Certifikát ISO 27001. Vše co potřebujete vědět o certifikaci dle ISO/IEC 27001

ISO/IEC 27001 je mezinárodní normou pro řízení bezpečnosti informací. Je zaměřena na zajištění ochrany informací v organizaci, a to pomocí vytvoření a udržovánířízenéhoprostředí bezpečnosti informací.

Norma ISO/IEC 27001 definuje požadavky na řízení bezpečnosti informací, jako je například řízení rizik, řízení incidentů a dodržování zákonů a regulací. Cílem je zajistit, aby byly informace v organizaci chráněny před riziky, jako je například ztráta, špatné použití, poškození nebo zneužití.

ISO 27001 byl poprvé vydán v roce 2005, ale historie tohoto standardusahá až do počátku 90. let. V té době byl vyvinut standard BS 7799, který byl zaměřen na řízení bezpečnosti informací v britských organizacích. BS 7799 byl později mezinárodně uznán a přeměněn na mezinárodní normu ISO 27001.

V roce 2000 bylo vydáno první vydání ISO 27001, které definovalo základní požadavky na řízení bezpečnosti informací. Od té doby byl standard aktualizován a v roce 2013 bylo vydáno druhé vydání, které rozšířilo požadavky na řízení bezpečnosti informací. Ten byl revidován v roce 2022.

Od svého vydáníse ISO 27001 stalo jedním z nejpopulárnějších standardů pro řízení bezpečnosti informací a je široce používán v organizacích po celém světě. Mnoho organizacíse rozhodlo certifikovat se na tento standard, což jim umožňuje prokázat, že mají řízený proces pro ochranu informací a že jsou schopny splňovat stále se zvyšující požadavky na bezpečnost informací.

V České republice má norma ISO/IEC 27001 ekvivalent v ČSN ISO/IEC 27001 Informační technologie – Bezpečnostní techniky – Systémy řízení bezpečnosti informací – Požadavky

ČSN ISO/IEC 27001 specifikuje požadavky na ustavení, implementování, udržování a neustálé zlepšování systému řízení bezpečnosti informací v rámci kontextu rizik činnosti organizace.

Zahrnuje také požadavky na posouzení a ošetření rizik bezpečnosti informací, přizpůsobené potřebám organizace.

Příloha A normy ČSN ISO/IEC 27001 obsahuje cíle opatření a jednotlivá opatření, které jsou přímo odvozeny a propojeny s těmi, které jsou uvedeny v kapitolách 5 až 18 normy ČSN ISO/IEC 27002 a musí být použity v kontextu požadavků procesu ošetření rizik bezpečnosti informací.

Požadavky této mezinárodní normy jsou obecně použitelné a jsou aplikovatelné ve všech organizacích bez ohledu na jejich typ, velikost a povahu činností.

Vyloučení jakýchkoli požadavků specifikovaných v kapitolách 4 až 10 této normy je nepřijatelné, pokud chce organizace dosáhnout shody s touto normou. Norma má 28 stránek a byla přeložena z anglického originálu.

Top 10 důvodů pro zavedení požadavků normy ISO 27001

1. Ochrana důvěrných informací: ISO 27001 zajišťuje, že důvěrné informace jsou chráněny před ztrátou, špatným použitím, poškozením nebo zneužitím.
2. Zlepšení dodržování předpisů: Standard zajišťuje dodržování relevantních právních předpisů a regulací v oblasti bezpečnosti informací.
3. Zlepšení důvěry zákazníků a partnerů: Certifikace na ISO/IEC 27001 umožňuje organizaci prokázat, že je schopna řídit bezpečnost informací a zlepšit tak důvěru zákazníků a partnerů.
4. Zvýšení konkurence schopnosti: ISO 27001 je mezinárodně uznávaný standard, který zvyšuje konkurence schopnost organizace na trhu.
5. Zlepšení řízení rizik: Standard definuje procesy pro identifikaci a řízení rizik v oblasti bezpečnosti informací.
6. Zlepšení řízení incidentů: ISO 27001 definuje procesy pro řízení incidentů bezpečnosti informací a zajišťuje, že jsou řešeny rychle a efektivně.
7. Snížení pravděpodobnosti úniku informací: Řízení bezpečnosti informací podle ISO 27001 snižuje pravděpodobnost úniku informací.
8. Zlepšení řízení změn: ISO 27001 definuje procesy pro řízení změn v oblasti bezpečnosti informací, což zlepšuje jejich řízení a zajišťuje, že bezpečnost informací je udržována během změn.
9. Zlepšení efektivity a efektivity: Řízení bezpečnosti informací podle ISO 27001 zlepšuje efektivitu a efektivitu organizace.
10. Zvýšení povědomí o bezpečnosti informací: ISO 27001 zvyšuje povědomí o informační bezpečnosti

Certifikace ISO/IEC 27001 a kroky k získání certifikátu ISO 27001

1. Rozhodnutí o certifikaci: Organizacese rozhodne pro certifikaci dydtému dle ISO/IEC 27001 a stanoví své cíle a požadavky na certifikaci.
2. Analýza stavu: Organizace provede analýzu svého současného stavu řízení bezpečnosti informací a určí, co je třeba zlepšit.
3. Implementace požadavků: Organizace implementuje požadavky ISO 27001, včetně vytvoření politik a standardů, zavedení procesů a pracovních postupů a vybudování infrastruktury pro řízení bezpečnosti informací.
4. Interní audit: Organizace provede interní audit, aby ověřila, že implementace požadavků je správná a efektivní.
5. Certifikační audit: Nezávislý certifikační orgán provede certifikační audit, kde ověří, zda organizace splňuje požadavky ISO/IEC 27001.
6. Závěrečné rozhodnutí: Certifikační orgán vydá závěrečné rozhodnutí o certifikaci a přidělí certifikát, pokud je organizace schopna splnit požadavky standardu.
7. Pravidelná údržba: Po obdržení certifikátu je nutné provádět pravidelnou údržbu systému informační bezpečnosti, aby se udržel správný stav řízení bezpečnosti informací a zajistilo, že požadavky ISO 27001 jsou stále splněny.

Tento postup certifikace vyžaduje pečlivý plán a koordinaci mezi všemi zainteresovanými stranami, aby byl úspěšně dokončen.

Platnost certifikátu ISO/IEC 27001

Certifikát je platný 3 roky a podléhá každoročním kontrolním auditům, podobně jako audit 2. stupně, ale s menším vzorkem. Certifikační cyklus proto zahrnuje 1. a 2. stupeň auditu, první dozorový audit a druhý dozorový audit.

Na konci tří let, těsně před uplynutím platnosti certifikátu ISO 27001, se provádí nový audit, nazývaný recertifikační audit, přesně stejný jako audit 2. stupně se stejnou zátěží, avšak nyní v této fázi vedení společnosti systém je vyspělejší, protože již prošel 3 lety auditů. Po recertifikačním auditu je cyklus obnoven vydáním nového certifikátu, který opět prochází dozorovými audity.

V případě jakýchkoli otázek týkajících se certifikace dle normy ISO/IEC 27001 nás prosím kontaktujte mailem na eucert@eucert.cz nebo se s námi spojte přímo telefonicky nebo přes úvodní formulář se žádostí o expresní nabídku na certifikaci systému dle vybrané ISO normy.