ISO 27001:2022

Какво представлява ISO 27001?

Информационната сигурност вече не е въпрос само на antivirus, firewall или IT инфраструктура.

Организациите управляват клиентски данни, договори, финансови записи, интелектуална собственост, лични данни, source code, cloud environments и голям обем друга критична информация. Тази информация може да бъде компрометирана не само чрез техническа атака, а и вследствие на човешка грешка, неправилно предоставен достъп, слаб доставчик, загубено устройство, липса на backup или недостатъчно планирана реакция при инцидент.

ISO/IEC 27001 разглежда всички тези рискове като част от една система за управление.

Вместо организацията да внедрява отделни security controls без обща логика, стандартът изисква първо да бъде разбрано каква информация трябва да бъде защитена, какви заплахи и уязвимости съществуват, какъв е рискът и едва след това да бъдат определени подходящи мерки.

Това е причината ISO 27001 да бъде приложим както за технологични компании, така и за производствени предприятия, финансови организации, здравни структури, публични администрации и практически всяка организация, която обработва ценна или чувствителна информация.

За кои организации е подходящ ISO 27001?

ISO/IEC 27001 е особено подходящ за организации, при които сигурността на информацията е важна за клиентите, договорите, регулаторните изисквания или непрекъсваемостта на бизнеса.

Това включва IT и software компании, SaaS и cloud providers, outsourcing организации, финансови и FinTech дружества, телекомуникационни компании, здравни организации, публични администрации, производствени предприятия и professional services компании.

Сертификацията често е необходима и когато клиент или международен партньор поставя изискване доставчикът да разполага с независимо сертифицирана ISMS.

Какво защитава ISO 27001?

В основата на информационната сигурност стоят три основни свойства.

Поверителност (Confidentiality) означава информацията да бъде достъпна само за лицата и системите, които имат право да я използват.

Цялостност (Integrity) означава информацията да бъде защитена от неразрешено или неправомерно изменение.

Наличност (Availability) означава информацията и свързаните системи да бъдат достъпни, когато са необходими за дейността.

На практика тези принципи се превръщат в конкретни управленски, организационни, физически и технологични мерки според рисковия профил на организацията.

Управление на риска – основата на ISMS

ISO 27001 е risk-based standard.

Организацията трябва да идентифицира рисковете за информационната сигурност, да ги анализира и оцени спрямо предварително определени критерии и да вземе решение как ще бъдат третирани.

Например риск може да бъде компрометиране на администраторски акаунт, загуба на данни, ransomware атака, неправомерен достъп от служител, прекъсване на cloud service, недостатъчна защита на backup, компрометиран доставчик или уязвимост в разработван софтуер.

В зависимост от нивото на риска организацията определя необходимите контроли, отговорности и действия.

Затова при добре внедрена ISMS трябва да съществува ясна връзка между:

информационен актив → заплаха/уязвимост → риск → решение за третиране → контрол → доказателство → наблюдение и подобрение.

Annex A и контролите за информационна сигурност

Версията от 2022 г. значително променя структурата на Annex A.

Контролите са 93, групирани в четири категории: организационни, свързани с хората, физически и технологични. Версията от 2022 г. въвежда 11 нови контроли и преструктурира предходните 114 контроли от изданието от 2013 г.

Новите области включват теми като threat intelligence, cloud security, ICT readiness for business continuity, physical security monitoring, configuration management, information deletion, data masking, data leakage prevention, monitoring activities, web filtering и secure coding.

Важно е обаче Annex A да не се възприема като checklist, в който всяка организация механично внедрява всички контроли.

Изборът трябва да произтича от оценката и третирането на риска, приложимите законови, регулаторни и договорни изисквания и специфичния контекст на организацията.

• Резултатът се отразява в Statement of Applicability (SoA), който показва приложимите контроли, тяхното състояние и обосновката за включването или изключването им.
  

Какво представлява Amd 1:2024?

През февруари 2024 г. ISO публикува ISO/IEC 27001:2022/Amd 1:2024 – Climate action changes. Поправката е приложима към действащото издание ISO/IEC 27001:2022.

Тя не въвежда нов набор от cybersecurity controls и не превръща ISO 27001 в environmental standard.

Промяната е в контекста на организацията. В клауза 4.1 е въведено изискване организацията да определи дали изменението на климата е релевантен въпрос, а към 4.2 е добавено уточнение, че релевантните заинтересовани страни могат да имат изисквания, свързани с климатичните промени. Това изменение е част от общата инициатива на ISO за management system standards.

За ISMS това например може да бъде релевантно, когато климатичните фактори влияят върху физически обекти, data centres, наличност на електрозахранване и телекомуникации, business continuity или критични доставчици.

Организацията трябва да направи и документира оценката за релевантност, но ако установи, че climate change няма съществено отношение към нейната ISMS, Amendment 1 сам по себе си не изисква въвеждане на специални „климатични“ security controls. Това съответства на разясненията на ISO и IAF относно целта на изменението.

ISO 27001 и NIS2

ISO/IEC 27001 може да бъде много добра управленска основа за организация, която трябва да изпълнява изисквания по NIS2.

И двете рамки разглеждат области като risk management, incident management, business continuity, supply-chain security, access control, awareness и управленска отговорност.

Но ISO 27001 certification не означава автоматично съответствие с NIS2.

NIS2 представлява нормативна рамка и включва конкретни задължения, които трябва да бъдат анализирани спрямо организацията, нейния сектор, приложимостта на законодателството и националните правила. Също така ISO 27001 се посочва, като структурна основа, която организациите използват при NIS2 и други cybersecurity obligations, без да я приравнява автоматично на регулаторно съответствие.

ISO 27001 и SOC 2

ISO 27001 и SOC 2 имат значително припокриване по отношение на security governance, risk management, access controls, operations, incident management и monitoring, но представляват различни рамки и различен вид независима оценка.

За IT и SaaS организации една добре внедрена ISMS може значително да улесни подготовката за SOC 2, тъй като голяма част от управленската и evidence инфраструктура вече съществув

ISO 27001 и ISO 42001

За компании, които разработват или използват AI, комбинацията между ISO/IEC 27001 и ISO/IEC 42001 е особено логична.

ISO 27001 управлява рисковете за информационната сигурност, докато ISO 42001 надгражда с AI governance, AI risk, impact assessments, lifecycle management и responsible AI.

Значителна част от общите процеси за контекст, управление на риска, компетентност, доставчици, вътрешни одити и Management Review могат да бъдат интегрирани.

ISO 27001:2013 и преходът към ISO 27001:2022

Преходният период от ISO/IEC 27001:2013 към ISO/IEC 27001:2022 приключи на 31 октомври 2025 г. Затова текущите сертификационни и внедрителски проекти трябва да бъдат базирани на ISO/IEC 27001:2022, заедно с приложимото Amendment 1:2024.

Как Strategy внедрява ISO/IEC 27001?

При нашите проекти не започваме със създаване на десетки политики.

Първо трябва да разберем как организацията действително работи, какви информационни активи използва, къде се намира информацията, кой има достъп до нея и какви са реалните рискове.

След първоначалния GAP анализ определяме обхвата на ISMS и анализираме съществуващите технологични, организационни и договорни мерки.

Следва оценката на риска и Risk Treatment Plan. На тази база определяме приложимите Annex A controls и разработваме Statement of Applicability.

Едва след това разработваме или актуализираме необходимите политики, процедури, регистри и технически/организационни контроли.

Типичният проект може да обхване GAP анализ, ISMS Scope, asset management, risk assessment и treatment, SoA, access control, cryptography, supplier security, incident management, cloud security, backup, vulnerability management, business continuity, secure development, training, вътрешен одит, Management Review и certification readiness.

При организация, която вече използва ISO 9001, ISO 20000-1, ISO 22301, ISO 27701 или ISO 42001, търсим максимално интегриране на общите управленски процеси.

Какво ще проверява одиторът?

Една от най-честите грешки е да се смята, че сертификацията се свежда до преглед на policies.

При реалния одит трябва да може да бъде проследена връзката между risk assessment, treatment plan, Statement of Applicability, внедрените controls и обективните доказателства за тяхното функциониране.

Например, ако организацията твърди, че извършва периодичен access review, трябва да може да покаже кога е извършен, от кого, какво е проверено и какви действия са предприети.

Същото важи за backups, vulnerabilities, incidents, suppliers, security awareness, cloud controls, monitoring, business continuity и останалите приложими области.

Това е разликата между формално документирана и реално функционираща ISMS.

Сертификация по ISO/IEC 27001

След като ISMS е внедрена и функционира, организацията може да премине към независима сертификационна оценка.

При първоначалната сертификация процесът обичайно включва Stage 1 и Stage 2, след което сертификационният орган взема независимо решение за издаване на сертификат.

ISO не извършва самата сертификация; организациите могат да изберат дали да внедрят стандарта само като management framework или да потърсят независима сертификация от conformity assessment body. 

Планирате внедряване или сертификация по ISO/IEC 27001?

Свържете се със Strategy за първоначална консултация.

Ще оценим текущото ниво на информационна сигурност, приложимите рискове и съществуващите контроли и ще определим необходимите действия за изграждане на ефективна ISMS и подготовка за сертификация.