ISO/IEC 27001:2022 + Amd 1:2024
ISO 27001. No prasībām līdz praksei.
Sakārtojiet ISO 27001 prasības, riskus un pierādījumus soli pa solim. Sāciet ar praktiskiem ceļvežiem un gatavības darblapu vai vienojieties par ārēju gatavības novērtējumu un ieviešanas plānu.
Ceļveži un darblapa bez reģistrācijas · darblapas atbildes paliek jūsu pārlūkā
Viena sistēma informācijas drošības pārvaldībai.
Informācijas drošības pārvaldības sistēma jeb IDPS (angliski ISMS) sasaista uzņēmuma mērķus, riskus, atbildīgos un drošības pasākumus. Tā aptver cilvēkus, procesus, tehnoloģijas un fizisko vidi.
ISO/IEC 27001:2022 nosaka prasības šādas sistēmas izveidei, uzturēšanai un pilnveidei. Organizācija izlemj, kas tai jāaizsargā, kādi riski jāmazina un kā pārbaudīt izvēlēto pasākumu darbību.
Sertifikācija ir atsevišķs solis: neatkarīga sertifikācijas institūcija izvērtē sistēmu noteiktajā tvērumā. Standartu var ieviest arī bez sertifikācijas.
Par ISO 27001- Konfidencialitāte
- Informācijai piekļūst tie, kam tā ir nepieciešama un atļauta.
- Integritāte
- Informācija saglabā pareizību un ir aizsargāta pret neatļautām izmaiņām.
- Pieejamība
- Informācija un pakalpojumi ir pieejami, kad tie vajadzīgi.
Spēkā esošā starptautiskā redakcija ir ISO/IEC 27001:2022 ar 2024. gada grozījumu par klimata pārmaiņu nozīmīguma izvērtēšanu organizācijas kontekstā. ISO: par ISO/IEC 27001
Seši soļi. Katrā – konkrēts rezultāts.
Šī ir praktiska darba secība, ko pielāgot savai organizācijai. Ilgumu nosaka tvērums, esošā prakse un pieejamie cilvēki.
Pilns ieviešanas plāns-
Vienoties par tvērumu
Nosakiet pakalpojumus, informāciju, komandas, vietas un piegādātājus, ko sistēma aptvers. Vienojieties par vadības atbalstu un atbildīgo.
Darba rezultātsApstiprināts tvērums un pienākumu sadalījums
Kā noteikt tvērumu -
Izvērtēt riskus
Aprakstiet reālus zaudējumu scenārijus, vienojieties par vērtēšanas kritērijiem un nosakiet, kuriem riskiem vajadzīga rīcība.
Darba rezultātsRisku reģistrs ar īpašniekiem un lēmumiem
Risku novērtēšana -
Izvēlēties pasākumus
Sasaistiet riskus un prasības ar vajadzīgajām kontrolēm. Pamatojiet piemērojamību un saplānojiet trūkumu novēršanu.
Darba rezultātsPiemērojamības paziņojums un risku apstrādes plāns
Piemērojamības paziņojums -
Ieviest un uzkrāt pierādījumus
Ieviesiet piekļuves pārskatīšanu, incidentu kārtību, apmācības un citus vajadzīgos procesus. Saglabājiet to izpildes ierakstus.
Darba rezultātsDarbībā pārbaudītas kontroles un izsekojami ieraksti
Pierādījumu uzkrāšana -
Pārbaudīt un uzlabot
Veiciet iekšējo auditu un vadības pārskati. Izvērtējiet neatbilstību cēloņus un pārbaudiet korektīvo darbību rezultātu.
Darba rezultātsAudita secinājumi un vadības lēmumi
Iekšējais audits un pārskate -
Sagatavoties sertifikācijai
Ja sertifikācija vajadzīga, izvēlieties kompetentu institūciju, vienojieties par audita tvērumu un turpiniet sistēmu uzturēt pēc audita.
Darba rezultātsSertifikācijas audita plāns un uzturēšanas kalendārs
Sertifikācijas process
Ar ko sākt tieši jums?
Atzīmējiet, par kurām jomām jau ir pierādījumi. Saņemiet sarakstu nākamajai darba sarunai un lejupielādējiet to savā ierīcē.
Vai ir apstiprināts IDPS tvērums un zināms, kurš par to atbild? Pakalpojumi, sistēmas, komandas, vietas un ārējās atkarības.
Pierādījuma piemērs: Tvēruma apraksts un pienākumu sadalījums
Vai informācijas drošības riski ir izvērtēti pēc vienotiem kritērijiem? Scenāriji, ietekme, iespējamība, īpašnieki un pieņemšanas kritēriji.
Pierādījuma piemērs: Aktuāls risku reģistrs un vērtēšanas metode
Vai izvēlēto kontroļu nepieciešamība un ieviešana ir pamatota? Iekļaujiet nepieciešamās kontroles un pamatojiet A pielikuma izņēmumus.
Pierādījuma piemērs: Piemērojamības paziņojums un risku apstrādes plāns
Vai ir ieraksti, kas parāda, kā drošības pasākumi darbojas ikdienā? Piemēram, piekļuves pārskates, atjaunošanas pārbaudes un incidentu uzskaite.
Pierādījuma piemērs: Datēti izpildes ieraksti un pārbaudes rezultāti
Vai ir noteikti drošības pienākumi un saglabāti pierādījumi par darbinieku apmācību un kompetenci?
Pierādījuma piemērs: Pienākumu apraksti, kompetences novērtējums un apmācību ieraksti
Vai ir izvērtēti būtiskie piegādātāji un saskaņoti to drošības pienākumi?
Pierādījuma piemērs: Piegādātāju novērtējumi, līgumi un pārskatīšanas ieraksti
Vai ir veikts objektīvs iekšējais audits un sekots konstatēto neatbilstību novēršanai?
Pierādījuma piemērs: Audita programma, ziņojums un korektīvo darbību uzskaite
Vai vadība ir izvērtējusi sistēmas darbību un pieņēmusi dokumentētus lēmumus par uzlabojumiem?
Pierādījuma piemērs: Vadības pārskates ieraksts ar lēmumiem, atbildīgajiem un termiņiem
Pārrunājiet darblapas rezultātu ar OffSeq
Ja darblapā palika neatzīmētas jomas, OffSeq var novērtēt gatavību un sastādīt trūkumu novēršanas plānu. Darblapas atbildes pieprasījumam netiek pievienotas; lejupielādēto plānu varat nosūtīt atbildes vēstulē.
Paldies, pieprasījums saņemts.
Atbildēsim uz norādīto e-pasta adresi.
Pieprasījumu neizdevās nosūtīt. Mēģiniet vēlreiz vai rakstiet uz support@offseq.com.
Katram svarīgajam jautājumam – savs ceļvedis.
No standarta pamatiem līdz piemērojamības paziņojumam. Ar darba piemēriem, avotiem un skaidrām atbildības robežām.
-
Standarta pamati
Ko nozīmē informācijas drošības pārvaldības sistēma, kur sākas tās tvērums un ko patiesībā apliecina sertifikāts.
-
Ieviešanas plāns
Kā sadalīt ieviešanu secīgos darbos un saprast, vai katrs posms ir pabeigts. Ar pierādījumu piemēriem un plānošanas jautājumiem.
-
Risku novērtēšana
No vispārīga “kiberuzbrukuma riska” līdz konkrētam scenārijam, riska īpašniekam un pamatotam lēmumam par rīcību.
-
Piemērojamības paziņojums
Kā sasaistīt riskus ar kontrolēm, pamatot izņēmumus un parādīt ieviešanas stāvokli. Ar skaidru tabulas struktūru un piemēriem.
-
Sertifikācija
Ko pārbauda pirmajā un otrajā audita posmā, kā salīdzināt piedāvājumus un ko noskaidrot pirms līguma slēgšanas.
-
ISO 27001 un NIS2
Kā izmantot vienu drošības pārvaldības sistēmu un tās pierādījumus, vienlaikus atsevišķi pārbaudot Latvijas normatīvos pienākumus.
Būtiskais pirms sākuma.
Kas ir ISO 27001?
ISO/IEC 27001 ir starptautisks standarts informācijas drošības pārvaldības sistēmai. Tas palīdz noteikt riskus, izvēlēties drošības pasākumus un regulāri pārbaudīt to darbību. Aktuālā starptautiskā redakcija ir ISO/IEC 27001:2022 ar Amd 1:2024.
Vai ISO 27001 sertifikācija ir obligāta?
Standartu var ieviest bez sertifikācijas. Sertifikāts var būt vajadzīgs saskaņā ar līgumu, iepirkuma nosacījumiem vai konkrētām piemērojamām prasībām. NIS2 pati par sevi neuzliek visām tās tvēruma organizācijām pienākumu iegūt ISO/IEC 27001 sertifikātu; sk. ISO 27001 un NIS2 Latvijā.
Kad ir vērts piesaistīt ārēju atbalstu?
Tad, ja trūkst laika, pieredzes ar auditiem vai objektīva skatījuma uz esošo praksi. Līgumā precīzi nosauciet sagaidāmo rezultātu – trūkumu izvērtējumu, politiku un pierādījumu sagatavošanu vai izmēģinājuma auditu – un ņemiet vērā, ka atbildība par sistēmu paliek organizācijai. Sertifikācijas lēmumu pieņem tikai neatkarīga sertifikācijas institūcija. Šīs vietnes uzturētājs piedāvā OffSeq gatavības un ieviešanas atbalstu.
Cik maksā ISO 27001 ieviešana un sertifikācija?
Universālas cenas nav. Plānojiet izmaksas pa daļām: komandas iekšējais darbs, ko prasa tvēruma, risku un pierādījumu sakārtošana; tehniskie un procesu uzlabojumi, kurus atklāj trūkumu analīze; ārējs atbalsts, ja tāds vajadzīgs; sertifikācijas institūcijas sākotnējais audits divos posmos; un tam sekojošie uzraudzības un atkārtotās sertifikācijas auditi. Salīdzināmam piedāvājumam vispirms vajadzīgs vienots tvēruma apraksts – ko tajā iekļaut, skaidro sertifikācijas ceļvedis.
Cik ilgi jāgatavojas sertifikācijai?
Universāla termiņa nav. Jāievieš sistēma, jāiegūst pierādījumi par tās darbību, jāveic iekšējais audits un vadības pārskate. Grafiku saskaņojiet ar darbu atbildīgajiem un izvēlēto sertifikācijas institūciju.
Vai jāievieš visas A pielikuma kontroles?
Jāizvēlas visas organizācijai nepieciešamās kontroles, ņemot vērā riskus un prasības, un jāsalīdzina tās ar A pielikumu. Piemērojamības paziņojumā pamatojiet iekļaušanu, ieviešanas statusu un A pielikuma kontroļu izslēgšanu. Nepieciešamas var būt arī papildu kontroles ārpus pielikuma.
Vai šī vietne izsniedz ISO 27001 sertifikātus?
Nē. ISO27001.lv ir OffSeq (SEQ SIA) uzturēts izglītojošs resurss; uzturētājs piedāvā arī gatavības novērtējumu un ieviešanas atbalstu. Organizācijas sertifikācijas lēmumu pieņem neatkarīga sertifikācijas institūcija. Vietne nav saistīta ar ISO vai IEC.
Vai sertifikāts apliecina atbilstību NIS2 vai VDAR?
Sertifikāts attiecas uz pārvaldības sistēmu norādītajā tvērumā. Tas var palīdzēt pamatot drošības pasākumus, taču pats par sevi neapliecina visu NIS2, Latvijas normatīvo aktu vai VDAR pienākumu izpildi. Kā sadalīt šo darbu, skaidro ISO 27001 un NIS2 ceļvedis.
Kur nopirkt standartu latviešu valodā?
Standartu meklējiet Latvijas standarta (LVS) katalogā. Latviešu valodā tajā tiek piedāvāts LVS EN ISO/IEC 27001:2024, kas pārņem ISO/IEC 27001:2022; nacionālā izdevuma gads neatspoguļo jaunu starptautiskā standarta redakciju. 2024. gada klimata grozījums ir atsevišķs dokuments LVS EN ISO/IEC 27001:2023/A1:2025, kas katalogā norādīts angļu valodā. Pirms iegādes pārbaudiet katalogā valodu un aktuālo statusu.
Aprakstiet savu ISO 27001 projektu
Norādiet tvērumu, termiņu un to, vai sertifikācijas institūcija jau izvēlēta. OffSeq atbildēs ar ieteikto nākamo soli un darba apjomu.
Paldies, pieprasījums saņemts.
Atbildēsim uz norādīto e-pasta adresi.
Pieprasījumu neizdevās nosūtīt. Mēģiniet vēlreiz vai rakstiet uz support@offseq.com.
Avoti un atsauces
- ISO/IEC 27001:2022 Standarta mērķis, redakcija un grozījums.
- Sertifikācija un akreditācija ISO pats neizsniedz sertifikātus; sertifikācijas institūcijas izvēle.
- ISO/IEC 27001 izdevumi Latvijā Nacionālie izdevumi, to valodas un 2025. gadā pārņemtais klimata grozījums.
- Nacionālās kiberdrošības likums Latvijā piemērojamie kiberdrošības pienākumi; aktuālā konsolidētā redakcija.
- NIS2 & ISO 27001 Readiness Vietnes uzturētāja pakalpojums: gatavības novērtējums, trūkumu novēršanas plāns, politikas, pierādījumi un audita atbalsts. Komerciāls avots.