ISO 27001, klauzule 4–10: wymagania stojące za kontrolami
ISO 27001 ma dwie części, a większość treści zaczyna od tej niewłaściwej. 93 kontrole z Załącznika A stosuje się selektywnie w ramach postępowania z ryzykiem — włączenia i wyłączenia uzasadniasz w Deklaracji Stosowania (SoA). Klauzule 4–10 są inne: każde wymaganie jest obowiązkowe, żadnego nie da się wyłączyć i to właśnie tu faktycznie rozstrzyga się certyfikacja. Siedem klauzul tworzy jedną pętlę: klauzula 4 definiuje kontekst i zakres ISMS; klauzula 5 nakłada obowiązki wprost na najwyższe kierownictwo; klauzula 6 prowadzi ocenę i postępowanie z ryzykiem oraz tworzy SoA; klauzula 7 zapewnia zasoby, kompetencje, świadomość i nadzór nad dokumentacją; klauzula 8 to codzienne działanie kontroli; klauzula 9 sprawdza system przez metryki, audyt wewnętrzny i przegląd zarządzania; klauzula 10 naprawia to, co te sprawdzenia wykryją. To cykl Planuj-Wykonaj-Sprawdź-Działaj w formie normy. Audytorzy testują połączenia w tej pętli — kontekst zasilający ryzyka, ustalenia trafiające do przeglądu zarządzania, domykane działania korygujące — dlatego ISMS kupiony z szablonu, z idealnymi dokumentami, ale bez działającej pętli, oblewa, a skromny ISMS, który naprawdę się „obraca”, przechodzi. Każda klauzula ma w tej serii własne, szczegółowe opracowanie.
Poszukaj treści o ISO 27001, a utoniesz w Załączniku A — 93 kontrole, cztery tematy, listy kontrolne. Sami napisaliśmy tego sporo, w tym kompletny przewodnik po Załączniku A. Ale oto fakt strukturalny, który większość tych treści pomija: to nie w Załączniku A rozstrzyga się certyfikacja. Decyzja zapada w klauzulach od 4 do 10 normy — wymaganiach systemu zarządzania — a te działają inaczej niż kontrole pod jednym kluczowym względem.
Kontrole z Załącznika A stosuje się przez postępowanie z ryzykiem: wybierasz to, czego wymagają Twoje ryzyka, i uzasadniasz każde wyłączenie w Deklaracji Stosowania. Klauzule 4–10 nie dają takiej negocjacji. Każde „powinien/musi” (shall) w tych siedmiu klauzulach jest obowiązkowe dla każdej certyfikowanej organizacji — od pięcioosobowego startupu po bank. Możesz wyłączyć kontrolę dotyczącą nośników fizycznych, której nie używasz; nie możesz wyłączyć przeglądu zarządzania, audytu wewnętrznego ani oceny ryzyka. Załącznik A mówi co wdrażasz; klauzule 4–10 mówią, dlaczego zdajesz lub oblewasz.
Ten hub mapuje siedem klauzul i to, jak się zazębiają. Każda ma w tej serii dedykowane opracowanie, przechodzące wymaganie po wymaganiu, z dowodami, których oczekują audytorzy, i niezgodnościami, które faktycznie podnoszą.
Pętla, klauzula po klauzuli
Klauzula 4 — Kontekst organizacji. Fundamenty: zewnętrzne i wewnętrzne kwestie kształtujące Twój ISMS (4.1 — w tym, od poprawki z lutego 2024, ustalenie, czy istotna jest zmiana klimatu), Twoje strony zainteresowane i ich wymagania (4.2), udokumentowany zakres ISMS (4.3) oraz sam ISMS jako powiązane procesy (4.4). Wszystko, co dalej, dziedziczy to, co tu ustalisz — zwłaszcza zakres.
Klauzula 5 — Przywództwo. Klauzula, której kadra zarządzająca nie może zdelegować: najwyższe kierownictwo musi w widoczny sposób przewodzić ISMS (5.1), być właścicielem polityki bezpieczeństwa informacji (5.2) oraz przypisać role i uprawnienia — w tym to, kto raportuje wyniki ISMS w górę (5.3). Audytowana przez rozmowy z kierownictwem, dlatego właśnie nie da się jej udawać.
Klauzula 6 — Planowanie. Silnik decyzyjny: zdefiniowany proces oceny ryzyka z właścicielami i kryteriami akceptacji (6.1.2), postępowanie z ryzykiem, które wyznacza Twoje kontrole i weryfikuje je względem Załącznika A — tworząc Deklarację Stosowania i plan postępowania z formalnie zaakceptowanym ryzykiem szczątkowym (6.1.3), mierzalne cele bezpieczeństwa (6.2) oraz, nowość w 2022, planowe zarządzanie zmianami w ISMS (6.3).
Klauzula 7 — Wsparcie. Instalacja wodno-kanalizacyjna: zasoby (7.1), kompetencje zdefiniowane per rola i udokumentowane (7.2), autentyczna świadomość pracowników — sprawdzana rozmową, nie potwierdzeniami odbioru maili (7.3), plan komunikacji (7.4) oraz nadzór nad dokumentacją z wersjami, zatwierdzeniami i retencją (7.5). Dom najczęściej odrzucanych dowodów audytowych w całej normie.
Klauzula 8 — Działanie. Najkrótsza klauzula i ta, na której formalnie wisi Twoja codzienna praca nad bezpieczeństwem: prowadź zaplanowane procesy z kryteriami i zapisami (8.1 — w tym nadzór nad usługami dostarczanymi z zewnątrz, czyli Twoimi dostawcami chmury i SaaS), ponownie oceniaj ryzyko w zaplanowanych odstępach i przy istotnej zmianie (8.2) oraz faktycznie wdrażaj plan postępowania z ryzykiem (8.3). To tutaj kontrole z Załącznika A wpinają się w system zarządzania.
Klauzula 9 — Ocena wyników. System sprawdza sam siebie: zdefiniowane metryki z porównywalnymi, powtarzalnymi metodami (9.1), bezstronny program audytu wewnętrznego badający zgodność z normą i z Twoimi własnymi zasadami (9.2) oraz przegląd zarządzania z przepisanymi wejściami i zapisanymi decyzjami (9.3). W praktyce certyfikacyjnej najbardziej „gęsta od ustaleń” z siedmiu klauzul.
Klauzula 10 — Doskonalenie. Pętla naprawcza: ciągłe doskonalenie ISMS (10.1) oraz proces niezgodności — popraw pojedynczy przypadek, znajdź przyczynę, sprawdź podobne przypadki, zweryfikuj, że poprawka zadziałała (10.2). Klauzula, którą startupy najczęściej udają pustym rejestrem, i najłatwiejsza do wychwycenia przez audytora.
Jeden cykl, nie siedem silosów
Jeśli struktura wydaje się znajoma, to słusznie: to Planuj-Wykonaj-Sprawdź-Działaj. Klauzule 4–7 planują i zaopatrują, klauzula 8 wykonuje, klauzula 9 sprawdza, klauzula 10 działa na tym, co sprawdzenie wykazało — zawracając zmiany z powrotem do planowania. Norma jest zbudowana tak, by każda klauzula konsumowała wyjścia poprzednich: kontekst (4) zasila ocenę ryzyka (6), której plan postępowania działa w operacjach (8), których zapisy testuje audyt (9), którego ustalenia stają się działaniami korygującymi (10), wypływającymi w przeglądzie zarządzania (9.3) z udziałem kierownictwa (5), zasilonym przez wsparcie (7) i odzwierciedlonym w zaktualizowanym kontekście, gdy biznes się zmienia (4). Audytorzy testują te połączenia bardziej niż jakikolwiek pojedynczy dokument — teczka idealnych szablonów bez działającej pętli między nimi to dokładnie to, co audyty etapu 2 mają obnażać.
Jak audyt pokrywa te klauzule
Certyfikacja przebiega w dwóch etapach, a klauzule 4–10 dominują w obu. Etap 1 to w dużej mierze przegląd dokumentacji: zakres, polityka, metodyka ryzyka, SoA oraz dowody, że audyt wewnętrzny i przegląd zarządzania istnieją — terytorium klauzul 4–7 plus mechanizmy klauzuli 9. Etap 2 testuje działanie: zapisy z klauzuli 8, wyniki i domknięcia z klauzul 9 i 10 oraz rozmowy w górę i w dół schematu organizacyjnego — kadra zarządzająca pod klauzulę 5, losowi pracownicy pod świadomość z klauzuli 7.3. Przydatny fakt do planowania: jednostka certyfikująca oczekuje pełnego cyklu audytu wewnętrznego i co najmniej jednego przeglądu zarządzania zakończonych przed etapem 2, co wyznacza Twój minimalny harmonogram częściej niż jakakolwiek kontrola.
Od czego zacząć
Jeśli budujesz ISMS od zera, czytaj opracowania klauzul po kolei — sekwencja odzwierciedla budowę. Jeśli diagnozujesz istniejący ISMS przed audytem, zacznij od końca: klauzula 9 i klauzula 10 to miejsca, gdzie koncentrują się ustalenia i gdzie poprawki zwracają się najszybciej. A gdy klauzule odeślą Cię z powrotem do kontroli, które obsługują, przewodnik po Załączniku A przejmuje pałeczkę.
Ready to Streamline Your Compliance?
Discover how AuditBadger can simplify your compliance management process.
Sedno sprawy
Certyfikacja ISO 27001 to nie test kontroli z doklejoną papierologią — to test systemu zarządzania z doklejonymi kontrolami. Siedem obowiązkowych klauzul tworzy jedną pętlę: zdefiniuj swój świat, zaangażuj kierownictwo, rozstrzygnij swoje ryzyka, wesprzyj pracę, prowadź ją, sprawdzaj i naprawiaj. Zbuduj tę pętlę uczciwie w skali, w jakiej jesteś, a Załącznik A stanie się łatwą częścią.
