W erze cyfryzacji normy ISO/IEC 27000 są fundamentem zarządzania bezpieczeństwem informacji w organizacjach. W Polsce seria tych standardów bezpieczeństwa informacji wspiera firmy, administrację publiczną i organizacje non-profit w ochronie danych i zgodności z prawem, takim jak RODO. Artykuł szczegółowo omawia normy ISO/IEC 27000, ich strukturę, zastosowanie i korzyści płynące z wdrożenia systemu zarządzania bezpieczeństwem informacji.
Czym są normy ISO/IEC 27000?
Normy ISO/IEC 27000, stworzone przez Międzynarodową Organizację Normalizacyjną (ISO) i Międzynarodową Komisję Elektrotechniczną (IEC), dotyczą systemów zarządzania bezpieczeństwem informacji (SZBI). Ich celem jest zapewnienie bezpieczeństwa informacji w organizacji poprzez wdrożenie zabezpieczeń systemów informacji, zarządzanie ryzykiem związanym z cyberzagrożeniami oraz spełnianie wymagań normy ISO, takich jak ochrona danych osobowych.
Historia norm ISO/IEC 27000
Seria norm ISO/IEC 27000 wywodzi się z brytyjskiego standardu BS 7799, który w 2000 roku przekształcono w ISO/IEC 17799, a następnie w ISO/IEC 27002 w 2007 roku. Kluczowa norma ISO/IEC 27001, wprowadzona w 2005 roku, określa wymagania normy ISO dla SZBI i umożliwia certyfikację systemów zarządzania. W Polsce normy rodziny ISO/IEC 27000 stosuje się od 2007 roku, a najnowsza wersja normy, PN-EN ISO/IEC 27001:2023-08, obowiązuje od sierpnia 2023 roku.
Podmioty Kluczowe normy ISO/IEC 27000 w Polsce
Normy serii ISO/IEC 27000 obejmują ponad 40 standardów, z których wiele wspiera organizację bezpieczeństwa informacji w Polsce. Poniżej przedstawiono najważniejsze normy ISO, ich zastosowanie i status.
ISO/IEC 27000: Wprowadzenie i słownictwo
Cel normy: ISO/IEC 27000 definiuje terminy i dostarcza przegląd norm rodziny ISO, stanowiąc podstawę dla standardów bezpieczeństwa informacji.
Status w Polsce: Obowiązuje PN-EN ISO/IEC 27000:2017-06, stosowana w organizacjach każdej wielkości.
Zastosowanie: Ułatwia wdrożenie normy ISO, standaryzując pojęcia dla bezpieczeństwa iso, szczególnie dla ISO/IEC 27001.
ISO/IEC 27001: Wymagania dla SZBI
Cel normy: ISO/IEC 27001 określa wymagania dla systemów zarządzania bezpieczeństwem informacji, w tym 114 zabezpieczeń w Załączniku A, takich jak techniki bezpieczeństwa, kontrola dostępu i reagowanie na incydenty.
Status w Polsce: PN-EN ISO/IEC 27001:2023-08 to najnowsza wersja normy ISO. Okres przejściowy dla PN-EN ISO/IEC 27001:2017-06 trwa do 31 października 2025 roku.
Zastosowanie: Certyfikacja systemów zarządzania zgodna z ISO/IEC 27001 jest popularna w sektorach IT, finansowym i publicznym, zapewniając bezpieczeństwo systemu informacyjnego i budując zaufanie klientów.
ISO/IEC 27002: Wytyczne dla zabezpieczeń
Cel normy: ISO/IEC 27002 oferuje wytyczne dotyczące wdrażania zabezpieczeń systemów informacji z ISO/IEC 27001, szczegółowo opisując 114 mechanizmów kontrolnych.
Status w Polsce: Obowiązuje PN-EN ISO/IEC 27002:2017-06, zaktualizowana w 2022 roku zgodnie z ISO/IEC 27002:2022.
Zastosowanie: Norma bezpieczeństwa ISO/IEC 27002 wspiera wdrożenie zarządzania bezpieczeństwem w firmach technologicznych i administracji.
ISO/IEC 27003: Wdrożenie SZBI
Cel normy: ISO/IEC 27003 dostarcza wytycznych dotyczących wdrażania systemów zarządzania bezpieczeństwem informacji.
Status w Polsce: PN-EN ISO/IEC 27003:2017-06 wspiera organizacje w planowaniu SZBI.
Zastosowanie: Ułatwia wdrożenie normy ISO w firmach rozpoczynających proces.
ISO/IEC 27004: Monitorowanie i pomiary
Cel normy: ISO/IEC 27004 określa mierniki do oceny efektywności SZBI, wspierając kontrole bezpieczeństwa informacji.
Status w Polsce: PN-EN ISO/IEC 27004:2017-06 jest stosowana w audytach.
Zastosowanie: Pomaga w doskonaleniu bezpieczeństwa informacji poprzez systematyczne monitorowanie.
ISO/IEC 27005: Zarządzanie ryzykiem
Cel normy: ISO/IEC 27005 dostarcza wytycznych dotyczących zarządzania ryzykiem związanym z bezpieczeństwem informacji, wspierając audyt systemu zarządzania.
Status w Polsce: Stosowana jest PN-ISO/IEC 27005:2014-01, oparta na ISO/IEC 27005:2011, z aktualizacją z 2018 roku.
Zastosowanie: Kluczowa dla banków i instytucji rządowych, wspiera zarządzanie informacjami i zgodność z ISO/IEC 27001.
ISO/IEC 27006: Wymagania dla jednostek certyfikujących
Cel normy: ISO/IEC 27006 określa wymagania dla jednostek przeprowadzających audyt systemu zarządzania i certyfikację SZBI.
Status w Polsce: PN-EN ISO/IEC 27006:2016-02 jest stosowana przez akredytowane jednostki, takie jak ISOQAR.
Zastosowanie: Zapewnia standardy dla certyfikacji systemów zarządzania zgodnych z ISO/IEC 27001.
ISO/IEC 27007 i ISO/IEC TR 27008: Audyty i przeglądy
Cel normy: ISO/IEC 27007 dostarcza wytycznych do audytu SZBI, a ISO/IEC TR 27008 wspiera przeglądy techniczne zabezpieczeń informacji.
Status w Polsce: Obie normy są stosowane w zaawansowanych audytach bezpieczeństwa iso.
Zastosowanie: Wspierają organizację standardów bezpieczeństwa w firmach o wysokich wymaganiach.
ISO/IEC 27010: Zarządzanie bezpieczeństwem w komunikacji
Cel normy: ISO/IEC 27010 oferuje wytyczne dla bezpieczeństwa informacji w organizacjach międzysektorowych.
Status w Polsce: Stosowana w sektorach wymagających wymiany danych, np. telekomunikacji.
Zastosowanie: Uzupełnia normy ISO w zakresie bezpiecznego przetwarzania informacji.
ISO/IEC 27011, 27013, 27014, 27015: Specjalistyczne wytyczne
- ISO/IEC 27011: Wytyczne dla telekomunikacji.
- ISO/IEC 27013: Integracja ISO/IEC 27001 z ISO/IEC 20000-1.
- ISO/IEC 27014: Zarządzanie bezpieczeństwem informacji.
- ISO/IEC 27015: Bezpieczeństwo w sektorze finansowym.
Zastosowanie: Normy te wspierają specyficzne potrzeby sektorowe, np. finanse czy IT.
