Posiadasz certyfikat ISO 27001 w wersji z 2013 roku? Świetnie! To dowód na to, że Twoja firma poważnie traktuje bezpieczeństwo informacji. Pamiętaj jednak, że standardy ewoluują, a w 2022 roku norma przeszła znaczącą aktualizację. Nie musisz panikować, ale powinieneś podjąć kilka kroków, aby Twoja certyfikacja nadal była aktualna i adekwatna do dzisiejszych realiów.
Etap 1: Audyt luk – Gdzie jesteś teraz?
Pierwszym i najważniejszym krokiem jest przeprowadzenie audytu luk (gap analysis). Polega to na dokładnym przeanalizowaniu Twojego obecnego Systemu Zarządzania Bezpieczeństwem Informacji (SZBI) pod kątem nowych wymagań ISO 27001:2022. Sprawdź, które z 114 zabezpieczeń z Anexu A z 2013 roku mają swoje odpowiedniki w nowej, 93-punktowej liście, a które wymagają wdrożenia nowych kontroli. To pozwoli Ci zrozumieć skalę prac.
Etap 2: Plan przejściowy – Uporządkuj działania
Po audycie luk, opracuj szczegółowy plan przejściowy. Powinien on zawierać listę konkretnych działań, które należy podjąć, aby dostosować się do zmian. W planie uwzględnij:
- Aktualizację oświadczenia o stosowaniu (SoA): To kluczowy dokument, który musisz całkowicie przebudować. Nowa wersja SoA powinna uwzględniać 93 zabezpieczenia z 2022 roku. Pamiętaj o dokładnym opisaniu, które zabezpieczenia są wdrożone, a które nie i dlaczego.
- Wdrożenie nowych kontroli: Nowa norma wprowadza 11 nowych zabezpieczeń. Sprawdź, czy są one dla Ciebie istotne i w razie potrzeby, wdroż je w swojej organizacji. Przykładowo, jeśli korzystasz z usług chmurowych, konieczne może być wdrożenie kontroli dotyczących ich bezpieczeństwa.
- Szkolenie pracowników: Zmiany w normie mogą mieć wpływ na codzienne procedury. Upewnij się, że pracownicy są świadomi nowych wymagań i przeszkol ich zaktualizowanych procedur.
Etap 3: Audyt certyfikujący – Ostatni krok
Po wdrożeniu wszystkich zmian, nadszedł czas na audyt certyfikujący. Audytorzy ocenią, czy Twój zaktualizowany SZBI spełnia wymagania ISO 27001:2022. Audyt przejściowy musi zostać zakończony do października 2025 roku, aby zachować ciągłość certyfikacji. Po tej dacie, certyfikaty 2013 przestają być ważne.