Ce cere standardul, cele 93 de controale din Anexa A, documentele pe care le cer auditorii, cum funcționează certificarea în România și cum se compară ISO 27001 cu NIS2 și SOC 2 — pe înțelesul tuturor.
ISO 27001 — oficial ISO/IEC 27001, deoarece este publicat în comun de ISO și IEC (Comisia Electrotehnică Internațională) — stabilește cerințele pentru un sistem de management al securității informației (SMSI): o metodă repetabilă de a proteja confidențialitatea, integritatea și disponibilitatea informațiilor prin evaluarea riscurilor, alegerea controalelor, verificarea funcționării lor și îmbunătățirea lor.
Ediția în vigoare este ISO 27001:2022, publicată în octombrie 2022. Amendamentul 1:2024 a adăugat o cerință: când analizați aspectele care influențează SMSI-ul (clauza 4.1), trebuie să stabiliți dacă schimbările climatice sunt relevante, iar părțile interesate pot avea cerințe legate de climă (clauza 4.2).
Standardul complementar, ISO 27002:2022, oferă îndrumări pentru implementarea fiecărui control. Certificarea se face conform 27001; 27002 vă ajută să îl implementați.
Standardul are două părți. Clauzele 4–10 sunt obligatorii — fiecare este auditată. Anexa A este o listă de referință de controale; evaluarea riscurilor stabilește de care aveți nevoie.
| Clauza | Ce cere |
|---|---|
| 4 · Contextul organizației | Aspectele interne și externe, părțile interesate și cerințele lor, domeniul de aplicare al SMSI |
| 5 · Leadership | Angajamentul managementului de vârf, politica de securitate a informației, roluri și responsabilități |
| 6 · Planificare | Evaluarea și tratarea riscurilor, Declarația de aplicabilitate, obiectivele de securitate, planificarea schimbărilor |
| 7 · Suport | Resurse, competență, conștientizare, comunicare și informații documentate |
| 8 · Operare | Derularea proceselor, efectuarea evaluărilor de risc și implementarea planului de tratare |
| 9 · Evaluarea performanței | Monitorizare și măsurare, audit intern și analiza efectuată de management |
| 10 · Îmbunătățire | Îmbunătățire continuă, neconformități și acțiuni corective |
| Temă | Controale | Exemple |
|---|---|---|
| Organizaționale (A.5) | 37 | Politici, roluri, inventarul activelor, controlul accesului, securitatea furnizorilor și a serviciilor cloud, managementul incidentelor, pregătirea TIC pentru continuitatea activității, cerințe legale |
| Referitoare la persoane (A.6) | 8 | Verificări la angajare, condiții de angajare, conștientizare și instruire, procedură disciplinară, acorduri de confidențialitate, lucru la distanță, raportarea evenimentelor |
| Fizice (A.7) | 14 | Zone securizate, controlul accesului fizic, monitorizarea securității fizice, birou curat și ecran blocat, echipamente și medii de stocare |
| Tehnologice (A.8) | 34 | Dispozitive endpoint, acces privilegiat, protecție anti-malware, managementul vulnerabilităților și al configurațiilor, backup, jurnalizare și monitorizare, securitatea rețelei, criptografie, dezvoltare sigură |
Nou în 2022: controalele au fost reorganizate de la 114 la 93, iar 11 sunt noi — printre care informații despre amenințări (threat intelligence), securitatea informației pentru serviciile cloud, pregătirea TIC pentru continuitatea activității, managementul configurațiilor, prevenirea scurgerilor de date, activitățile de monitorizare și programarea sigură.
ISO 27001 cere anumite informații documentate. Acestea sunt elementele cerute explicit de clauze:
Pe lângă acestea, documentați tot ce îi trebuie propriului SMSI pentru a funcționa (clauza 7.5.1) — de regulă, politicile și procedurile din spatele controalelor selectate din Anexa A.
Certificatele sunt emise de organisme de certificare acreditate pentru sisteme de management al securității informației. În România, acreditarea este acordată de RENAR, organismul național de acreditare, conform ISO 17021-1 și ISO 27006. Verificați ca organismul de certificare să fie acreditat pentru ISO 27001 — certificatul acreditat este cel recunoscut de clienți și în licitații.
Domeniul de aplicare, evaluarea riscurilor, Declarația de aplicabilitate, controalele și dovezile — și cel puțin un audit intern și o analiză efectuată de management.
Auditorul verifică documentația SMSI, domeniul de aplicare și dacă sunteți pregătiți pentru etapa 2.
Auditorul verifică dacă SMSI-ul funcționează în practică, prin interviuri, înregistrări și eșantionare. Neconformitățile trebuie corectate înainte de emiterea certificatului.
Audituri mai scurte în anii intermediari, pentru a confirma că SMSI-ul funcționează în continuare.
Un audit complet de recertificare înainte de expirarea certificatului de trei ani.
Versiunea din 2013 nu mai este valabilă: conform IAF MD 26, organizațiile certificate au avut termen până la 31 octombrie 2025 pentru trecerea la ISO 27001:2022. Certificatele conform versiunii din 2013 nu mai sunt valabile.
| ISO 27001 | NIS2 (România) | SOC 2 | |
|---|---|---|---|
| Ce este | Standard internațional pentru un sistem de management | Obligație legală (OUG 155/2024, ordine DNSC) | Raport de asigurare conform standardelor AICPA |
| Obligatoriu? | Voluntar — cerut adesea de clienți sau în licitații | Da, pentru entitățile vizate | Voluntar — cerut adesea de clienții din SUA |
| Cine verifică | Organism de certificare acreditat | DNSC și auditorii certificați de DNSC | Firmă CPA licențiată |
| Ce obțineți | Certificat, ciclu de trei ani | Autoevaluare, audituri și supraveghere | Raport (tip 1 sau tip 2), transmis sub acord de confidențialitate |
| Controale | Clauzele 4–10 + 93 de controale din Anexa A | 34, 133 sau 218 controale, în funcție de nivel | Criteriile Trust Services alese |
Cele trei se suprapun în mare măsură: evaluarea riscurilor, politicile, controlul accesului, jurnalizarea, backupurile, răspunsul la incidente și managementul furnizorilor apar în toate. Construit cu atenție, un singur set de controale și dovezi le poate servi pe toate trei. Vedeți pregătirea NIS2 și pregătirea SOC 2.
ArxIT Fortis vă ajută de la prima analiză GAP până la auditul de certificare: domeniul de aplicare, evaluarea riscurilor și Declarația de aplicabilitate, politici care reflectă felul în care lucrați, controale tehnice în sistemele dumneavoastră, dovezi într-un singur portal, audit intern și sprijin pe parcursul etapelor 1 și 2. Dumneavoastră decideți cât preluăm.
ISO 27001 este standardul internațional care stabilește cerințele pentru un sistem de management al securității informației (SMSI): modul în care o organizație gestionează confidențialitatea, integritatea și disponibilitatea informațiilor prin evaluarea riscurilor, politici, controale, monitorizare și îmbunătățire continuă. Ediția în vigoare este ISO 27001:2022, amendată în 2024.
Anexa A a ISO 27001:2022 cuprinde 93 de controale grupate în patru teme: 37 organizaționale, 8 referitoare la persoane, 14 fizice și 34 tehnologice. Ele se selectează prin evaluarea riscurilor; Declarația de aplicabilitate consemnează care se aplică și de ce.
Organismele de certificare acreditate pentru sisteme de management al securității informației. În România, organismul național de acreditare este RENAR, care acreditează organismele de certificare conform ISO 17021-1 și ISO 27006. Consultanții, inclusiv ArxIT Fortis, nu emit certificate.
Nu. Conform IAF MD 26, organizațiile certificate au avut termen până la 31 octombrie 2025 pentru tranziția la ISO 27001:2022. Certificatele conform versiunii din 2013 nu mai sunt valabile după această dată.
Nu de unul singur. ISO 27001 acoperă în mare parte aceleași domenii ca măsurile NIS2 de gestionare a riscurilor, deci este o bază solidă, dar entitățile din România vizate de lege trebuie să îndeplinească în continuare cerințele DNSC, inclusiv autoevaluarea maturității în platforma NIS2@RO.
ISO 27001 este un standard internațional certificabil pentru un sistem de management; primiți un certificat de la un organism de certificare acreditat. SOC 2 este un raport de asigurare emis de o firmă CPA din SUA conform standardelor AICPA, care descrie controalele dumneavoastră și, într-un raport de tip 2, modul în care au funcționat pe o anumită perioadă. ISO 27001 este mai răspândit în Europa; SOC 2 este cerut cel mai des de clienții din SUA.
Acest ghid conține informații generale, nu consultanță juridică. ArxIT Fortis nu este organism de certificare.