Kas ir ISO 27001 un ko tas dod organizācijai?

Ko pārvalda ISO 27001 sistēma

Informācijas drošības pārvaldības sistēma jeb IDPS (angliski ISMS) sasaista riskus, atbildības, drošības pasākumus un lēmumus par uzlabojumiem. ISO/IEC 27001 nosaka prasības šīs sistēmas izveidei un uzturēšanai. Aizsargājamā informācija var atrasties lietotnēs, mākoņpakalpojumos, papīra dokumentos vai cilvēku rīcībā.

Piemēram, algu aprēķina pakalpojumā svarīga ir darbinieku datu konfidencialitāte, aprēķina pareizība un iespēja sagatavot maksājumus laikā. Šie mērķi dod jēgu konkrētiem pasākumiem: ierobežotai piekļuvei, izmaiņu pārbaudei, rezerves kopijām un skaidrai incidentu kārtībai. Tas ir šī ceļveža piemērs, kas jāpielāgo savai videi.

Sāciet ar uzņēmuma vajadzību

Pirms dokumentu sagatavošanas pierakstiet, kādu problēmu vēlaties atrisināt. Iespējams, klienti pieprasa pārbaudāmu drošības pārvaldību, komanda strauji aug vai atbildība starp nodaļām ir neskaidra. Mērķis nosaka, kurš iesaistās darbā un pēc kā vērtēsiet rezultātu.

• Ja klientam vajadzīgs sertifikāts, noskaidrojiet prasīto tvērumu, standarta redakciju un sertifikācijas institūcijas akreditācijas nosacījumus.
• Ja galvenā problēma ir neskaidras piekļuves, sāciet ar informācijas un kontu īpašniekiem, tiesību pārskatīšanu un atsaukšanas kārtību.
• Ja vajadzīgs regulējuma izpildes pamatojums, vispirms nosakiet konkrētos pienākumus. Sertifikāts pats par sevi nenosaka juridisko atbilstību.

Ja vajadzīgs atbalsts sākuma izvērtējumam, OffSeq ISO 27001 gatavības pakalpojums palīdz noteikt trūkumus un saplānot turpmāko darbu.

Tvērums nosaka, uz ko attiecas sistēma

Tvērumā nosauciet pakalpojumus, procesus, vietas, komandas un būtiskās tehnoloģijas. Atsevišķi aprakstiet saistību ar ārējiem piegādātājiem un citām uzņēmuma daļām. Formulējums “IT nodaļa” bieži nedod pietiekamu priekšstatu par klientam sniegto pakalpojumu.

Praktisks tvēruma melnraksts varētu būt: “Uzņēmuma klientu portāla izstrāde, uzturēšana un atbalsts, ietverot izstrādes komandu, klientu atbalstu un izmantoto mākoņvidi.” Tālāk jāprecizē robežas un atkarības. Šāds teikums ir sarunas sākums, nevis gatavs sertifikācijas tvērums.

Kas ikdienā mainās

Pārvaldības sistēmas praktiskās izpausmes

Jautājums	Izmantojams rezultāts
Kas atbild par risku?	Nosaukts riska īpašnieks, kurš var pieņemt lēmumu vai pieprasīt resursus.
Kāpēc vajadzīga kontrole?	Saite ar risku, līguma nosacījumu vai citu piemērojamu prasību.
Vai kontrole darbojas?	Izpildes ieraksts, pārbaudes rezultāts vai cits pārbaudāms pierādījums.
Kas notiek pēc kļūdas?	Noskaidrots cēlonis, saskaņota rīcība un pārbaudīts tās rezultāts.
Ko lemj vadība?	Dokumentētas prioritātes, resursi un lēmumi par nepieciešamajām izmaiņām.

Mazā organizācijā vairākus pienākumus var pildīt viens cilvēks. Būtiski ir saprast, kurš pieņem lēmumus, kā darbu turpinās prombūtnē un kā nodrošinās objektīvu pārbaudi. Liela dokumentu mape pati par sevi neatbild uz šiem jautājumiem.

ISO 27001, ISO 27002 un sertifikācija

ISO/IEC 27002:2022 sniedz vadlīnijas informācijas drošības kontrolēm un palīdz izvēlēties to īstenošanas pieeju. ISO/IEC 27001 nosaka prasības pārvaldības sistēmai, pret kurām var veikt sertifikāciju.

ISO skaidro, ka organizācijas var ieviest pārvaldības standartu arī bez sertifikācijas un ka ISO pats sertifikātus neizsniedz. Sertifikāciju veic ārējas institūcijas. Izvērtējiet to kompetenci, akreditācijas tvērumu un klienta prasības.

Arī konsultanta personīgais auditoru apmācības vai kvalifikācijas sertifikāts nav organizācijas IDPS sertifikāts. Vienojoties par pakalpojumu, precīzi nosauciet sagaidāmo rezultātu: ieviešanas atbalsts, iekšējais audits, gatavības novērtējums vai sertifikācijas audits.

Kura redakcija ir aktuāla Latvijā

Starptautiskā redakcija ir ISO/IEC 27001:2022 ar Amd 1:2024. Grozījums papildina organizācijas konteksta izvērtēšanu ar klimata pārmaiņu nozīmīgumu un atgādinājumu par ieinteresēto pušu attiecīgajām prasībām. Piemēram, izvērtējiet, vai pakalpojuma pieejamībai būtiski ir datu centra fiziskie vai energoapgādes riski. Tas ir izvērtēšanas piemērs, nevis universāla papildu kontrole.

LVS katalogā latviešu valodas izdevums norādīts kā LVS EN ISO/IEC 27001:2024, kas pārņem ISO/IEC 27001:2022 – nacionālā izdevuma gads neatspoguļo jaunu starptautisko redakciju. Pats klimata grozījums katalogā ir atsevišķs dokuments LVS EN ISO/IEC 27001:2023/A1:2025 un norādīts angļu valodā. Pirms iegādes pārbaudiet valodu, aktuālo statusu un grozījumus.

Ko izdarīt pēc šī ceļveža

Sagatavojiet vienas lapas aprakstu ar ieviešanas mērķi, paredzēto tvērumu, atbildīgo un trim šobrīd svarīgākajiem jautājumiem. Tad izmantojiet ieviešanas plānu, lai vienotos par darbiem un pierādījumiem. Standarta pilno tekstu izmantojiet kā prasību avotu visā projektā.