Certyfikacja bezpieczeństwa informacji ISO 27001 – jak przygotować firmę do audytu

Certyfikacja bezpieczeństwa informacji ISO 27001 to formalne potwierdzenie, że organizacja utrzymuje działający System Zarządzania Bezpieczeństwem Informacji, a nie tylko zbiór procedur w segregatorze. Dla firm technologicznych certyfikacja bezpieczeństwa informacji ISO 27001 stała się warunkiem wejścia do przetargów publicznych i kontraktów z sektorem finansowym, gdzie ankieta bezpieczeństwa dostawcy potrafi liczyć 180 pytań. Standard opisuje 93 zabezpieczenia w Załączniku A, podzielone na cztery grupy: organizacyjne, ludzkie, fizyczne i technologiczne. Wdrożenie w firmie zatrudniającej 25 osób zajmuje zwykle od 5 do 9 miesięcy, a budżet na audyt certyfikacyjny w polskiej jednostce akredytowanej mieści się w przedziale 18 000–35 000 zł netto za trzyletni cykl. Do tego dochodzą honorarium konsultanta od 12 000 zł, narzędzia do inwentaryzacji zasobów oraz czas zespołu. Punktem odniesienia są tu realia małych i średnich zespołów IT, nie korporacji z osobnym działem compliance.

Czym jest SZBI i co realnie sprawdza audytor

System Zarządzania Bezpieczeństwem Informacji to zestaw powiązanych procesów: identyfikacji zasobów, szacowania ryzyka, doboru zabezpieczeń i przeglądu skuteczności. Audytor jednostki certyfikującej nie ocenia, czy firma jest bezpieczna w sensie absolutnym, lecz czy system działa, jest udokumentowany i wytwarza dowody w postaci zapisów z ostatnich dwunastu miesięcy.

Audyt certyfikacyjny dzieli się na dwa etapy. Etap pierwszy to przegląd dokumentacji: polityki bezpieczeństwa, Deklaracji Stosowania, metodyki analizy ryzyka oraz planu postępowania z ryzykiem. Etap drugi, zwykle 3–5 osobodni dla średniej firmy, weryfikuje praktykę: rozmowy z pracownikami, próbki logów, zrzuty konfiguracji i protokoły przeglądów uprawnień.

Najczęstsza niezgodność w polskich wdrożeniach dotyczy rozjazdu między dokumentem a rzeczywistością. Polityka mówi o kwartalnym przeglądzie kont, a ostatni zapis pochodzi sprzed roku. Druga w kolejności to Deklaracja Stosowania wykluczająca zabezpieczenia bez uzasadnienia biznesowego, co audytor podnosi jako niezgodność dużą i wstrzymuje rekomendację certyfikatu.

Inwentaryzacja zasobów i bezpieczeństwo fizyczne stanowiska pracy

Zabezpieczenie dotyczące rejestru zasobów wymaga aktualnej listy z przypisanym właścicielem. Firmy inwentaryzują laptopy i serwery, pomijając sprzęt biurkowy. Tymczasem monitor do komputera z wbudowanym hubem USB, klawiatura mechaniczna z programowalnym firmware czy tablet graficzny Wacom z własnym sterownikiem to urządzenia obecne w sieci firmowej i wymagające ewidencji.

Rejestr powinien zawierać co najmniej pięć pól: identyfikator, kategorię, właściciela, klasyfikację przetwarzanych informacji oraz lokalizację. Przy 40 stanowiskach arkusz kalkulacyjny jeszcze wystarcza, powyżej 100 zasobów sensowniejszy jest system klasy CMDB. Audytor losuje 5–10 pozycji i sprawdza, czy fizycznie znajdują się tam, gdzie wskazuje wpis.

Peryferia z pamięcią programowalną jako zasób podwyższonego ryzyka

Klawiatura gamingowa mechaniczna z profilami makr zapisanymi w pamięci urządzenia potrafi odtworzyć ciąg znaków szybciej, niż zareaguje operator. To samo dotyczy modeli kompaktowych: klawiatura mechaniczna 60 procent często korzysta z warstw i oprogramowania konfiguracyjnego instalowanego lokalnie, poza standardowym procesem zatwierdzania aplikacji.

Rozwiązanie nie polega na zakazie ładnego sprzętu, lecz na regule: każde urządzenie z własnym firmware wymaga wpisu do rejestru, wskazania źródła oprogramowania i zgody właściciela obszaru IT. Koszt takiego procesu to kilka godzin pracy rocznie, a zamyka on realną lukę w kontroli nad punktami końcowymi organizacji.

Kontrola dostępu, tożsamość i konfiguracja usług

Zarządzanie tożsamością to obszar, w którym audytorzy znajdują najwięcej dowodów niedbałości. Standard oczekuje formalnego procesu nadawania, modyfikacji i odbierania uprawnień, z zapisem daty oraz osoby zatwierdzającej. Konta uprzywilejowane muszą być wydzielone, imienne i objęte częstszym przeglądem niż konta zwykłych użytkowników.

Praktyczny przykład z branży internetowej: wordpress logowanie do panelu administracyjnego pozostawione pod domyślnym adresem, bez limitu prób i bez drugiego składnika, generuje setki nieudanych żądań dziennie. Minimalny zestaw to uwierzytelnianie wieloskładnikowe dla wszystkich redaktorów, blokada po pięciu próbach oraz rejestrowanie zdarzeń logowania przez co najmniej 90 dni.

Przegląd uprawnień przeprowadzany co kwartał wychwytuje konta osób, które zmieniły rolę lub odeszły z firmy. Proces offboardingu powinien mieć jedną listę kontrolną obejmującą pocztę, repozytoria, panele hostingowe i narzędzia analityczne, z terminem odebrania dostępu liczonym w godzinach, a nie dniach roboczych.

Logowanie zdarzeń i dowody dla audytora

Zapisy zdarzeń są materialnym dowodem działania systemu. Centralny zbiór logów z serwerów, aplikacji i urządzeń sieciowych, z ochroną przed modyfikacją i zdefiniowanym okresem retencji, pozwala odtworzyć przebieg incydentu. Bez tego rozmowa o skuteczności zabezpieczeń sprowadza się do deklaracji, których nie da się zweryfikować.

Dostawcy, chmura i przepływ danych poza organizacją

Załącznik A poświęca relacjom z dostawcami kilka odrębnych zabezpieczeń. Każdy podmiot przetwarzający informacje organizacji wymaga oceny ryzyka, umowy z klauzulami bezpieczeństwa i okresowego przeglądu. Rejestr dostawców zawiera zwykle od 20 do 60 pozycji, licząc hosting, pocztę, narzędzia księgowe i podwykonawców technicznych.

Infrastruktura hostingowa to pierwszy wpis na liście. OVH VPS w wariancie z 4 vCPU i 8 GB RAM kosztuje kilkadziesiąt złotych miesięcznie, ale odpowiedzialność za aktualizacje systemu, kopie zapasowe i konfigurację zapory leży po stronie klienta. Model współdzielonej odpowiedzialności trzeba opisać w dokumentacji, inaczej audytor uzna obszar za nieobjęty nadzorem.

Podobnie wygląda ocena usług biurowych i sprzedażowych. Zanim zespół sprawdzi, jaka jest google workspace cena w planie z rozszerzonym archiwum, powinien ustalić, gdzie trafiają dane i kto ma do nich dostęp. Konto Google Merchant przetwarzające feedy produktowe oraz dane kontaktowe klientów również wymaga wpisu w rejestrze czynności i ograniczenia liczby administratorów.

Osobna kategoria to agencje zewnętrzne. Firma realizująca projektowanie stron internetowych otrzymuje dostęp do repozytorium i serwera produkcyjnego, a podmiot prowadzący pozycjonowanie strony w Google pracuje na koncie Search Console i danych o ruchu. Obie relacje wymagają umowy powierzenia, kont imiennych i procedury odbierania dostępu po zakończeniu współpracy.

Koszty, harmonogram i utrzymanie certyfikatu

Certyfikat wydaje się na trzy lata, z audytami nadzoru w roku pierwszym i drugim oraz recertyfikacją w trzecim. Rozłożenie kosztów w czasie wygląda przewidywalnie, pod warunkiem że firma nie zmienia gwałtownie zakresu. Rozszerzenie certyfikacji o nową lokalizację lub nową usługę oznacza dodatkowy audyt i dopłatę.

• Analiza luki i przygotowanie dokumentacji: 12 000–28 000 zł jednorazowo
• Audyt certyfikacyjny etap I i II: 18 000–35 000 zł zależnie od liczby osób i lokalizacji
• Audyty nadzoru: około 40 procent stawki podstawowej rocznie
• Szkolenia zespołu i audytora wewnętrznego: 2 500–6 000 zł na osobę
• Narzędzia: menedżer haseł, MDM, centralne logi – od 40 zł za użytkownika miesięcznie

Utrzymanie systemu kosztuje mniej niż wdrożenie, ale wymaga regularności. Roczny cykl obejmuje audyt wewnętrzny, przegląd zarządzania, aktualizację analizy ryzyka i test planu ciągłości działania. Zespół dwuosobowy poświęca na to od 120 do 200 godzin rocznie, licząc zbieranie dowodów i obsługę ankiet bezpieczeństwa od klientów.

Zwrot z inwestycji widać najwyraźniej w sprzedaży. Certyfikat skraca proces weryfikacji dostawcy z kilku tygodni do kilku dni i bywa wymieniany w zapytaniach ofertowych obok referencji za pozycjonowanie strony czy portfolio wdrożeń. Dla firm celujących w klientów regulowanych certyfikacja bezpieczeństwa informacji ISO 27001 przestaje być kosztem, a staje się warunkiem udziału w postępowaniu.

Jak długo trwa certyfikacja bezpieczeństwa informacji ISO 27001 w małej firmie?

W organizacji do 30 osób realistyczny harmonogram to od 5 do 9 miesięcy od decyzji zarządu do audytu etapu drugiego. Pierwsze 6–8 tygodni pochłania analiza luki i określenie zakresu systemu. Kolejne trzy miesiące to opracowanie analizy ryzyka, Deklaracji Stosowania oraz kilkunastu procedur operacyjnych. Norma wymaga dowodów działania systemu, więc przed audytem trzeba przepracować co najmniej jeden pełny cykl: audyt wewnętrzny, przegląd zarządzania i obsługę przynajmniej jednego zgłoszenia incydentu. Skrócenie tego okresu poniżej trzech miesięcy zwykle kończy się niezgodnościami, ponieważ jednostka certyfikująca nie ma czego próbkować w zapisach.

Czy ISO 27001 jest obowiązkowe dla firm z branży IT?

Norma nie ma statusu przepisu prawa i żaden akt nie nakłada obowiązku jej wdrożenia na wszystkie firmy technologiczne. Presja przychodzi z rynku i z regulacji sektorowych. Dyrektywa NIS2 oraz rozporządzenie DORA nakładają na podmioty objęte ich zakresem wymagania dotyczące zarządzania ryzykiem teleinformatycznym, a certyfikowany system jest najprostszym sposobem wykazania zgodności. W zamówieniach publicznych i kontraktach bankowych certyfikat pojawia się jako warunek udziału lub kryterium punktowane. Firma świadcząca usługi hostingu, integracji czy przetwarzania danych osobowych w praktyce traci część rynku, jeśli nie potrafi przedstawić potwierdzenia od akredytowanej jednostki.

Co się dzieje, gdy audytor stwierdzi niezgodność podczas audytu?

Niezgodności dzielą się na małe i duże. Mała oznacza pojedyncze odstępstwo, na przykład brak podpisu na jednym protokole przeglądu uprawnień. Organizacja przedstawia analizę przyczyny źródłowej i plan działań korygujących, zwykle w terminie 30–90 dni, a jednostka akceptuje go zdalnie bez ponownej wizyty. Duża niezgodność to brak całego wymaganego procesu albo systemowe niestosowanie zadeklarowanego zabezpieczenia. Wtedy certyfikat nie zostaje wydany do czasu skutecznego usunięcia problemu, a jednostka przeprowadza audyt uzupełniający, którego koszt wynosi zwykle 3 000–7 000 zł za dzień pracy audytora.