Po co ci ISO 27001
ISO 27001 to skrót, który prędzej czy później zobaczysz w dokumentacji przetargowej. Raz jako twardy warunek udziału, raz jako punktowane kryterium pozacenowe. Dla firmy, która chce sprzedawać usługi IT administracji publicznej albo dużym korporacjom, to coraz częściej przepustka do kontraktu.
W poprzednim wpisie o certyfikatach cyberbezpieczeństwa w zamówieniach publicznych ISO/IEC 27001 Lead Auditor pojawiał się jako najczęstszy wymóg wobec ludzi w zespole. Tutaj patrzymy z drugiej strony: na certyfikat dla całej firmy. To dwie różne rzeczy i warto je rozróżniać, zanim wpiszesz cokolwiek do oferty.
Czym jest ISO 27001
ISO 27001 to nie program ani jednorazowy projekt IT. To międzynarodowa norma ISO/IEC 27001 opisująca System Zarządzania Bezpieczeństwem Informacji (SZBI), czyli sposób, w jaki firma na bieżąco zarządza ryzykiem dla swoich danych. Składają się na niego trzy rzeczy naraz: technologia, procesy i ludzie.
Cały system kręci się wokół trzech cech informacji, znanych jako triada CIA:
| Cecha | Co oznacza | Przykładowe zabezpieczenia |
|---|---|---|
| Poufność | Do danych ma dostęp tylko ten, kto powinien. | Kontrola dostępu, MFA, szyfrowanie, fizyczna ochrona pomieszczeń. |
| Integralność | Dane są kompletne i nikt ich po cichu nie zmienił. | Sumy kontrolne, podpisy cyfrowe, logi zmian, kontrola wersji. |
| Dostępność | Dane są dostępne wtedy, gdy są potrzebne. | Kopie zapasowe, redundancja, zasilanie awaryjne, plany ciągłości działania. |
Certyfikat ISO 27001 to niezależny dowód, że firma zarządza bezpieczeństwem w sposób poukładany i powtarzalny. Stąd jego waga w przetargach i w rozmowach z klientami korporacyjnymi.
Budowa normy i cykl PDCA
Norma dzieli się na dwie części. Pierwsza to klauzule 4-10 (treść główna), które mówią, jak zarządzać bezpieczeństwem. Druga to Załącznik A, czyli katalog konkretnych zabezpieczeń do wyboru.
Klauzule 4-10 realizują klasyczny cykl ciągłego doskonalenia PDCA (Plan-Do-Check-Act):
- Plan: Klauzula 4 (kontekst firmy i zakres systemu), 5 (przywództwo i polityka, zatwierdzone przez zarząd) i 6 (planowanie i kryteria oceny ryzyka).
- Do: Klauzula 7 (zasoby, kompetencje, świadomość, dokumentacja) i 8 (działania operacyjne, w tym nadzór nad dostawcami i chmurą).
- Check: Klauzula 9 (monitorowanie, audyty wewnętrzne, przegląd zarządzania).
- Act: Klauzula 10 (działania korygujące i usuwanie przyczyn źródłowych, nie tylko skutków).
Dla właściciela firmy to ważne: ISO 27001 to standard zarządzania całym biznesem. Klauzula 5 wprost wymaga zaangażowania zarządu, więc nie zepchniesz go wyłącznie na dział IT. Bez wsparcia z góry wdrożenie zwykle grzęźnie.
Załącznik A 2022: 93 zabezpieczenia
Wydanie z października 2022 r. mocno uprościło katalog zabezpieczeń. Wcześniej (2013 r.) było 114 kontroli rozsianych po 14 domenach. Teraz jest 93 zabezpieczenia w 4 czytelnych grupach:
| Grupa | Liczba | Czego dotyczy |
|---|---|---|
| Organizacyjne | 37 | Nadzór i strategia: polityki, inwentaryzacja aktywów, klasyfikacja danych, zarządzanie incydentami, nadzór nad dostawcami. |
| Personalne | 8 | Czynnik ludzki: weryfikacja kandydatów, klauzule poufności, praca zdalna, szkolenia ze świadomości. |
| Fizyczne | 14 | Ochrona materialna: strefy bezpieczeństwa, kontrola dostępu, polityka czystego biurka, nadzór nad nośnikami. |
| Technologiczne | 34 | Warstwa techniczna: uwierzytelnianie, kryptografia, segmentacja sieci, kopie zapasowe, ochrona przed malware. |
Wydanie 2022 dorzuciło też 11 nowych zabezpieczeń, które odpowiadają na chmurę, pracę hybrydową i ransomware:
- A.5.7 Threat Intelligence: aktywne zbieranie wiedzy o zagrożeniach.
- A.5.23 Bezpieczeństwo w chmurze: polityki i model współdzielonej odpowiedzialności.
- A.5.30 Gotowość ICT na rzecz ciągłości działania: cele RTO/RPO i testy odtwarzania.
- A.7.4 Monitorowanie bezpieczeństwa fizycznego: CCTV, alarmy, rejestracja dostępu.
- A.8.9 Zarządzanie konfiguracją: bezpieczne szablony i hardening.
- A.8.10 Usuwanie informacji: trwałe kasowanie danych po okresie retencji.
- A.8.11 Maskowanie danych: anonimizacja/pseudonimizacja w środowiskach testowych.
- A.8.12 Zapobieganie wyciekom (DLP): kontrola danych w spoczynku, w ruchu i w użyciu.
- A.8.16 Działania monitorujące: logowanie i wykrywanie anomalii (EDR, SIEM).
- A.8.23 Filtrowanie ruchu internetowego: blokowanie złośliwych domen.
- A.8.28 Bezpieczne tworzenie oprogramowania: security by design w cyklu wytwarzania.
Nie musisz wdrażać wszystkich 93 kontroli. O tym, których użyjesz, decyduje ocena ryzyka i dokument o nazwie SoA.
Ocena ryzyka i SoA
Serce systemu to ocena ryzyka. Norma nie narzuca jednej metodyki (możesz oprzeć się na ISO 31000 albo ISO/IEC 27005), ale wymaga, żeby kryteria były spójne, powtarzalne i zatwierdzone przez zarząd. W skrócie proces wygląda tak: identyfikujesz aktywa i zagrożenia, oceniasz prawdopodobieństwo i skutek, a potem dla każdego ryzyka ponad akceptowalnym poziomem wybierasz drogę postępowania: modyfikacja (wdrożenie zabezpieczenia), transfer (np. ubezpieczenie, chmura), akceptacja albo unikanie.
Wyniki oceny ryzyka spinasz z zabezpieczeniami w jednym, obowiązkowym dokumencie: Deklaracji Stosowania (SoA, Statement of Applicability). Audytorzy czytają ją jako pierwszą. W SoA mapujesz wynik analizy ryzyka na wszystkie 93 zabezpieczenia z Załącznika A i deklarujesz, które stosujesz, a które wykluczasz. Wykluczyć wolno, ale każde wyłączenie trzeba sensownie uzasadnić. Przykład: dostawca w modelu w pełni zdalnym może wyłączyć część kontroli fizycznych, jeśli to racjonalnie wykaże.
Droga do certyfikatu
Certyfikat wydaje niezależna jednostka certyfikująca po audycie podzielonym na dwa etapy:
- Etap 1: przegląd dokumentacji i gotowości (często zdalnie). Audytor sprawdza m.in. SoA, politykę bezpieczeństwa zatwierdzoną przez kierownictwo, ocenę ryzyka oraz to, czy przeprowadziłeś audyt wewnętrzny i przegląd zarządzania. Bez tego Etap 1 się zatrzymuje.
- Etap 2: audyt operacyjny w siedzibie. Audytor sprawdza dowody, że zabezpieczenia działają: konfiguracje, dostępy, szyfrowanie, reakcję na incydenty.
Jeśli nie ma niezgodności głównej (major non-conformity), firma dostaje certyfikat ważny 3 lata. W roku 1 i 2 odbywają się krótsze audyty nadzoru, a w roku 3 audyt recertyfikacyjny. Całe wdrożenie, od analizy luk po gotowość, trwa zwykle 6-18 miesięcy, a koszt zaczyna się orientacyjnie od kilkudziesięciu tysięcy złotych i rośnie z wielkością firmy i liczbą lokalizacji.
Bierz certyfikat tylko od jednostki akredytowanej. W Polsce akredytację nadaje Polskie Centrum Akredytacji (rejestr akredytowanych jednostek certyfikujących systemy zarządzania). Akredytowane ISMS certyfikują m.in. PCBC, Bureau Veritas Polska, TÜV Rheinland Polska czy DQS Polska. Certyfikat z firmy bez akredytacji bywa odrzucany przy weryfikacji w przetargu albo w audycie łańcucha dostaw.
ISO 27001 w przetargach i wobec NIS2
W zamówieniach publicznych ISO 27001 pojawia się na trzy sposoby. Jako warunek udziału (musisz mieć certyfikat, żeby w ogóle złożyć ofertę), jako punktowane kryterium oceny ofert (certyfikat daje dodatkowe punkty) albo jako wymóg wobec podwykonawcy. Dowodzisz go zwykle przez podmiotowe środki dowodowe, czyli kopię ważnego certyfikatu z akredytowanej jednostki.
Jest też powiązanie z poprzednim wpisem: PCA-akredytowany certyfikat audytora wiodącego ISO 27001 jest jednym z certyfikatów z rozporządzenia Ministra Cyfryzacji o audytach KSC. Dzięki temu jedna inwestycja w kompetencje ISO 27001 daje dwie korzyści: certyfikat dla firmy i uprawnienia audytowe dla zespołu.
ISO 27001 nie zastępuje prawa. NIS2 (dyrektywa UE 2022/2555), RODO (art. 32) i DORA to obowiązujące wymogi z własnymi obowiązkami, w tym zgłaszanie incydentów do CSIRT. Norma daje za to gotowy szkielet: katalog zabezpieczeń, procedury reakcji na incydenty, mapowanie ryzyka u dostawców. Dlatego firmy traktują ją jako fundament zgodności, który skraca drogę do spełnienia tych regulacji.
Jeśli celujesz też w rynki zagraniczne, warto znać sąsiednie standardy:
| Standard | Co to jest | Gdzie liczy się najbardziej |
|---|---|---|
| ISO 27001 | System zarządzania bezpieczeństwem informacji, pełna certyfikacja. | Europa i Azja, B2B, przetargi. |
| SOC 2 | Raport atestacyjny (Type I/II) o kontrolach usługi. | Rynek USA, SaaS, centra danych. |
| NIST CSF | Dobrowolne ramy obrony (Identify, Protect, Detect, Respond, Recover, Govern). | USA, samoocena dojrzałości. |
Kontrole ISO 27001 i SOC 2 pokrywają się w dużej części, więc firmy często budują jeden system i wykorzystują go do obu. Dla motoryzacji osobnym wymogiem bywa TISAX, a dla ciągłości działania ISO 22301.
Najczęstsze pułapki
- Pułapka 1. Mylisz certyfikat firmy z certyfikatem osoby. ISO 27001 (organizacja) to nie to samo co ISO 27001 Lead Auditor (człowiek). Sprawdź dokładnie, czego żąda SWZ, zanim coś obiecasz w ofercie.
- Pułapka 2. Bierzesz certyfikat od nieakredytowanej jednostki. Tańszy, szybszy i często bezwartościowy w przetargu. Weryfikuj akredytację w rejestrze PCA, zanim podpiszesz umowę z jednostką.
- Pułapka 3. Traktujesz ISO jak projekt IT. To standard zarządzania całą firmą. Bez zaangażowania zarządu (Klauzula 5) i objęcia procesów HR, administracji i dostawców wdrożenie nie przejdzie audytu.
- Pułapka 4. Kopiujesz dokumentację z innej firmy. Audytor szybko wychwyci „kopiuj-wklej". SoA i ocena ryzyka muszą opisywać twoją firmę, nie szablon ze szkolenia.
- Pułapka 5. Zapominasz o audytach nadzoru. Certyfikat działa w cyklu 3-letnim z corocznym nadzorem. Pominięty audyt nadzoru = utrata certyfikatu, a w trakcie przetargu to dyskwalifikacja.
Przykład z życia
Software house (15 osób) chciał wejść w przetargi na utrzymanie systemów dla administracji. W kilku SWZ z rzędu ISO 27001 było punktowanym kryterium pozacenowym (10-20% oceny), a firma za każdym razem traciła te punkty na rzecz większej konkurencji i przegrywała o włos.
Zarząd policzył to na zimno. Wdrożenie z akredytowaną jednostką wyceniono w widełkach kilkudziesięciu tysięcy złotych, a projekt zajął ok. 9 miesięcy: analiza luk, ocena ryzyka, SoA, polityki, szkolenia, audyt wewnętrzny, a potem Etap 1 i Etap 2. W pierwszym przetargu po certyfikacji firma dobiła komplet punktów za kryterium jakościowe i wygrała kontrakt wart kilkaset tysięcy złotych rocznie. Certyfikat zwrócił się na pierwszym wygranym postępowaniu, a przy okazji uprościł rozmowy z klientami korporacyjnymi, którzy też go wymagali.
Co dalej
Jeśli ISO 27001 zaczyna pojawiać się w twoich przetargach, podejdź do tego etapami. Najpierw zrób analizę luk (gap analysis): zobaczysz, jak daleko jesteś od wymagań i ile realnie kosztuje dojście. Potem wybierz akredytowaną jednostkę certyfikującą i zaplanuj 6-18 miesięcy na wdrożenie, nie licząc, że zdążysz „pod konkretny przetarg" w miesiąc. Na końcu pamiętaj, że certyfikat to dopiero początek: utrzymasz go audytami nadzoru i aktualną oceną ryzyka.
I rada na koniec: zanim wydasz złotówkę, przeczytaj dokładnie, czego żąda SWZ. Czasem wystarczy certyfikat ISO 27001 Lead Auditor u jednej osoby, a nie pełna certyfikacja firmy. To różnica kilkudziesięciu tysięcy złotych i wielu miesięcy pracy.
Wypełniasz przetargi ręcznie? Janusz robi to za Ciebie — analizuje SWZ, wyłapuje warunki udziału i czerwone flagi, wypełnia formularze. Wypróbuj 14 dni za darmo.
Tekst napisał Aleksander Zębrowski. AI używany jako asystent (research, draft, struktura). Final review: redakcja Przetargowego Janusza.