ISO 27001 bevezetés
Felépítjük veled az ISO/IEC 27001:2022 szerinti információbiztonsági irányítási rendszert (ISMS): hatókör, kockázatértékelés, alkalmazhatósági nyilatkozat (SoA) a 93 kontrollra, szabályzatok és működő kontrollok, belső audit és vezetőségi átvizsgálás, majd felkészítünk a tanúsító Stage 1 és Stage 2 auditjára. KKV-knak, amelyektől ügyfél, tender vagy beszállítói lánc kéri a tanúsítványt (köznyelven az ISO-minősítést).
Annyi dokumentummal, amennyit a hatókör és a kockázat indokol, de úgy, hogy a Stage 2 auditon a működést is meg tudjátok mutatni.
- 93 kontroll a 2022-es Annex A-ban, négy témában
- 4–9 hónap jellemző KKV-átfutás a tanúsításig
- 3 év tanúsítvány-érvényesség, évenkénti felügyeleti audittal
A hatókörtől a tanúsítási auditig
- Hatókör
Melyik szervezeti egység, telephely, szolgáltatás és rendszer tartozik az ISMS-be. A jól meghúzott határ a projekt méretét is kordában tartja.
- Hiányelemzés
Hol tartotok a szabvány kötelező 4–10. fejezetéhez és az Annex A kontrolljaihoz képest; ebből lesz a projektterv.
- Kockázatértékelés és kezelési terv
Információs vagyon, fenyegetések, sebezhetőségek, hatás és valószínűség. Minden el nem fogadható kockázathoz kezelési döntés és kontroll tartozik.
- Alkalmazhatósági nyilatkozat (SoA)
Mind a 93 kontrollról dokumentált döntés: alkalmazzátok-e, miért, és hogyan valósul meg.
- Kontrollok bevezetése
Szabályzatok és eljárások, technikai és szervezeti intézkedések. Ez a leghosszabb fázis.
- Belső audit és vezetőségi átvizsgálás
Bizonyíték arra, hogy a rendszer működik, és a vezetés irányítja. Ezek nélkül nem lehet tanúsítási auditra menni.
- Tanúsítási audit
Stage 1: dokumentum-felülvizsgálat. Stage 2: a működés és a kontrollok hatékonyságának auditja. Az akkreditált tanúsítót ti választjátok; mi a felkészülésben és az eltérések zárásában segítünk.
A 93 kontroll négy témában
A 2022-es kiadás a korábbi 114 kontrollt 93-ra vonta össze, és 11 újat vezetett be, például a fenyegetés-intelligenciát, a felhőszolgáltatások biztonságát és az adatszivárgás-megelőzést. A 2013-as kiadás szerinti tanúsítványok 2025. október 31-én lejártak.
- 37szervezeti kontroll
Szabályzatok, szerepek, beszállítói kapcsolatok, incidenskezelés, üzletmenet-folytonosság.
- 8emberi kontroll
Háttérellenőrzés, tudatosság és képzés, titoktartás, távmunka.
- 14fizikai kontroll
Belépés, irodák és berendezések védelme, adathordozók, biztonságos selejtezés.
- 34technológiai kontroll
Hozzáférés, hitelesítés, naplózás, mentés, titkosítás, sebezhetőség-kezelés.
Nem mindet kell bevezetni
Az SoA-ban a kockázatok alapján döntötök kontrollonként. A nem alkalmazható kontrollok indokolt kizárása fókuszban tartja a projektet, és auditálható marad.
Mit jelent ez egy kisebb cégnél?
A szabványt a saját működésünkben is alkalmazzuk (ISO 27001-tanúsított belső folyamatok), és a banki környezetben megszokott fegyelmet visszük le a KKV-k méretére.
Szűk, jól meghúzott hatókör
Ha az ügyfél egy konkrét szolgáltatáshoz kéri a tanúsítványt, nem kell az egész céget egyszerre bevonni. A hatókör később bővíthető.
Meglévő eszközökre építve
A felhős irodai csomag beállításai, a mentési rend, a jelszó- és jogosultságkezelés sokszor már megvan. Ezeket dokumentáljuk és kiegészítjük, nem cseréljük le.
Működő bizonyíték
A Stage 2 azt nézi, működik-e a kontroll élesben: van-e hozzáférés-felülvizsgálat, tesztelt visszaállítás, naplózott esemény. Ezt a napi üzemeltetésbe építjük, nem az audit előtti hétre hagyjuk.
Egy ISMS, több megfelelési irány
Egy működő ISO 27001 rendszer a NIS2 és a DORA közös kontrolljainak nagy részét lefedi: kockázatkezelés, hozzáférés-szabályozás és MFA, titkosítás, incidenskezelés, beszállítói biztonság, naplózás, folytonosság. Ha a NIS2 vagy a DORA is érint, a kontrollokat a NIS2 területeire és a DORA pilléreire is leképezzük, a keret-specifikus elemeket pedig külön modulként tesszük rá.
- ISO 27001 bevezetés lépésről lépésreAz ISO 27001 bevezetés egy ISMS felépítése a 93 Annex A kontroll alapján; KKV-nál a tanúsításig jellemzően 4–9 hónap. Lépések, audit, és mitől függ az ára.Megnézem
- NIS2 + DORA + ISO 27001 — hogyan illeszkedik?NIS2, DORA vagy ISO 27001: melyik vonatkozik rád, és hol fedik egymást? Átfedés-térkép és egységes ISMS a párhuzamos megfeleléshez, háromszoros munka nélkül.Megnézem
- NIS2 felkészítés és auditNIS2 felkészítés a kiberbiztonsági törvény szerint: érintettség, hiányelemzés 14 területen, intézkedési terv, incidens-eljárás és felkészülés az auditra.Megnézem
- DORA megfelelőségDORA rendelet szerinti megfelelés pénzügyi szolgáltatóknak és IKT-beszállítóiknak: nyilvántartás, incidensjelentés, tesztelés, exit-terv. Kérj felmérést!Megnézem
Gyakori kérdések az ISO 27001 bevezetésről
Mennyi idő alatt lehet ISO 27001 tanúsítványt szerezni?
KKV-nál a bevezetéstől a tanúsításig jellemzően 4–9 hónap, a kiindulási érettségtől és a hatókörtől függően. A leghosszabb szakasz a kontrollok bevezetése, és a tanúsítási audit előtt a rendszernek már működnie kell.
Mennyibe kerül az ISO 27001 bevezetés?
A hatókör méretétől, a meglévő kontrolloktól és a pótolandó technikai intézkedésektől függ, ezért hiányelemzés után adunk ajánlatot. A tanúsítási audit díja külön tétel, azt a tanúsító szervezet számolja fel.
Mi az SoA (alkalmazhatósági nyilatkozat)?
Az a dokumentum, amely mind a 93 Annex A kontrollról rögzíti, alkalmazzátok-e, miért, és hogyan valósul meg. A tanúsító auditor ebből indul ki, ezért összhangban kell lennie a kockázatértékeléssel.
Meddig érvényes a tanúsítvány?
Három évig, de évente felügyeleti audit ellenőrzi, hogy a rendszer működik, a harmadik év végén pedig újratanúsítás jön. Az ISMS tehát folyamatos működés, nem egyszeri projekt.
Van egy 2013-as kiadás szerinti tanúsítványunk. Mi a teendő?
A 2013-as kiadás szerinti tanúsítványok 2025. október 31-én lejártak, így ma csak a 2022-es kiadás szerint lehet érvényes tanúsítvány. Ha az átállás elmaradt, a 93 kontrollra kiterjedő hiányelemzéssel kezdünk, és a tanúsítóval egyeztetve tervezzük az auditot.
Kezdjük a hatókörrel és a hiányelemzéssel
Írd le, ki kéri tőletek a tanúsítványt (ügyfél, tender, anyavállalat), és melyik szolgáltatásra vagy telephelyre. Ebből látszik a hatókör és a reális ütemterv. Munkanapokon 24 órán belül válaszolunk.