ISO 27001:2022

Sistem upravljanja sigurnošću informacija ISO/IEC 27001 je međunarodni standard koji organizacijama omogućava da zaštite povjerljivost, integritet i dostupnost svoje informacijske imovine. Aktuelna verzija standarda je ISO/IEC 27001:2022. CMB Consultancy nudi usluge certifikacije putem akreditovanih certifikacijskih tijela organizacijama koje žele dobiti ISO 27001.

Šta je ISO 27001?

ISO/IEC 27001 je međunarodni standard za upravljanje sigurnošću informacija koji utvrđuje zahtjeve za robustan sistem upravljanja sigurnošću informacija.

Danas organizacije moraju štititi povjerljivost, integritet i dostupnost informacija i informacijske imovine koju obrađuju, čuvaju i kojom upravljaju, kako zbog vlastitih potreba, tako i zbog zakona i ugovora kojima su obavezane.

Svojim pristupom zasnovanim na riziku, standard za sigurnost informacija ISO/IEC 27001 pomaže organizacijama da postignu ciljani nivo sigurnosti uz odgovarajuće ljudske resurse, postupke i infrastrukturu informacionih tehnologija za zaštitu informacija i informacijske imovine. ISO/IEC 27001 pogodan je za integraciju u poslovne procese kompanija svih veličina i u svim sektorima.

Certifikat ISO/IEC 27001 dokaz je da vaša organizacija na najbolji mogući način štiti kritične podatke, kao što su finansijski podaci i lični podaci kupaca, koristeći pristup zasnovan na riziku.

Zbog toga certifikacija ISO 27001 sve češće postaje obavezna, potaknuta i zakonskim i ugovornim očekivanjima.

Svake godine nastaju veliki finansijski gubici zbog situacija koje ugrožavaju informacijsku imovinu, kao što su vanjski napadi, tehnički kvarovi, špijunaža ili zloupotreba informacija. Prema ISO 27001, cilj sistema upravljanja sigurnošću informacija je prepoznati korporativne rizike, analizirati ih i koristiti odgovarajuće mjere da se stave pod kontrolu.

ISO 27001 usklađen je s ciklusom Planiraj–Uradi–Provjeri–Djeluj (PDCA), pristupom dobro poznatim iz ISO 9001. Zato se sistem upravljanja sigurnošću informacija lako može integrisati u postojeći sistem upravljanja.

Šta se promijenilo revizijom ISO 27001:2022?

Aktuelna verzija ISO/IEC 27001 objavljena je u oktobru 2022. godine. Prelazni period za prethodnu verziju, ISO/IEC 27001:2013, završio je 31. oktobra 2025. godine; od tog datuma certifikati izdati prema verziji iz 2013. godine više ne važe.

• Broj kontrola u Aneksu A smanjen je sa 114 na 93, a kontrole su grupisane u četiri teme: organizacijske, kontrole koje se odnose na ljude, fizičke i tehnološke kontrole.
• Dodato je 11 novih kontrola, kao što su obavještajni podaci o prijetnjama, sigurnost informacija pri korištenju usluga u oblaku, maskiranje podataka, sprečavanje curenja podataka i sigurno programiranje.
• S Amd 1:2024, objavljenim u februaru 2024. godine, klimatske promjene dodate su među pitanja koja treba uzeti u obzir pri procjeni konteksta organizacije.

Zašto je potreban ISO 27001?

Općenito je prihvaćeno da organizacija ne može zaštititi sigurnost informacija i kontinuitet poslovanja samo tehničkim mjerama, te da mora imati i skup mjera i kontrola kao što je ISMS (sistem upravljanja sigurnošću informacija). Najviše rukovodstvo i svi zaposleni trebaju podržavati sigurnosne politike stvorene u okviru ISMS-a i efikasno ih primjenjivati. Osim toga, sigurnost se povećava kada i sva lica i organizacije s kojima kompanija sarađuje postupaju u skladu s tim politikama.

Na koga se odnosi ISO 27001?

ISO 27001 pogodan je za sve organizacije, velike i male, bez obzira na zemlju ili sektor. Standard je posebno potreban u sektorima u kojima je sigurnost informacija od velikog značaja, kao što su finansije, zdravstvo, javni sektor i informacione tehnologije. ISO 27001 veoma je važan i za organizacije koje upravljaju informacijama u ime drugih, kao što su IT podizvođači. Može se koristiti kako bi se kupcima zagarantovalo da su njihove informacije zaštićene.

U Turskoj je ISO 27001 obavezan za sljedeće sektore:

• kompanije koje potpisuju ugovore o ovlaštenju,
• kompanije koje potpisuju ugovore o koncesiji,
• kompanije koje pružaju usluge satelitske komunikacije,
• kompanije koje pružaju usluge upravljanja infrastrukturom,
• kompanije koje pružaju usluge fiksne telefonije,
• kompanije koje pružaju usluge mobilne telefonije GMPCS,
• kompanije koje pružaju usluge virtuelne mobilne mreže,
• pružaoci internet usluga,
• kompanije koje pružaju usluge mobilne telefonije GSM 1800 u avionima,
• kompanije koje traže ovlaštenje kao specijalni integratori za e-fakturu,
• izvozne kompanije koje traže status ovlaštenog subjekta za carinske olakšice,
• kompanije koje pružaju i upravljaju mrežama i infrastrukturom elektronskih komunikacija,
• softverske i hardverske kompanije i integratori u IT sektoru koji učestvuju na javnim tenderima.

Propisi koji ISO 27001 čine obaveznim u Turskoj

Kompanije u energetskom sektoru

Izmjenama objavljenim u Službenom glasniku br. 29217 od 26.12.2014. godine, Regulatorna agencija za energetsko tržište Turske (EPDK) propisala je da kompanije na tržištima nafte, električne energije i prirodnog plina moraju imati certifikat sistema upravljanja sigurnošću informacija ISO 27001. Nosioci licenci na tim tržištima obavezni su pribaviti certifikat ISO 27001 od akreditovanog certifikacijskog tijela počevši od 01.03.2016. godine.

Carinske kompanije

Status Ovlaštenog privrednog subjekta, koji je tursko Ministarstvo carina i trgovine uvelo Pravilnikom o pojednostavljenju carinskih postupaka objavljenim u Službenom glasniku 10. januara 2013. godine, dodjeljuje se kompanijama koje ispunjavaju carinske obaveze i imaju finansijsku solventnost i sigurnosne standarde (ISO 27001 i ISO 9001). Prva prednost za proizvođače i izvoznike s ovim statusom je carinjenje na licu mjesta: carinski postupci za izvoz jednostavno se provode u prostorijama same kompanije. Bez potrebe da ide ili čeka na carini, kompanija sigurno završava svoje postupke u vlastitom objektu, štedeći i vrijeme i operativne troškove. Certifikacija također povećava ugled ovih kompanija na tržištu.

Specijalni integratori koji pružaju usluge e-fakture

Vodič za specijalnu integraciju za primjenu e-fakture iz aprila 2015. godine, Uprave za prihode – Odjela za reviziju i upravljanje usklađenošću, navodi da specijalni integratori koji pružaju usluge e-fakture moraju pribaviti certifikate ISO 27001, ISO 22301 i ISO 20000.

Specijalni integratori moraju imati:

• certifikate TS ISO IEC 27001 ili ISO 27001 za sigurnost informacija,
• certifikat ISO 22301 za kontinuitet poslovanja (Societal security – Business continuity),
• certifikate TS ISO IEC 20000 ili ISO 20000 za upravljanje IT uslugama.

Pojmovi i koncepti u ISO/IEC 27001

Sistem upravljanja sigurnošću informacija (ISMS): Dio ukupnog sistema upravljanja, zasnovan na pristupu poslovnom riziku, za uspostavljanje, primjenu, rad, praćenje, preispitivanje, održavanje i poboljšanje sigurnosti informacija.

Analiza rizika: Sistematična upotreba informacija za prepoznavanje izvora i procjenu rizika.

Procjena rizika: Ukupan proces analize rizika i njegovog vrednovanja.

Vrednovanje rizika: Proces poređenja procijenjenog rizika s datim kriterijima rizika kako bi se utvrdio njegov značaj.

Upravljanje rizikom: Koordinirane aktivnosti usmjeravanja i kontrole organizacije u pogledu rizika.

Tretman rizika: Proces izbora i primjene mjera za promjenu rizika.

Izjava o primjenjivosti: Dokumentovana izjava koja opisuje kontrolne ciljeve i kontrole koje su relevantne i primjenjive za ISMS organizacije.

Prednosti uspostavljanja sistema upravljanja sigurnošću informacija ISO 27001

• Svijest o informacijskoj imovini: Organizacija postaje svjesna koju informacijsku imovinu ima i koliko ona vrijedi.
• Sposobnost zaštite imovine: Utvrđuje metode zaštite kroz kontrole koje uspostavlja i štiti imovinu njihovom primjenom.
• Kontinuitet poslovanja: Osigurava svoje poslovanje za dugi niz godina i sposobna je nastaviti s radom u slučaju katastrofe.
• Odnos povjerenja sa zainteresovanim stranama: Stiče povjerenje zainteresovanih strana, posebno dobavljača, jer su njihove informacije zaštićene.
• Štiti informacije kroz sistem, umjesto da ih prepušta slučaju.
• Kupci je ocjenjuju bolje od njenih konkurenata.
• Povećava motivaciju zaposlenih.
• Sprečava sudske postupke.
• Donosi visok ugled.