ISO/IEC 27001

ISO/IEC 27001 to międzynarodowa norma określająca wymagania dla systemu zarządzania bezpieczeństwem informacji (SZBI). ISO opisuje ją jako najbardziej znaną normę dla takich systemów, która definiuje wymagania, jakie SZBI musi spełnić ^[1]. Obowiązuje wydanie trzecie, ISO/IEC 27001:2022, opublikowane w październiku 2022 roku, z poprawką Amd 1:2024 dotyczącą działań klimatycznych ^[1]. Normę wydają wspólnie ISO i IEC, dlatego oficjalny skrót zawiera obie nazwy, choć potocznie mówi się „ISO 27001” ^[1].

Jak działa

Norma nie jest listą zabezpieczeń do odhaczenia. Opisuje system zarządzania, czyli sposób, w jaki organizacja ustanawia, wdraża, utrzymuje i stale doskonali ochronę informacji ^[1]. Według ISO system zgodny z normą zachowuje poufność, integralność i dostępność informacji przez stosowanie procesu zarządzania ryzykiem ^[1]. Punktem wyjścia jest więc szacowanie ryzyka, a nie wybór narzędzi.

Omówienie sekuraka podkreśla, że wymagania nie są statyczne: organizacja wykonuje analizę ryzyka, ustanawia mechanizmy zabezpieczające i cyklicznie je przegląda ^[6]. Ten cykl pokazuje schemat poniżej.

RYS. 1Cykl SZBI według ISO/IEC 27001

Ważnym dokumentem SZBI jest deklaracja stosowania (Statement of Applicability). Organizacja wskazuje w niej, które zabezpieczenia z załącznika A wdraża, i uzasadnia, dlaczego inne uznała za zbędne ^[6]. Według IAF wymóg porównania własnych zabezpieczeń z załącznikiem A służy temu, by żadne potrzebne zabezpieczenie nie zostało pominięte przez przeoczenie ^[3].

ISO/IEC 27001 i ISO/IEC 27002

Rodzina ISO/IEC 27000 liczy kilkadziesiąt dokumentów, od zarządzania bezpieczeństwem po ochronę danych w chmurze i w ochronie zdrowia ^[6]. Dwie normy są w niej kluczowe i często mylone.

Wydanie 2022 nie było całkowitą przebudową normy. IAF wskazuje, że główna zmiana to nowy załącznik A, odsyłający do zabezpieczeń z ISO/IEC 27002:2022 ^[3]. W 27002 liczba zabezpieczeń spadła ze 114 w 14 rozdziałach do 93 w 4 rozdziałach. Z nich 11 jest nowych, 24 powstały z połączenia dotychczasowych, a 58 zaktualizowano ^[3]. Sekurak przypomina, że ISO/IEC 27002 jest następczynią normy ISO/IEC 17799 ^[6].

Certyfikacja

Wdrożenie normy jest dobrowolne. ISO zaznacza, że część organizacji stosuje ją dla samych dobrych praktyk, a część dodatkowo się certyfikuje, by uspokoić klientów ^[1]. Certyfikatu nie wydaje ISO. Organizacja ta nie prowadzi certyfikacji, nie wystawia certyfikatów, a certyfikację prowadzą zewnętrzne jednostki certyfikujące ^[4]. Dodatkowe zaufanie daje certyfikat jednostki akredytowanej, bo jednostka akredytująca niezależnie potwierdziła jej kompetencje ^[1]. ISO zaleca podawanie pełnego oznaczenia, na przykład „certyfikowany na zgodność z ISO/IEC 27001:2022” ^[1].

Według ISO Survey 2022 zgłoszono ponad 70 000 certyfikatów ze 150 krajów ^[1]. Branżą z największą liczbą certyfikowanych firm jest IT, która w 2021 roku miała prawie jedną piątą ważnych certyfikatów ^[1].

Przejście na nowe wydanie regulował dokument IAF MD 26:2022. Przewidywał on okres przejściowy 36 miesięcy ^[3]. Jednostki certyfikujące miały zakończyć przejście certyfikowanych klientów w ciągu 36 miesięcy od ostatniego dnia miesiąca publikacji normy ^[3], co przy publikacji w październiku 2022 roku oznaczało koniec października 2025 roku.

W Polsce

Norma ma znaczenie w prawie. Rozporządzenie w sprawie Krajowych Ram Interoperacyjności z 21 maja 2024 roku nakazuje podmiotom realizującym zadania publiczne prowadzić SZBI ^[5]. Paragraf 19 ust. 3 uznaje wymagania za spełnione, jeżeli SZBI opracowano na podstawie Polskiej Normy PN-ISO/IEC 27001, a zabezpieczenia i zarządzanie ryzykiem oparto na normach z nią związanych ^[5]. Rozporządzenie wymienia wśród nich PN-ISO/IEC 27002 dla zabezpieczeń i PN-ISO/IEC 27005 dla zarządzania ryzykiem ^[5]. Norma bywa też punktem odniesienia przy wdrażaniu NIS2 i ustawy o krajowym systemie cyberbezpieczeństwa.

W WordPressie

Strona na WordPressie nie może być „certyfikowana na ISO 27001” sama w sobie. Certyfikat obejmuje system zarządzania organizacji w określonym zakresie, a witryna jest w nim jednym z aktywów. W praktyce wdrożenie SZBI przekłada się na witrynę przez kilka konkretnych wymagań.

• Inwentaryzacja. KRI wymaga aktualnego spisu sprzętu i oprogramowania z ich rodzajem i konfiguracją ^[5]. Dla strony oznacza to listę wtyczek i motywów wraz z wersjami.
• Aktualizacje. Rozporządzenie wymienia wprost dbałość o aktualizację oprogramowania i redukcję ryzyk z opublikowanych podatności technicznych ^[5]. Odpowiada temu zarządzanie poprawkami (patch management) i śledzenie, czy podatność we wtyczce dotyczy danej witryny.
• Dostęp. Zasada, że osoby mają uprawnienia adekwatne do zadań ^[5], to w WordPressie przemyślane role i uprawnienia użytkowników.
• Dostawcy. Agencja, hosting i autorzy płatnych wtyczek wchodzą w zarządzanie ryzykiem dostawców (TPRM).
• Ciągłość. Kopie zapasowe (backup) i plan ciągłości działania odpowiadają na wymóg dostępności informacji.
• Audyt. KRI wymaga audytu wewnętrznego bezpieczeństwa informacji nie rzadziej niż raz w roku ^[5]; dla witryn może go uzupełnić audyt bezpieczeństwa strony.

Ograniczenia

Sekurak zwraca uwagę, że sam certyfikat nie gwarantuje rzeczywistego bezpieczeństwa ^[6]. Norma sprawdza, czy organizacja ma działający proces zarządzania ryzykiem, a nie to, czy każda witryna jest wolna od błędów. Zakres certyfikatu bywa też węższy niż cała firma, dlatego przy ocenie dostawcy warto zapytać, czy obejmuje on usługę, z której się korzysta.