ISO 27001: implementare, cerințe și certificare

Catalogul ISO indică ISO/IEC 27001:2022 și amendamentul 1:2024 privind schimbările climatice. În România, catalogul ASRO indică SR EN ISO/IEC 27001:2023, modificat prin A1:2024. Anul diferit din denumirea română nu înseamnă un sistem diferit: RENAR explică preluarea ediției internaționale 2022 ca standard european 2023, apoi ca standard român identic.

Sursă: ISO — ediția 2022 și amendamentul 1:2024.

Sursă: ASRO — SR EN ISO/IEC 27001:2023 și relația cu A1:2024.

Sursă: RENAR — comunicat privind adoptarea SR EN ISO/IEC 27001:2023.

Amendamentul din 2024 adaugă la clauza 4.1 analiza relevanței schimbărilor climatice pentru sistem și o notă la 4.2 despre cerințele părților interesate legate de acest subiect. Analiza se face în contextul SMSI. De exemplu, ca verificare practică, poți analiza dacă riscurile climatice afectează disponibilitatea unui serviciu critic sau dependențele sale.

Sursă: SR EN ISO/IEC 27001:2023/A1:2024 — catalog ASRO; modificări la 4.1 și 4.2.

Sursă: Comunicatul oficial ISO–IAF din 22 februarie 2024 — completările la 4.1 și 4.2 și scopul lor.

ISO/IEC 27001 conține cerințele sistemului de management. ISO/IEC 27002 oferă orientări privind controalele de securitate a informației. Certificarea se poate realiza față de ISO/IEC 27001; ISO/IEC 27002 nu este un standard de certificare. Alegerea măsurilor trebuie explicată în contextul organizației și al riscurilor sale.

Sursă: ISO — relația dintre ISO/IEC 27001 și ISO/IEC 27002:2022.

Standardul poate fi folosit de organizații de dimensiuni și tipuri diferite. Dacă o organizație declară conformitatea cu el, nu poate exclude cerințe din clauzele 4–10. Acestea privesc contextul, conducerea, planificarea, sprijinul necesar, funcționarea, evaluarea și îmbunătățirea sistemului.

Anexa A cuprinde 93 de controale, grupate în patru categorii: organizaționale, referitoare la persoane, fizice și tehnologice. Selecția se face în legătură cu riscurile și cerințele organizației. Lista din anexă trebuie folosită pentru a verifica dacă ai omis un control necesar; pot fi necesare și măsuri din alte surse.

Sursă: SR EN ISO/IEC 27001:2023 — clauza 1, clauza 6.1.3 și anexa A; text integral consultat la 16 octombrie 2026.

O întrebare utilă la început este: „Ce informații și ce servicii vrem să protejăm prin acest sistem?”. Scrie domeniul într-un mod pe care îl pot înțelege și conducerea, și echipa tehnică. O formulare precum „toată securitatea firmei” lasă prea multe lucruri neclare.

Identifică procesele, locațiile, echipele și furnizorii implicați. Domeniul SMSI trebuie documentat și stabilit ținând cont de context, cerințele relevante ale părților interesate și dependențele față de alte organizații. Un serviciu externalizat poate rămâne o dependență importantă pentru securitatea informației.

Tabelul este un exemplu de organizare a muncii. Nu acoperă toate cerințele și nu impune o ordine de implementare. Conducerea rămâne implicată în politica de securitate, obiective, resurse și responsabilități; documentele trebuie susținute de activitatea efectivă.

Sursă: SR EN ISO/IEC 27001:2023 — clauzele 4.1–4.3, 5.1–5.3, 6.2 și 7.5; text integral consultat la 16 octombrie 2026.

Declarația de aplicabilitate, numită frecvent SoA, arată ce controale sunt necesare și de ce. Ea trebuie să cuprindă justificarea includerii lor, starea implementării și motivele pentru excluderea unor controale din anexa A. O listă bifată fără aceste explicații nu îndeplinește aceeași funcție.

De exemplu, faptul că o companie lucrează integral în cloud nu justifică singur excluderea tuturor controalelor fizice. Echipa poate avea laptopuri, documente sau spații de lucru care trebuie protejate. Analiza se face pentru domeniul stabilit, riscurile reale și responsabilitățile proprii ori ale furnizorilor.

Evaluarea trebuie să folosească criterii de risc și de acceptare, să identifice proprietarii riscurilor și să permită comparații între evaluări. Tratarea riscurilor include un plan, aprobarea acestuia de către proprietarii riscurilor și acceptarea riscurilor reziduale. Un responsabil pentru o activitate nu înlocuiește automat persoana care poate accepta riscul.

Sursă: SR EN ISO/IEC 27001:2023 — clauzele 6.1.2–6.1.3; pentru reevaluare și aplicarea planului, 8.2–8.3; text integral consultat la 16 octombrie 2026.

Modelul Cremene te ajută să documentezi selecția controalelor. Completezi contextul declarației, apoi câte o fișă pentru fiecare control analizat. Un exemplu fictiv arată legătura dintre un risc, justificarea includerii, starea implementării și dovada verificării.

• Precizează domeniul SMSI, versiunea declarației și evaluarea riscurilor folosită.
• Identifică toate controalele necesare tratării riscurilor. Compară selecția cu anexa A din exemplarul standardului pe care îl folosești, pentru a verifica omisiunile.
• Duplică fișa pentru fiecare control. Notează referința, justificarea includerii sau a excluderii din anexa A și starea implementării. Pot exista și controale din alte surse.
• Păstrează „De analizat” când lipsesc informații. Un control necesar, dar neimplementat, nu devine neaplicabil pentru că nu este încă pus în practică.
• Leagă activitățile rămase de planul de tratare a riscurilor. Verifică separat aprobarea planului și acceptarea riscurilor reziduale de către proprietarii riscurilor.

Rubricile pentru responsabil, dovezi și revizuire sunt propuneri practice pentru organizarea muncii. Formatul Excel și aceste câmpuri suplimentare nu sunt impuse ca atare de standard. Înainte de folosirea declarației, verifică toate controalele necesare și justificările excluderilor din anexa A. O singură fișă completată nu reprezintă declarația completă a organizației.

Sursă: SR EN ISO/IEC 27001:2023, clauza 6.1.3 lit. b)–f), consultată la 19 octombrie 2026; model original de organizare Cremene.

Într-un exemplu fictiv, un colaborator și-a încheiat activitatea, dar contul său există încă într-o aplicație. Echipa verifică dacă accesul mai este activ, ce informații poate consulta și dacă există o justificare pentru păstrare. Responsabilul retrage accesul nejustificat, iar o verificare ulterioară confirmă rezultatul.

Pentru acest caz, păstrezi aplicația și contul vizate, decizia, data intervenției și rezultatul verificării, cu acces limitat la informațiile sensibile. Dacă aceeași problemă apare repetat, analizezi cauza: de exemplu, comunicarea dintre echipe sau evidența aplicațiilor. Exemplul ilustrează o măsură concretă, nu conformitatea întregului SMSI.

Sursă: SR EN ISO/IEC 27001:2023 — anexa A, controalele 5.18 și 6.5, citite în contextul clauzei 6.1.3; clauza 10.2 pentru tratarea unei neconformități; text integral consultat la 16 octombrie 2026.

Auditul intern și analiza efectuată de conducere fac parte din cerințele SMSI și atunci când organizația nu solicită un certificat. Standardul cere intervale planificate. Frecvența concretă trebuie stabilită pentru organizație; clauzele nu impun o regulă universală de tipul „o dată pe an”.

Programul de audit intern ține cont de procese și de rezultatele auditurilor anterioare. Fiecare audit are domeniu și criterii, iar alegerea auditorilor trebuie să asigure obiectivitatea și imparțialitatea. Conducerea primește rezultatele relevante.

Analiza conducerii folosește, între altele, rezultatele evaluării riscurilor, stadiul măsurilor, auditurile și evoluția obiectivelor. Ea trebuie să ducă la decizii privind îmbunătățirea sau schimbarea sistemului. Pentru neconformități, se verifică atât corectarea problemei, cât și cauzele, acțiunile necesare și eficacitatea lor.

Sursă: SR EN ISO/IEC 27001:2023 — clauzele 9.1–9.3 și 10.1–10.2; text integral consultat la 16 octombrie 2026.

Organizația poate implementa standardul fără să solicite certificare. Dacă urmărește un certificat, evaluarea este realizată de un organism extern; ISO nu certifică organizații. Acreditarea organismului adaugă o verificare a competenței sale, dar ISO precizează că acreditarea nu este obligatorie în toate situațiile.

Sursă: ISO — certificare, organisme externe și acreditare.

Înainte de a alege un organism sau de a folosi un certificat ca dovadă, verifică emitentul, entitatea certificată, domeniul acoperit, ediția și valabilitatea. Dacă este invocată acreditarea, verifică și domeniul ei în evidența organismului de acreditare. Compară informațiile cu serviciul sau activitatea care te interesează; numele companiei, singur, nu explică ce a fost evaluat.

Sursă: ISO — verificarea certificării și alegerea unui organism.

Un certificat pentru sistemul de management nu justifică singur concluzia că toate obligațiile NIS2, GDPR sau ale altui cadru sunt îndeplinite. Pentru o cerință concretă, verifică sursa legală, activitatea vizată și dovezile disponibile. Un client poate cere prin contract o certificare; condiția exactă se citește în documentele acelei relații.

Alege un serviciu și un risc pe care echipa le cunoaște. Descrie măsura existentă, verifică aplicarea și consemnează ce lipsește. Din acest caz poți vedea dacă ai responsabilități clare, documente actuale și dovezi utile. Extinzi apoi analiza la domeniul stabilit, fără să transformi rezultatul unei singure verificări într-o concluzie despre toată compania.