ISO/IEC 27001 (ISO 27001)
Międzynarodowy standard systemu zarządzania bezpieczeństwem informacji (ISMS). Wersja 2022.
ISO 27001 to standard, na podstawie którego organizacja buduje i certyfikuje system zarządzania bezpieczeństwem informacji (ISMS). Słowo klucz: system. Nie zbiór dokumentów, tylko mechanizm, w którym ryzyko napędza dobór kontroli, a kontrole mają dowody.
Wersja 2022 zawiera 93 kontrole w Załączniku A (Annex A), pogrupowane w cztery domeny: organizacyjne, ludzkie, fizyczne i technologiczne. Nie wdrażasz wszystkich na ślepo, tylko te wynikające z analizy ryzyka, a pominięcia uzasadniasz w deklaracji stosowania (SoA).
Wdrożenie trwa zwykle od pół roku do półtora, a certyfikat to nie meta, tylko początek utrzymania (audyty nadzoru co roku). Najczęstszy zgon to dokumentacja w plikach, która po kilku miesiącach przestaje odpowiadać rzeczywistości.
W praktyce: zobacz odpowiedni moduł RealSec.
Zbiór polityk, procesów i kontroli, którymi organizacja zarządza bezpieczeństwem informacji. Rdzeń ISO 27001.
Statement of Applicability: dokument ISO 27001 mówiący, które kontrole Annex A stosujesz i dlaczego.
Business Impact Analysis: ocena, które procesy są krytyczne i jak szybko muszą wrócić po przerwaniu.
Compliance, który łączy.
Pojęcia to mapa. RealSec spina je z procesami, systemami i dostawcami w jeden silnik.