ISO 27001
Jak działa
Standard wymaga, aby organizacja: (1) zdefiniowała zakres i kontekst ISMS oraz oczekiwania stron zainteresowanych; (2) systematycznie oceniła ryzyka bezpieczeństwa informacji z uwzględnieniem potencjalnych skutków oraz prawdopodobieństwa utraty poufności, integralności i dostępności; (3) wybrała warianty postępowania z ryzykiem i określiła niezbędne zabezpieczenia (korzystając z referencyjnego załącznika A) oraz przygotowała Deklarację Stosowania (SoA); (4) wdrożyła, monitorowała, przeglądała i stale doskonaliła system zgodnie z cyklem zarządczym. ISMS jest integrowany z procesami i strukturą zarządczą organizacji, a jego skala jest dostosowywana do potrzeb. Zgodność może zostać potwierdzona certyfikatem wydawanym przez niezależną, zwykle akredytowaną jednostkę certyfikującą; certyfikat obowiązuje wyłącznie w zadeklarowanym zakresie.
Rozwiązany problem
Rozwiązuje problem fragmentarycznego, doraźnego podejścia do bezpieczeństwa informacji: zamiast odizolowanych środków technicznych dostarcza spójne, powtarzalne i audytowalne ramy zarządcze, które systematycznie identyfikują i traktują ryzyko oraz dają stronom zainteresowanym (klientom, regulatorom, partnerom) wiarygodne zapewnienie, że bezpieczeństwo informacji jest odpowiednio zarządzane.
Ewolucja
Brytyjski standard BS 7799, opracowany przez brytyjskie Ministerstwo Handlu i Przemysłu (DTI), stał się podstawą późniejszego ISO/IEC 27001.
Standard opublikowany wspólnie przez ISO i IEC w październiku 2005 r., formalizując certyfikowalny ISMS na poziomie międzynarodowym.
Bardziej elastyczne i uproszczone podejście; dopasowanie do wspólnej struktury wysokiego poziomu standardów systemów zarządzania. Załącznik A zawierał 114 zabezpieczeń w 14 klauzulach.
Zreorganizowany załącznik A zawiera 93 zabezpieczenia zgrupowane w czterech obszarach (organizacyjne, osobowe, fizyczne, technologiczne); 11 zabezpieczeń jest nowych, 24 powstały z połączenia wcześniejszych, a 58 zaktualizowano. Zgodny z ISO/IEC 27002:2022.
W lutym 2024 r. wydanie 2022 uzupełniono o poprawkę dodającą wymaganie dotyczące ustalenia, czy zmiana klimatu jest istotną kwestią w kontekście organizacji, oraz notę o wymaganiach stron zainteresowanych związanych ze zmianą klimatu.
Akredytowane jednostki certyfikujące były zobowiązane zakończyć przeniesienie certyfikowanych klientów na trzecie wydanie do 31 października 2025 r.