ISO 27001 bevezetés lépésről lépésre.

01A lényeg 30 másodpercben

Az ISO/IEC 27001 a legelismertebb információbiztonsági tanúsítás — egy ISMS (információbiztonsági irányítási rendszer) bizonyítéka. Nem technológiát ír elő, hanem egy kockázatalapú, folyamatos működést: felmérni a kockázatokat, kontrollokat választani (a 2022-es Annex A 93 kontrolljából), bevezetni, mérni, javítani. A megfelelést akkreditált tanúsító auditálja.

Miért most? Egyre több ügyfél, közbeszerzés és nagyvállalati beszállítói lánc megköveteli — gyakran piacra lépési feltétel. Ráadásul a NIS2 és a DORA elvárásainak nagy részét lefedi, így egy ISMS-szel egyszerre több irányba haladsz. Egy KKV-nál a bevezetéstől a tanúsításig jellemzően 4–9 hónap.

02Mi az ISO 27001 és az ISMS?

Az ISMS (Information Security Management System) nem egy szoftver, hanem egy irányítási rendszer: szabályzatok, felelősségek, folyamatok és bizonyítékok együttese, amely rendszerezetten kezeli az információbiztonsági kockázatokat. Az ISO 27001 ennek a rendszernek a követelményeit írja le, PDCA (Plan-Do-Check-Act) logikával: tervezz, vezesd be, mérd, javíts — folyamatosan.

Az ISMS nem szoftver, hanem irányítási rendszer: szabályzatok, felelősségek, folyamatok és bizonyítékok. Az ISO 27001 ennek a követelményeit írja le.

A szabvány fő törzse (4–10. fejezet) kötelező: a szervezet és érdekelt felei, a vezetőség elkötelezettsége, a kockázatkezelés, az erőforrások, a működés, a teljesítménymérés és a fejlesztés. A melléklet (Annex A) adja a kontroll-katalógust, amelyből a kockázatok alapján választasz.

03Miért éri meg?

• Üzleti bizalom és piacra lépés — sok ügyfél és tender feltételként kéri; a tanúsítvány gyorsan igazolható bizonyíték.
• Strukturált védelem — rendszerezett, auditált kockázatkezelés, nem ad-hoc tűzoltás.
• Szabályozási átfedés — a NIS2 és a DORA intézkedéseinek nagy részét lefedi (lásd az átfedés-cikket).
• Belső rend és bizonyíték — felelősségek, folyamatok, naplók, amelyek egy incidensnél vagy ellenőrzésnél is megtérülnek.

04A 93 Annex A kontroll — négy téma

A 2022-es kiadás a korábbi 114 kontrollt 93-ra konszolidálta, és 11 új kontrollt vezetett be (pl. fenyegetés-intelligencia, felhőbiztonság, adatszivárgás-megelőzés). Négy témába rendezve:

05A bevezetés lépései

1. Hatókör (scope) — mit fed le az ISMS (mely szervezet, telephely, szolgáltatás, rendszer).
2. Gap-analízis — hol tartasz ma a szabványhoz képest (mint egy gap-önaudit, csak az ISO-kontrollokra).
3. Kockázatértékelés és -kezelés — a kockázatok azonosítása, értékelése, és a kezelési terv (mely kontrollokkal).
4. SoA (Statement of Applicability) — a 93 kontroll alkalmazhatóságának dokumentált indoklása.
5. Kontrollok bevezetése — szabályzatok, technikai és szervezeti intézkedések (ez a leghosszabb fázis).
6. Belső audit + vezetőségi átvizsgálás — a tanúsításhoz működő, bizonyított rendszer kell, nem csak papír.

06Tipikus idővonal (KKV)

07A tanúsítási audit

A tanúsítást egy akkreditált tanúsító szervezet végzi, két lépcsőben. A Stage 1 dokumentum-felülvizsgálat: készen áll-e az ISMS, megvannak-e a kötelező elemek (scope, kockázatkezelés, SoA, belső audit, vezetőségi átvizsgálás). A Stage 2 a tényleges megfelelés helyszíni auditja: működik-e a rendszer, van-e bizonyíték, hatékonyak-e a kontrollok.

Sikeres audit után a tanúsítvány 3 évig érvényes, de évente felügyeleti (surveillance) audit ellenőrzi a fenntartást, a harmadik év végén pedig újratanúsítás jön. Az ISMS tehát nem egyszeri projekt, hanem fenntartott működés — ezt érdemes a tervezésnél figyelembe venni.

08Hogyan kezdj hozzá?

A legjobb első lépés egy hatókör-tisztázás és gap-analízis: hol tartasz, mi hiányzik, és mi a reális idővonal/erőforrás. Innen épül a kockázatértékelés, a SoA és a kontrollok bevezetése — priorizáltan, a legnagyobb kockázatoktól. Ha a NIS2/DORA is érint, érdemes az ISMS-t úgy építeni, hogy egyszerre fedje le a közös követelményeket.

25+ év banki és nagyvállalati információbiztonsági tapasztalattal végigvezetünk a gap-analízistől a tanúsítási auditig — a megfelelő egyszerűsítésekkel, de a szabvány elvárásainak megtartásával.

09Gyakran ismételt kérdések

Mi az ISO 27001?

A legelismertebb információbiztonsági szabvány, amely egy ISMS (információbiztonsági irányítási rendszer) követelményeit írja le, kockázatalapú megközelítéssel. Akkreditált szervezet tanúsítja.

Hány kontroll van a 2022-es verzióban?

93 kontroll, négy témában: szervezeti 37, technológiai 34, fizikai 14, emberi 8.

Mennyi idő a bevezetés?

KKV-nál jellemzően 4–9 hónap a tanúsításig, a kiindulási érettségtől függően; utána évente felügyeleti audit.

Lefedi a NIS2-t?

Nagy részben igen — egy működő ISMS a NIS2 intézkedéseinek jelentős hányadát lefedi, de a NIS2-nek vannak külön elemei (incidensbejelentés, vezetői felelősség).

Miért éri meg az ISO 27001?

Több okból: (1) üzleti bizalom — sok ügyfél, közbeszerzés és nagyvállalati beszállítói lánc megköveteli, így piacra lépési feltétel lehet; (2) strukturált védelem — rendszerezett, auditált kockázatkezelés a kármegelőzésre; (3) szabályozási átfedés — a NIS2 és a DORA elvárásainak nagy részét lefedi, így egyszerre több irányba is haladsz; (4) belső rend — felelősségek, folyamatok, bizonyítékok, amelyek egy incidensnél vagy hatósági ellenőrzésnél is megtérülnek.

10Induljunk el a tanúsítás felé

Egy gap-analízissel pontosan látszik, mennyi munka van hátra és milyen sorrendben — onnantól tervezhető a bevezetés és a tanúsítás. Banki minőségben — annyi papírral, amennyi tényleg kell, nem többel.