2. załącznika A, w którym zdefiniowano 94 zabezpieczenia zgrupowane w 4 klauzulach:
   • klauzula nr 5 - organizacyjne (37 zabezpieczeń)
   • klauzula nr 6 - osobowe (8 zabezpieczeń)
   • klauzula nr 7 - fizyczne (14 zabezpieczeń)
   • klauzula nr 8 - technologiczne (34 zabezpieczenia)

Sprawdź także: Dane osobowe: Kompletny przewodnik po RODO na 2025 rok

Dlaczego warto wdrożyć ISO 27001?

Za pomocą SZBI zgodnego z ISO 27001 organizacja może zapewnić sobie kompleksowość ochrony informacji, jej rozliczalność oraz przekonanie, że owa ochrona jest adekwatna do zmieniającej się rzeczywistości. ISO 27001 jest też często wymagane przez partnerów biznesowych, którzy oczekują od kontrahentów gwarancji w zakresie cyberbezpieczeństwa.

Posiadanie certyfikaty ISO 27001 pozwala m.in na

• zabezpieczenie informacji w organizacji
• ułatwienie procesu nadzoru nad organizacją wraz ze wszystkimi obszarami jej działalności
• zapewnienie, że organizacja działa zgodnie ze zmieniającymi się przepisami prawa i potrafi w porę reagować na te zmiany
• łatwiejsze zdobywanie nowych partnerów biznesowych, klientów oraz różnego typu dofinansowań UE
• poprawa bezpieczeństwa danych przetwarzanych w procesach funkcjonujących w organizacji.

Ponadto, wdrożenie systemu zarządzania bezpieczeństwem informacji ma na celu wprowadzenie w organizacji procedur postępowania służących zapobieganiu wystąpienia wewnętrznych i zewnętrznych oraz świadomych i nieświadomych zagrożeń lub minimalizowaniu ich następstw. Dotyczy to zagrożeń, które mogą pojawiać się z różnym prawdopodobieństwem w odniesieniu do informacji, w tym także danych osobowych przetwarzanych przez organizacje.

Korzyści wynikające z wdrożenia systemu zarządzania bezpieczeństwem informacji

Skuteczne ustanowienie, wdrożenie, a następnie utrzymywanie tj. monitorowanie i doskonalenie systemu zarządzania bezpieczeństwa informacji ma na celu podniesienie i utrzymanie wymaganego poziomy ochrony danych związanych z szeroko rozumianym funkcjonowaniem organizacji i pozwala na:

• spełnienie wymagań prawnych,
• zachowanie zgodności z obowiązującymi regulacjami wewnętrznymi organizacji w obszarze ochrony danych, zwłaszcza informacji przekazywanych przez klientów w ramach świadczonych usług, pracowników, kontrahentów, petentów/interesantów,
• uporządkowanie procesów związanych z przetwarzaniem informacji i utrzymywanie stałego nadzoru nad procesami przetwarzania informacji,
• wzrost świadomości pracowników odnośnie bezpieczeństwa informacji,
• zmniejszenie ryzyka utraty danych, kradzieży sprzętu i włamań do systemów informatycznych,
• minimalizowanie negatywnych skutków naruszeń bezpieczeństwa,
• ustandaryzowanie postępowania pracowników organizacji,
• cykliczną weryfikację stosowanych zabezpieczeń,
• odpowiednią identyfikację zagrożeń związanych z bezpieczeństwem informacji i zmniejszenie ich wpływu na działalność organizacji,
• kompleksowe zarządzanie czynnikami ryzyka,
• ciągłość i efektywność procesów biznesowych
• zachowanie poufności, integralności i dostępności informacji, w tym tych stanowiących własność klientów,
• podniesienie wiarygodności organizacji w oczach klientów, inwestorów i innych stron zainteresowanych,
• poprawę reputacji i postrzegania marki,
• budowanie silnej pozycji rynkowej i wzrost przewagi konkurencyjnej na rynku.

Poza korzyściami wymienionymi powyżej należy pamiętać, że nieodzowną zaletą wdrożenia i utrzymania systemu zarządzanie bezpieczeństwem informacji jest również możliwość zapewnienia ciągłości działania organizacji w sytuacji kryzysowej.

ISO 27001 a kwestia RODO

Działalność każdej organizacji musi być zgodna z zasadami Ogólnego Rozporządzenia o Ochronie Danych Osobowych (RODO). Przetwarzane dane muszą być odpowiednio zabezpieczone. W przypadku wycieku danych czy skargi Urząd Ochrony Danych Osobowych może wszcząć postępowanie administracyjne i nałożyć surowe kary.

RODO wymaga stosowania właściwych środków technicznych i organizacyjnych w celu ochrony danych. Jak czytamy w jednej z decyzji Prezesa UODO:

Wskazać należy, że podstawowym środkiem bezpieczeństwa mającym na celu ochronę przed nieuprawnionym dostępem do danych osobowych jest ustanowienie odpowiednich zabezpieczeń baz danych i systemów informatycznych wykorzystywanych do przetwarzania danych osobowych. Zapewnienie dostępu uprawnionym użytkownikom i zapobieganie nieuprawnionemu dostępowi do systemów i usług to jeden z wzorcowych elementów bezpieczeństwa, na który wskazuje m.in. norma PN-EN ISO/IEC 27001:2017-06*. Jak wynika z art. 32 ust. 1 rozporządzenia 2016/679, jednym z czynników, jakie należy brać pod uwagę przy doborze właściwych środków technicznych i organizacyjnych, jest stan wiedzy technicznej, który powinno się oceniać z uwzględnieniem warunków rynkowych, w szczególności dostępności i akceptowalności rynkowej danego rozwiązania technicznego. Wskazówek konkretyzujących w tym przedmiocie dostarczają obowiązujące standardy i normy, w szczególności normy ISO, które ulegają również ciągłym przeglądom i zmianom warunkowanym postępem technologicznym.

*Cytowaną decyzję wydano na początku 2022 roku, kiedy w użyciu była jeszcze poprzednia wersja standardu ISO 27001 (PN-EN ISO/IEC 27001:2017-06, obecnie w użyciu jest wersja ISO/IEC 27001:2022).

Ten obszerny fragment dobrze oddaje istotę problemu. Nie ma obowiązku wdrożenia ISO 27001, ale istnieje obowiązek (pod rygorem dotkliwych kar administracyjnych) ochrony danych, które przetwarzamy. Utrzymanie SZBI według ISO 27001 to sposób na wspomaganie organizacji w procesie zapewnienia zgodności z wymaganiami RODO.

Nagrywanie pracowników - czy monitoring z dźwiękiem jest legalny? Analiza LexDigital

Wdrożenie ISO 27001 - skuteczna recepta na zgodność z NIS2

Prawodawstwo Unii Europejskiej ewoluuje wraz z pojawieniem się nowych zagrożeń cyberbezpieczeństwa. W październiku 2024 r. weszła w życie dyrektywa NIS 2, która nakłada na kraje UE obowiązek zapewnienia odpowiednich zabezpieczeń wielu obszarów (energetyki, transportu, bankowości, ale także m.in infrastruktury cyfrowej, ścieków czy usług pocztowych lub kurierskich).

W praktyce oznacza to, że prawne wymagania dotyczące cyberbezpieczeństwa się rozszerzyły i wiele firm będzie teraz rozliczanych ze zgodności z NIS 2, podobnie jak w przypadku RODO.

Dyrektywa NIS 2. Branże dotknięte zmianą prawa - lista

Kluczowymi elementami zarówno ISO 27001, jak i NIS2 jest podejście do zarządzania ryzykiem. ISO 27001 pozwala na wprowadzenie uporządkowanego podejścia do zarządzania bezpieczeństwem informacji. Wdrażanie odpowiednich mechanizmów ochronnych stanowi solidny fundament dla skutecznego zabezpieczania informacji, co pokrywa się z wymogami NIS2.

Reagowanie na incydenty, będące integralnym elementem normy ISO 27001, jest także nieodzowne dla spełnienia obowiązków raportowania wynikających z NIS2. Dobrze zaprojektowane procedury umożliwiają skuteczne zarządzanie incydentami oraz komunikację z odpowiednimi organami, co jest istotne dla obu tych regulacji.

Procesy, takie jak identyfikacja, analiza i ocena ryzyka, zaprojektowane w ramach tego standardu, mogą być z powodzeniem wykorzystywane do realizacji wymagań dyrektywy NIS2, co ułatwia organizacjom dostosowanie się do obu regulacji.

Outsourcing funkcji IOD. Przekaż nam pełnienie funkcji Inspektora Ochrony Danych Osobowych w swojej firmie!

ISO 27001 - sposób na uniknięcie kar?

Wprowadzenie dyrektywy NIS2 wiąże się z surowymi konsekwencjami finansowymi dla tych, którzy nie spełnią jej wymagań. Podmioty kluczowe, które nie przestrzegają zasad zarządzania ryzykiem lub nie zgłaszają incydentów, mogą zostać ukarane wysokimi karami administracyjnymi wynoszącymi nawet 10 mln euro lub 2% ich rocznego obrotu, przy czym zastosowanie ma kwota wyższa. Z kolei podmioty ważne mogą podlegać grzywnom do 7 mln euro lub 1,4% ich rocznego obrotu.

Dlatego wdrożenie ISO 27001 może zredukować ryzyko i niepotrzebny stres związany z karami administracyjnymi.

Standard zawiera szczegółowe wytyczne dotyczące zabezpieczeń i strategii ochrony, które są zgodne z założeniami NIS2 w obszarze bezpieczeństwa infrastruktury informatycznej i sieciowej. Wdrożenie tych praktyk umożliwia organizacjom spełnienie wymogów dyrektywy, szczególnie w odniesieniu do ochrony kluczowych systemów i usług cyfrowych.

Dane osobowe: Kompletny przewodnik po RODO na 2025 rok

Ponadto, obie regulacje – ISO/IEC 27001 i NIS2 – kładą nacisk na prowadzenie rzetelnej dokumentacji oraz raportowanie. Zastosowanie standardu ISO/IEC 27001 pozwala organizacjom na efektywne dokumentowanie działań w obszarze bezpieczeństwa informacji, co w pełni odpowiada wymaganiom dyrektywy NIS2 w tym zakresie.

Obowiązki podmiotów przetwarzających i podmiotów dalszego powierzenia - omówienie opinii EROD

Wdrożenie ISO 27001 w praktyce

Norma ISO 27001 przedstawia model systemu zarządzania bezpieczeństwem informacji oparty na cyku PDCA (Plan - Do - Check - Act), tj. cyklu Deminga, który jest uniwersalnym sposobem postępowania, który daje organizacji możliwość samodoskonalenia się.

W odniesieniu do systemu zarządzania bezpieczeństwem informacji szczegółowe elementy cyklu PDCA określane są następująco:

1. PLAN - Ustanowienie SZBI (Planowanie) - Ustalenie i opracowanie niezbędnych procesów i procedur, jakie są istotne dla uzyskania jak najlepszej ochrony informacji w firmie.
2. DO - Wdrożenie SZBI (Wykonanie) - Wprowadzenie do firmy zaplanowanych zabezpieczeń i procedur, zgodnie z polityką bezpieczeństwa informacji oraz użytkowanie tych narzędzi w celu ochrony informacji, zasobów.
3. CHECK - Monitorowanie i przegląd SZBI  (Sprawdzanie) - Sprawdzenie wdrożonych rozwiązań bezpieczeństwa. Efektem tego etapu będzie dostarczenie kierownictwu firmy informacji odnośnie funkcjonowania SZBI i możliwości jego ewentualnej poprawy.
4. ACT - Utrzymanie i doskonalenie SZBI  (Doskonalenie) - Podejmowanie działań w celu wyeliminowania przyczyn wykrytych niezgodności lub innych niepożądanych sytuacji. Doskonalenie obejmuje również podejmowanie działań usuwających przyczyny potencjalnych niezgodności lub innych prawdopodobnie niepożądanych sytuacji. Działania korygujące i doskonalące są podejmowane na podstawie wyników oceny – audytu  danej organizacji i mają na celu stałe doskonalenie.

Jak zatem skutecznie zrealizować etap pierwszy i drugi tj. jak skutecznie wdrożyć system zarządzania bezpieczeństwem informacji?

Działania związane z wdrożeniem systemu zarządzania bezpieczeństwem informacji będą przede wszystkim uzależnione od wielkości organizacji, rodzaju prowadzonej działalności tj. rodzaju przetwarzanych informacji oraz od stopnia zaangażowania kierownictwa i personelu.

Schemat wdrożenia normy ISO 27001

Czynności wykonywane w ramach wdrożenia powinny przebiegać zgodnie z poniższym schematem:

1. Audyt wstępny - działania związane z wdrożeniem SZBI należy rozpocząć od audytu procesów, które funkcjonują w organizacji - należy je zidentyfikować i zinwentaryzować.
2. Wykonanie analizy ryzyka - kolejnym etapem działań powinno być przeprowadzenie analizy ryzyka, której celem jest inwentaryzacja aktywów informacyjnych oraz identyfikacja zagrożeń.
3. Opracowanie dokumentacji - w trzecim kroku należy opracować dokumentację odnoszącą się do procesów i procedur funkcjonujących w organizacji, bazującą na wymaganiach normy ISO 27001.
4. Przeprowadzenie szkoleń z zakresu Systemu Zarządzania Bezpieczeństwem Informacji dla pracowników i kadry zarządzającej - jest to kolejny niezwykle istotny krok, bowiem bez zbudowania odpowiedniej świadomości pracowników pozostałe działania mogą okazać się nieskuteczne. Pracownicy są bowiem najważniejszym ogniwem we wdrożeniu i utrzymaniu SZBI.
5. Poddanie się procesowi certyfikacji - działanie to polega na wyborze jednostki certyfikującej i przystąpieniu do procedury uzyskania certyfikatu zgodności z normą ISO 27001.

Działania związane z wdrożeniem systemu zarządzania bezpieczeństwem informacji można przeprowadzić samodzielnie, jednakże dużo bardziej rekomendowanym rozwiązaniem jest skorzystanie z usług firmy konsultingowej, która zapewni wsparcie prawne i doradcze ze strony doświadczonych audytorów na każdym z wyżej wymienionych etapów. Ponadto działania takie firmy mają też na celu zapewnienie merytorycznej opieki podczas kontaktów z przedstawicielem jednostki certyfikującej.

W przypadku szczególnych wymogów klientów takie firmy mogą również przejąć pełną obsługę procesu zarządzania bezpieczeństwem informacji w organizacji.

Pierwsza w Polsce firma obsługująca kancelarie doradców restrukturyzacyjnych z certyfikacją ISO 9001. Sukces LexDigital i Daily Services!

Wdrożenie wymagań ISO 27001 z LexDigital sp. z o. o.

Zastanawiasz się, czy Twoja organizacja jest gotowa na wdrożenie systemu zarządzania bezpieczeństwem informacji wg ISO 27001 by spełnić wymagania NIS2? Może rozpocząłeś już działania związane z zapewnieniem bezpieczeństwa informacji, ale potrzebujesz wsparcia w zakresie spełnienia wymagań normy ISO 27001?

Ze względu na dość skomplikowany proces wdrażania systemów ISO w firmie, warto rozważyć pomoc podmiotu wyspecjalizowanego w zakresie systemu zarządzania bezpieczeństwem informacji.

W LexDigital zajmiemy się profesjonalnym przeprowadzeniem Twojej firmy przez cały proces wdrożenia wymagań systemowych oraz przygotowaniem do ewentualnej certyfikacji wdrożonego systemu. W miarę potrzeby zapewnimy także bezpośrednią asystę podczas audytu certyfikującego. Działamy w oparciu o ustalone wskaźniki raportowania postępu naszych prac, dzięki harmonogramowi opracowanemu we wstępnej fazie wykonania projektu.

Do każdego klienta podchodzimy indywidualnie, a działania realizowane w ramach systemów zarządzania łączymy z optymalizacją procesów Twojej firmy. Budowany przez nas system zarządzania będzie dopasowany do specyfiki Twojej działalności.

Potrzebujesz pomocy z wdrożeniem ISO w swojej firmie? Nasi eksperci pomogą Ci przejść przez cały skomplikowany proces. Napisz maila pod adres: biuro@lexdigital.pl lub zadzwoń: +48 500 214 942.

Zobacz, jak krok po kroku wdrożyliśmy ISO 27001 w Trafford IT!

Wdrożenie ISO 27001 - ile to kosztuje?

Koszt naszej usługi jest zawsze zależny od:

• wielkości organizacji i skali jej działalności
• standardu ISO, który został wybrany przez Klienta
• poziomu skomplikowania projektu i procesów wewnętrznych
• zaangażowania czasowego naszego zespołu
• dostępności i zaangażowania Zespołu Klienta.

Poznaj naszą pełną ofertę dotyczącą wdrożeń ISO