Certyfikacja ISO 27001

Na czym polega certyfikacja

Certyfikacja ISO IEC 27001 jest niezależną oceną Systemu Zarządzania Bezpieczeństwem Informacji przeprowadzaną przez jednostkę certyfikującą. Audyt potwierdza, czy organizacja spełnia wymagania normy w zadeklarowanym zakresie i czy system działa w praktyce. Certyfikat nie dotyczy całej organizacji automatycznie. Zawsze należy sprawdzić zakres wskazany na dokumencie, objęte lokalizacje, usługi i wersję normy.

Certyfikacja jest dobrowolna, chyba że wynika z umowy, wymagań klienta albo warunków udziału w postępowaniu. Organizacja może stosować normę bez certyfikatu. Niezależna ocena zwiększa jednak wiarygodność systemu i dostarcza kierownictwu informacji o jego dojrzałości.

Gotowość przed rozpoczęciem audytu

Przed wyborem jednostki system powinien działać przez okres umożliwiający zebranie dowodów. Organizacja posiada zatwierdzony zakres, politykę, metodykę i wyniki oceny ryzyka, plan postępowania, deklarację stosowania, cele oraz nadzorowaną dokumentację. Procesy operacyjne są wykonywane, a pracownicy znają swoje role.

Wymagane są również zakończony audyt wewnętrzny i przegląd zarządzania. Niezgodności wykryte podczas przygotowań powinny zostać przeanalizowane, a działania korygujące odpowiednio zaawansowane. Audyt certyfikacyjny nie powinien pełnić funkcji pierwszego testu systemu.

Wybór jednostki certyfikującej

Warto sprawdzić akredytację, zakres kompetencji jednostki, doświadczenie audytorów w danym sektorze, sposób kalkulacji czasu audytu oraz zasady obsługi niezgodności. Akredytacja zwiększa rozpoznawalność certyfikatu i potwierdza, że jednostka działa według określonych wymagań.

Zakres przedstawiony w ofercie powinien odpowiadać rzeczywistemu zakresowi SZBI. Organizacja przekazuje informacje o zatrudnieniu, lokalizacjach, procesach, technologii, pracy zmianowej i istotnych dostawcach. Dane te wpływają na czas oraz skład zespołu audytowego.

Etap pierwszy audytu

Pierwszy etap służy ocenie gotowości. Audytor analizuje zakres, kontekst, dokumentację, ocenę ryzyka, deklarację stosowania, audyt wewnętrzny i przegląd zarządzania. Sprawdza również, czy organizacja rozumie wymagania i czy warunki pozwalają przeprowadzić etap drugi.

Wynikiem są ustalenia wymagające uzupełnienia przed dalszą oceną. Organizacja powinna wykorzystać czas między etapami na usunięcie luk i potwierdzenie, że zmiany zostały wdrożone.

Etap drugi audytu

Drugi etap koncentruje się na działaniu systemu. Audytor prowadzi rozmowy, analizuje zapisy, obserwuje procesy i dobiera próbki. Sprawdza powiązanie ryzyka z zabezpieczeniami, realizację celów, zarządzanie dostępem, incydentami, dostawcami, ciągłością działania i kompetencjami. Ocena obejmuje także zaangażowanie kierownictwa.

Audyt nie polega na sprawdzeniu każdego zapisu. Próbkowanie oznacza, że wykryty problem może wskazywać na szerszą słabość procesu. Organizacja powinna przedstawiać dowody zgodne ze stanem faktycznym, a nie przygotowywać specjalnego obrazu wyłącznie na czas wizyty.

Niezgodności i działania korygujące

Niezgodność oznacza niespełnienie wymagania. Jej klasyfikacja zależy od znaczenia i wpływu na zdolność systemu do osiągania wyników. Organizacja analizuje przyczynę, podejmuje korekcję, planuje działanie korygujące i ocenia ryzyko wystąpienia podobnego problemu w innych obszarach.

Samo uzupełnienie brakującego dokumentu może nie wystarczyć. Jeżeli przyczyną był niejasny podział ról albo nieskuteczny nadzór, działanie powinno usunąć tę przyczynę. Jednostka ocenia dowody przed wydaniem rekomendacji certyfikacyjnej.

Decyzja i cykl certyfikacji

Decyzję o wydaniu certyfikatu podejmuje osoba niezależna od zespołu prowadzącego audyt. Certyfikat jest zwykle wydawany w cyklu trzyletnim. W tym czasie jednostka prowadzi audyty nadzoru, a przed końcem cyklu audyt ponownej certyfikacji.

Audyty nadzoru sprawdzają wybrane wymagania, zmiany, niezgodności, cele i funkcjonowanie procesów. Organizacja informuje jednostkę o istotnych zmianach zakresu, struktury lub działalności. Utrzymanie certyfikatu wymaga stałego działania systemu.

Certyfikat a zgodność prawna

Certyfikat potwierdza zgodność SZBI z normą w określonym zakresie. Nie potwierdza automatycznie zgodności z RODO, NIS2 ani ustawą o krajowym systemie cyberbezpieczeństwa. Wymagania prawne mogą obejmować inne podmioty, terminy i obowiązki. Organizacja powinna mapować je osobno i włączać do systemu.

Podstawy przygotowania opisuje strona Norma ISO IEC 27001, a kolejność działań przedstawiają Etapy wdrażania SZBI.