ISO 27001 a NIS-2: ako podniky nastavia informačnú bezpečnosť tak, aby obstála v audite

Úvod: Kybernetická bezpečnosť sa stala vecou vedenia

Útoky ransomvérom, kompromitované dodávateľské reťazce a každodenné vlny phishingu: úroveň hrozieb v digitálnom priestore dosiahla historické maximum. Zákonodarca zároveň výrazne sprísňuje pravidlá. Európska smernica NIS-2 zásadne rozšírila povinnosti v oblasti kybernetickej bezpečnosti – a teraz sa týka desaťtisícov podnikov, ktoré sa doteraz nepovažovali za „kritickú infraštruktúru“.

Obzvlášť citlivé: konatelia budú pri porušení povinností v budúcnosti čiastočne ručiť osobne aj svojím súkromným majetkom.

V tomto kontexte sa medzinárodná norma ISO/IEC 27001 pre mnohé organizácie zmenila z čistého IT statusového symbolu na existenčnú poistku. Ako však ISO 27001 a NIS-2 zapadajú do seba? A ako zaviesť systém manažérstva informačnej bezpečnosti (ISMS), ktorý neexistuje len na papieri, ale obstojí v audite aj v realite?

Čo upravuje ISO/IEC 27001?

ISO/IEC 27001 je celosvetovo vedúci štandard pre systémy manažérstva informačnej bezpečnosti. Cieľom normy je ochrana troch základných hodnôt informačnej bezpečnosti (tzv. triáda CIA):

• Confidentiality (dôvernosť): K citlivým údajom majú prístup len oprávnené osoby.
• Integrity (integrita): Údaje sú správne, úplné a chránené pred neoprávnenou manipuláciou.
• Availability (dostupnosť): Systémy a informácie sú k dispozícii vtedy, keď sú potrebné.

Rozhodujúce je: ISO 27001 nie je čisto IT štandard. Na informačnú bezpečnosť sa pozerá celostne. Patrí sem fyzická bezpečnosť (kontrola vstupu), organizačné procesy (núdzové príručky, offboarding zamestnancov) aj personálne opatrenia (školenia povedomia, bezpečnostné smernice).

ISO 27001 a NIS-2 v priamom porovnaní

Mnohé podniky si kladú otázku: „Ak sme certifikovaní podľa ISO 27001, máme automaticky splnené aj NIS-2?“

Úprimná odpoveď znie: na 80 až 90 % áno.

Smernica NIS-2 formuluje záväzné minimálne požiadavky v oblastiach ako:

• analýzy rizík a bezpečnosť informačných systémov
• zvládanie bezpečnostných incidentov (incident handling) vrátane prísnych lehôt na hlásenie (napr. včasné varovanie do 24 hodín)
• udržanie prevádzky podniku (kontinuita podnikania a správa záloh)
• bezpečnosť dodávateľského reťazca (supply chain security)
• šifrovanie a riadenie prístupu

Presne tieto oblasti štruktúrovane pokrýva Annex A normy ISO/IEC 27001 (v aktuálnom znení so 93 opatreniami v 4 tematických oblastiach). Kto predloží žitý ISMS podľa ISO 27001, má technické a organizačné opatrenia pre NIS-2 už zdokumentované, zavedené do prevádzky a auditované. Operatívne treba doplniť len špecifické zákonné cesty hlásenia národným orgánom.

Vybudovanie účinného ISMS v 5 krokoch

Úspešný ISMS nevznikne cez noc, no s jasným zameraním sa dá zaviesť efektívne:

1. Vymedzenie rozsahu (scope)

Presne stanovte, ktoré oblasti podniku, prevádzky, produkty alebo služby má ISMS pokrývať. Pre mnohých poskytovateľov IT služieb to spočiatku znamená cloudovú infraštruktúru a kľúčové aplikácie.

2. Posúdenie a ošetrenie rizík

Identifikujte svoje najdôležitejšie hodnoty (information assets): údaje zákazníkov, zdrojový kód, výrobné plány. Aké hrozby a zraniteľnosti existujú? Ktoré riziká sa znižujú technickými opatreniami (napr. viacfaktorové overovanie, segmentácia), ktoré sa akceptujú alebo prenášajú poistením?

3. Vyhlásenie o aplikovateľnosti (Statement of Applicability – SoA)

V SoA zdokumentujete, ktoré z 93 opatrení Annex A sú pre váš podnik relevantné a ako boli zavedené. Ak sa opatrenia vylúčia, musí to byť presvedčivo odôvodnené.

4. Smernice a povedomie zamestnancov

Bezpečnosť najčastejšie zlyhá na ľudskom faktore. Zaveďte zrozumiteľné politiky (čistý stôl, pravidlá hesiel, zaobchádzanie s mobilnými zariadeniami) a vykonávajte pravidelné školenia a simulované phishingové testy.

5. Interný audit a preskúmanie manažmentom

Skôr než príde externý audítor, interní audítori systém dôkladne preveria. Vedenie podniku vyhodnotí ukazovatele a uvoľní zdroje na nápravu.

Výhody certifikácie u zákazníkov a partnerov

Okrem zákonných povinností má ISO 27001 obrovskú obchodnú páku:

• Rýchlejšie predajné cykly: Firemní zákazníci pred uzavretím zmluvy požadujú mnohostranové bezpečnostné dotazníky. S uznávaným certifikátom ISO 27001 tento náklad spravidla úplne odpadá.
• Konkurenčná výhoda vo verejných súťažiach: Verejní obstarávatelia a regulované odvetvia (banky, poisťovne, automotive) často nepustia necertifikovaných dodávateľov ani k prezentácii ponuky.
• Posilnenie kybernetickej odolnosti: Štruktúrovaný proces zabezpečí, že bezpečnostné medzery sa uzavrú skôr, než ich útočníci využijú.

Záver

ISO 27001 je dnes základom pre každý podnik, ktorý digitálne vytvára hodnoty. Premieňa nejasné obavy o bezpečnosť na merateľné procesy a chráni vedenie podniku pred rizikami zodpovednosti.

Plánujete certifikáciu ISO 27001?
Na cert-authority.com vás skúsení odborní audítori transparentne a partnersky prevedú procesom auditu. Prezrite si naše ceny a balíky.