ISO 27001: cała praca, po kolei

• zdecyduj i udokumentujwybory, polityki i zapisy, które podpisuje osoba z uprawnieniami
• zbuduj i skonfigurujsystemy, ustawienia i procedury, które urealniają wybór
• udowodnij i utrzymujsprawdzenia, logi i zapisy, które pokazują, że to działa

Ustal, kto potrzebuje certyfikatu, co zaakceptowałby w zamian i jaką część firmy ma objąć.

1. 1.1

   zapytaj, kto wymaga certyfikatu

   Zapytaj klientów i przetargi, które o to poprosiły, czy wymagają certyfikatu, czy zaakceptują opis Twoich zabezpieczeń, odpowiedź w ankiecie albo raport z audytu. Zapisz każdą odpowiedź z datą. Żaden przepis UE opisany na tej stronie nie wymaga certyfikatu.

   • właściciel zarząd
   • zdecyduj i udokumentuj

   co powstaje

   krótka lista klientów, o co prosił każdy i co każdy by zaakceptował

   dowód, który zostaje

   lista ze źródłem każdej odpowiedzi

   strona pracy

   podstawa praktyka robocza. Żaden tekst prawny tego nie ustala.

2. 1.2

   określ zakres na piśmie

   Zdecyduj, które produkty, lokalizacje, zespoły i systemy obejmuje certyfikat, i zapisz, co jest poza nim. Certyfikat obejmuje tylko swój zakres, więc wybierz tę część, o którą klienci naprawdę pytają.

   • właściciel zarząd
   • zdecyduj i udokumentuj

   co powstaje

   opis zakresu, który wymienia, co jest w nim i co poza nim

   dowód, który zostaje

   opis zatwierdzony przez zarząd

   podstawa praktyka robocza. Żaden tekst prawny tego nie ustala.

3. 1.3

   wskaż, kto odpowiada za system

   Wskaż jednego odpowiedzialnego na poziomie zarządu i jednego lidera operacyjnego, i daj im czas oraz pozycję w budżecie. Jeśli obejmuje Cię NIS2, zarząd już odpowiada za środki bezpieczeństwa i może to być ta sama decyzja.

   • właściciel zarząd
   • zdecyduj i udokumentuj

   co powstaje

   decyzja wskazująca odpowiedzialnego i lidera operacyjnego

   dowód, który zostaje

   protokół z tej decyzji

   strona pracy

   podstawa praktyka robocza. Żaden tekst prawny tego nie ustala.

Porównaj to, co robisz dziś, z tym, czego wymaga norma, i zamień różnice w listę prac.

1. 2.1

   kup licencjonowaną kopię normy i przeczytaj ją

   Kup normę u wydawcy lub w krajowej jednostce normalizacyjnej i daj ją liderowi operacyjnemu oraz temu, kto będzie doradzał. Ten plan jej nie odczytał, więc każdy numer klauzuli lub zabezpieczenia bierz z własnej kopii.

   • właściciel szef IT
   • zbuduj i skonfiguruj

   co powstaje

   licencjonowana kopia w rękach osób, które wykonują pracę

   dowód, który zostaje

   dowód zakupu

   podstawa praktyka robocza. Żaden tekst prawny tego nie ustala.

2. 2.2

   porównaj swoją praktykę z normą

   Przejdź przez normę z osobami, które prowadzą systemy, i zaznacz, co już robisz, co robisz częściowo i czego brakuje. Trzymaj się zapisanego zakresu. Praca wykonana na potrzeby przepisów, takich jak NIS2, pokryje dużą część.

   • właściciel szef IT
   • udowodnij i utrzymuj

   co powstaje

   lista luk z ustaleniem, właścicielem i dowodem, który już masz

   dowód, który zostaje

   lista luk z datą, podpisana przez lidera operacyjnego

   podstawa praktyka robocza. Żaden tekst prawny tego nie ustala.

3. 2.3

   ułóż luki w jeden plan prac

   Ułóż luki w kolejności zależności, przypisz każdej właściciela i datę oraz zdecyduj, co na razie akceptujesz. Plan zatwierdza zarząd, żeby praca miała za sobą autorytet.

   • właściciel zarząd
   • zdecyduj i udokumentuj

   co powstaje

   uporządkowany plan prac z właścicielami i datami

   dowód, który zostaje

   plan zatwierdzony przez zarząd

   podstawa praktyka robocza. Żaden tekst prawny tego nie ustala.

Napisz zasady, przeprowadź pracę nad ryzykiem i wprowadź zabezpieczenia dla wszystkiego, co jest w zakresie.

1. 3.1

   napisz politykę bezpieczeństwa i role

   Napisz krótką politykę bezpieczeństwa, którą podpisze zarząd, i wypisz, kto decyduje i za co odpowiada. NIS2 wymaga polityk analizy ryzyka i bezpieczeństwa systemów informacyjnych, a ten sam dokument może służyć obu celom.

   • właściciel zarząd
   • zbuduj i skonfiguruj

   co powstaje

   podpisana polityka bezpieczeństwa i tabela ról

   dowód, który zostaje

   polityka z wersją i zatwierdzeniem oraz tabela

   strona pracy

   podstawa praktyka robocza. Żaden tekst prawny tego nie ustala.

2. 3.2

   prowadź rejestr zasobów i ich właścicieli

   Wypisz systemy, dane i dostawców objętych zakresem, z właścicielem każdej pozycji. Zasobów, których nie umiesz wypisać, nie obronisz i nie pokażesz audytorowi.

   • właściciel szef IT
   • zbuduj i skonfiguruj

   co powstaje

   rejestr zasobów z właścicielem każdej pozycji

   dowód, który zostaje

   rejestr z datą ostatniego przeglądu

   zabezpieczenie: asset-inventory

   podstawa praktyka robocza. Żaden tekst prawny tego nie ustala.

3. 3.3

   przeprowadź ocenę ryzyka i zdecyduj, co leczyć

   Oceń ryzyka dla tego, co jest w zakresie, zdecyduj, które ograniczysz, zaakceptujesz lub przekażesz komuś innemu, i zapisz, kto co zaakceptował. Raz ustal metodę i stosuj ją za każdym razem tak samo.

   • właściciel szef IT
   • zbuduj i skonfiguruj

   co powstaje

   rejestr ryzyka z decyzją o postępowaniu dla każdego ryzyka

   dowód, który zostaje

   rejestr i zatwierdzenie zaakceptowanych ryzyk

   strona pracyzabezpieczenie: risk-register

   podstawa praktyka robocza. Żaden tekst prawny tego nie ustala.

4. 3.4

   wprowadź zabezpieczenia i zapisz je

   Zbuduj lub popraw zabezpieczenia, których wymagają lista luk i rejestr ryzyka, i zapisz dla każdego, co robi i kto je prowadzi. Kilka z nich, jak kontrola dostępu, kopie zapasowe i obsługa incydentów, służy też przepisom takim jak NIS2.

   • właściciel szef IT
   • zbuduj i skonfiguruj

   co powstaje

   zabezpieczenia działające w zakresie, z jednostronicowym opisem każdego

   dowód, który zostaje

   opisy oraz ustawienia lub zapisy, które pokazują każde z nich w działaniu

   strona pracyzabezpieczenie: privileged-access

   podstawa praktyka robocza. Żaden tekst prawny tego nie ustala.

5. 3.5

   obejmij zakresem dostawców i ludzi

   Podziel dostawców, którzy dotykają zakresu, według tego, do czego mają dostęp, zapytaj krytycznych o ich bezpieczeństwo i wpisz warunki do umowy. Przeszkol osoby objęte zakresem w polityce i zachowaj zapis.

   • właściciel zakupy
   • zbuduj i skonfiguruj

   co powstaje

   rejestr dostawców z warunkami umów i zapis szkolenia

   dowód, który zostaje

   rejestr, otrzymane odpowiedzi i lista obecności

   strona pracyzabezpieczenie: supplier-management

   podstawa praktyka robocza. Żaden tekst prawny tego nie ustala.

Sprawdź, że system działa tak, jak go opisano, i przedstaw wyniki zarządowi.

1. 4.1

   przeprowadź audyt systemu od środka

   Niech ktoś, kto tego systemu nie budował, sprawdzi względem Twoich zasad i normy, że każda część zakresu działa tak, jak opisano. Zaplanuj audyt, prowadź notatki i napisz raport z ustaleniami.

   • właściciel wszyscy
   • udowodnij i utrzymuj

   co powstaje

   plan i raport z audytu wewnętrznego z ustaleniami

   dowód, który zostaje

   raport z datą i nazwiskiem audytora

   podstawa praktyka robocza. Żaden tekst prawny tego nie ustala.

2. 4.2

   napraw ustalenia i zapisz naprawę

   Dla każdego ustalenia zdecyduj o poprawce, właścicielu i terminie, i zapisz, kiedy ją wykonano. Usuń przyczynę, nie tylko objaw, żeby problem nie wrócił za rok.

   • właściciel szef IT
   • zbuduj i skonfiguruj

   co powstaje

   lista działań korygujących z właścicielami i terminami

   dowód, który zostaje

   lista, w której każda pozycja jest zamknięta lub ma datę

   podstawa praktyka robocza. Żaden tekst prawny tego nie ustala.

3. 4.3

   przeprowadź przegląd zarządzania

   Przedstaw zarządowi wynik audytu, obraz ryzyka, incydenty i otwarte luki, i zapisz jego decyzje. Norma wymaga takiego przeglądu, więc dane wejściowe sprawdź w swojej kopii.

   • właściciel zarząd
   • udowodnij i utrzymuj

   co powstaje

   zapis przeglądu zarządzania z decyzjami i działaniami

   dowód, który zostaje

   zapis i protokół

   strona pracy

   podstawa praktyka robocza. Żaden tekst prawny tego nie ustala.

Wybierz jednostkę certyfikującą, przejdź jej audyt i zajmij się tym, co znajdzie.

1. 5.1

   wybierz jednostkę certyfikującą i sprawdź jej akredytację

   Zapytaj każdego kandydata, jaką akredytację ma dla tej normy i od jakiej jednostki akredytującej, a odpowiedź sprawdź u tej jednostki. Zapytaj, co obejmuje audyt i jak przebiega, i zdobądź odpowiedzi na piśmie.

   • właściciel zakupy
   • zdecyduj i udokumentuj

   co powstaje

   wybrana jednostka certyfikująca i zakres jej akredytacji

   dowód, który zostaje

   odpowiedzi na piśmie i sprawdzenie akredytacji

   podstawa praktyka robocza. Żaden tekst prawny tego nie ustala.

2. 5.2

   sprawdź akredytację w pca

   Polskie Centrum Akredytacji (PCA) ocenia jednostki certyfikujące systemy zarządzania bezpieczeństwem informacji względem ISO/IEC 27001:2022. Listy akredytowanych jednostek i zakresów nie otwarto na potrzeby tego planu, więc sprawdź wybraną jednostkę bezpośrednio w PCA.

   • właściciel zakupy
   • udowodnij i utrzymuj

   co powstaje

   potwierdzenie akredytacji wybranej jednostki z PCA

   dowód, który zostaje

   zapis sprawdzenia z datą

   podstawa praktyka robocza. Żaden tekst prawny tego nie ustala.

3. 5.3

   przygotuj dowody i ludzi

   Zbierz politykę, rejestry, raport z audytu, zapis przeglądu i dowody działania zabezpieczeń w jednym miejscu, ułożone według pytań normy, i przygotuj osoby, z którymi audytor porozmawia. Pomoże mapa dowodów.

   • właściciel wszyscy
   • udowodnij i utrzymuj

   co powstaje

   folder dowodów i lista osób do rozmów

   dowód, który zostaje

   folder, w którym każda pozycja ma datę

   strona pracy

   podstawa praktyka robocza. Żaden tekst prawny tego nie ustala.

4. 5.4

   przejdź audyt i odpowiedz na ustalenia

   Daj audytorowi dostęp, odpowiadaj na pytania i notuj każde ustalenie. Dla każdego uzgodnij poprawkę z jednostką certyfikującą i wykonaj ją w terminie, który ona wyznaczy.

   • właściciel wszyscy
   • udowodnij i utrzymuj

   co powstaje

   raport z audytu, odpowiedzi na ustalenia i poprawki

   dowód, który zostaje

   raport, odpowiedzi i zapisy zamknięcia

   podstawa praktyka robocza. Żaden tekst prawny tego nie ustala.

5. 5.5

   przeczytaj certyfikat i powiedz, co obejmuje

   Sprawdź zakres, daty i wystawcę wpisane na certyfikacie i używaj ich tak, jak je zapisano, gdy odpowiadasz klientowi. Powiedz wprost, co certyfikat obejmuje i czego nie, i nie przedstawiaj go jako zgodności z przepisem.

   • właściciel prawnik lub IOD
   • zdecyduj i udokumentuj

   co powstaje

   krótkie oświadczenie, co obejmuje certyfikat, dla sprzedaży i działu prawnego

   dowód, który zostaje

   certyfikat i oświadczenie

   podstawa praktyka robocza. Żaden tekst prawny tego nie ustala.

Prowadź system przez rok, powtarzaj audyt i przegląd oraz przechodź kontrole, które jednostka certyfikująca prowadzi po wydaniu certyfikatu.

1. 6.1

   zapytaj, co następuje po certyfikacie

   Zapytaj jednostkę certyfikującą, co sprawdza po wydaniu certyfikatu, jak często i co się dzieje, gdy ustalenia pozostają otwarte. Wpisz te terminy do tego samego kalendarza co własny audyt i przegląd.

   • właściciel zakupy
   • zdecyduj i udokumentuj

   co powstaje

   kalendarz kontroli jednostki i własnych terminów wewnętrznych

   dowód, który zostaje

   odpowiedź na piśmie i kalendarz

   podstawa praktyka robocza. Żaden tekst prawny tego nie ustala.

2. 6.2

   powtórz audyt wewnętrzny i przegląd

   Przeprowadź audyt wewnętrzny i przegląd zarządzania ponownie, w stałym rytmie, ze świeżymi dowodami. Powtórz ocenę ryzyka, gdy zmieni się zakres, systemy lub zagrożenia.

   • właściciel wszyscy
   • udowodnij i utrzymuj

   co powstaje

   roczny audyt wewnętrzny i przegląd zarządzania

   dowód, który zostaje

   raporty i protokoły z datą

   podstawa praktyka robocza. Żaden tekst prawny tego nie ustala.

3. 6.3

   zmieniaj zakres świadomie

   Gdy firma dodaje produkt, lokalizację lub dostawcę, zdecyduj, czy wchodzi do zakresu, i powiadom jednostkę certyfikującą. Jeśli klient poprosi później o więcej, poszerz zakres decyzją i z planem.

   • właściciel zarząd
   • zdecyduj i udokumentuj

   co powstaje

   decyzja o zmianie zakresu z uzasadnieniem

   dowód, który zostaje

   decyzja i zawiadomienie jednostki

   podstawa praktyka robocza. Żaden tekst prawny tego nie ustala.

Te same kroki, pogrupowane według osoby, która musi działać.

Każde zabezpieczenie ma własną stronę: czym jest, na co patrzeć przy wyborze, gdzie się psuje i jaki dowód zostawia.

• Dyrektywa (UE) 2022/2555 (NIS2) (EUR-Lex)
• Rozporządzenie wykonawcze Komisji (UE) 2024/2690 (EUR-Lex)