ISO 27001 w małej firmie: czy certyfikacja się opłaca, czy to fikcja dla korporacji?

Software house na 25 osób od trzech lat dowozi projekty dla dużego ubezpieczyciela. Współpraca układa się dobrze, aż do momentu, w którym przychodzi mail z działu zakupów klienta: ankieta zgodności na czterdzieści pytań, a w niej jedno bez pola „nie dotyczy”. Czy posiadacie certyfikat ISO 27001? Termin na odpowiedź: 90 dni, bo wtedy odnawiana jest umowa ramowa.

Właściciel otwiera normę pierwszy raz w życiu. Widzi 93 zabezpieczenia w Załączniku A, kilkanaście wymaganych dokumentów i słownictwo, które brzmi jak napisane dla firmy z własnym działem compliance. Pierwsza myśl jest zawsze ta sama: to nie jest zrobione dla nas.

To zrozumiała reakcja, ale niekoniecznie trafna. Norma ISO 27001 jest skalowalna, i to nie marketingowy frazes, a jej konstrukcyjna cecha. Problem polega na tym, że nikt tego małym firmom nie wyjaśnia. Poniżej rozkładamy wdrożenie na części: co realnie musisz zrobić, ile to trwa, ile kosztuje i w którym momencie warto powiedzieć „nie, to się nam nie opłaca”.

ISO 27001: co to właściwie jest

ISO/IEC 27001 to międzynarodowa norma opisująca, jak zbudować i utrzymać system zarządzania bezpieczeństwem informacji, w skrócie SZBI. Aktualne wydanie to ISO/IEC 27001:2022.

Kluczowe słowo to „zarządzania”. SZBI nie jest zestawem narzędzi do kupienia ani konfiguracją do wdrożenia. To sposób, w jaki firma podejmuje decyzje o ochronie informacji: identyfikuje, co ma do stracenia, ocenia, co może pójść nie tak, wybiera zabezpieczenia proporcjonalne do ryzyka, a potem sprawdza, czy to działa, i poprawia.

Stąd wynika najczęstsze nieporozumienie. Norma ISO 27001 nie mówi „kup EDR i menedżer haseł”. Mówi: udowodnij, że wiesz, jakie masz ryzyka, i że twoja reakcja na nie jest przemyślana. Firma na 25 osób i korporacja na 5000 osób realizują ten sam standard, ale w zupełnie innej skali dokumentacji i zabezpieczeń, bo mają inne ryzyka.

I jedna rzecz, która oszczędza wielu firmom niepotrzebnej paniki: nie wdraża się wszystkich 93 zabezpieczeń z Załącznika A. O tym za chwilę.

Czy ISO 27001 jest obowiązkowe?

Nie. W Polsce nie ma przepisu, który nakazywałby firmom posiadanie certyfikatu ISO 27001. Certyfikacja jest dobrowolna.

Ale „dobrowolna” nie znaczy „opcjonalna”, jeśli po drugiej stronie stołu siedzi klient korporacyjny, zamawiający publiczny albo instytucja finansowa. Coraz częściej certyfikat pojawia się jako:

• warunek udziału w przetargu lub kryterium oceny ofert,
• wymóg w umowie ramowej z dużym kontrahentem,
• element ankiety bezpieczeństwa dostawcy, od której zależy przedłużenie współpracy.

W tym sensie ISO 27001 przestaje być kwestią bezpieczeństwa, a staje się kwestią sprzedaży. To ważne rozróżnienie, bo zmienia sposób liczenia opłacalności: nie porównujesz kosztu certyfikacji do ryzyka incydentu, ale do wartości kontraktów, których bez niej nie podpiszesz.

ISO 27001 a NIS2

Tu warto uważać, bo te dwie rzeczy mieszają się w firmach najczęściej. NIS2 to obowiązek prawny, wynikający z dyrektywy unijnej i wdrażającej ją nowelizacji ustawy o krajowym systemie cyberbezpieczeństwa. Jeśli twoja firma podlega NIS2, musisz spełnić jej wymagania niezależnie od tego, czy masz jakikolwiek certyfikat.

ISO 27001 to natomiast dobrowolny standard, który pomaga te obowiązki spełnić i udokumentować. Wdrożony SZBI pokrywa większość tego, czego NIS2 oczekuje w zakresie zarządzania ryzykiem, i daje uporządkowaną dokumentację, którą można pokazać w razie kontroli. Certyfikat nie zwalnia z obowiązków ustawowych, ale znacznie skraca drogę do ich wypełnienia.

Jeśli nie masz pewności, czy NIS2 dotyczy twojej firmy, sprawdź to najpierw. Wyjaśnialiśmy to w osobnym artykule. Podobnie z sektorem finansowym i jego dostawcami, których obejmuje rozporządzenie DORA.

ISO 27001 a RODO

Certyfikat ISO 27001 nie oznacza zgodności z RODO i jej nie zastępuje. Zakresy się przecinają, ale nie pokrywają: RODO chroni dane osobowe i nadaje prawa osobom, których dane dotyczą, a ISO 27001 obejmuje wszystkie informacje istotne dla firmy, również kod, know-how, dane klientów biznesowych i umowy.

Zależność działa w jedną stronę: dobrze wdrożony SZBI daje solidną podstawę techniczną i organizacyjną, na której łatwiej wykazać, że wdrożyłeś „odpowiednie środki” wymagane przez RODO. Ale rejestr czynności przetwarzania, podstawy prawne czy obsługa żądań osób nadal są osobnym tematem.

Co obejmuje wdrożenie ISO 27001 w firmie na 10-50 osób

Wdrożenie ISO 27001 składa się z dwóch warstw: wymagań samej normy (rozdziały 4-10, obowiązkowe w całości) i zabezpieczeń z Załącznika A, wybieranych na podstawie ryzyka. W praktyce, w firmie tej wielkości, sprowadza się to do kilku konkretnych rzeczy.

Określenie zakresu SZBI. Decydujesz, co obejmuje system: całą firmę, czy tylko konkretny dział lub usługę. To pierwsza i najbardziej niedoceniana decyzja kosztowa. Zakres zawężony do jednego zespołu i jednej usługi to znacznie mniej pracy niż certyfikacja całej organizacji, a bardzo często w pełni zaspokaja wymóg klienta. Warto sprawdzić, czego on faktycznie oczekuje, przed podjęciem tej decyzji.

Inwentaryzacja aktywów informacyjnych. Lista tego, co masz do ochrony: systemy, dane, dostawcy, urządzenia. W małej firmie to zwykle arkusz na kilkadziesiąt pozycji, nie osobne narzędzie klasy GRC. Bardzo często to właśnie ten etap ujawnia problemy, o których nikt wcześniej nie wiedział: nieużywane konta z aktywnym dostępem, dane produkcyjne na prywatnym dysku, integracja z dostawcą, o której pamiętał tylko jeden programista.

Analiza i ocena ryzyka. Serce całego wdrożenia. Dla każdego istotnego aktywa określasz, co może się stać, jakie to miałoby skutki i jak prawdopodobne jest to zdarzenie. Metodyka może być prosta. Skala trzy- lub pięciostopniowa jest w pełni akceptowalna, o ile stosujesz ją konsekwentnie i potrafisz uzasadnić. Norma nie wymaga zaawansowanej matematyki, wymaga powtarzalności.

Plan postępowania z ryzykiem i Deklaracja Stosowania. Tutaj wracamy do 93 zabezpieczeń z Załącznika A, podzielonych na cztery grupy: organizacyjne, dotyczące ludzi, fizyczne i technologiczne. Nie wdrażasz ich wszystkich. Przechodzisz przez listę i dla każdego zabezpieczenia zapisujesz, czy je stosujesz i dlaczego, a jeśli nie, to na jakiej podstawie je wykluczyłeś. Ten dokument to Deklaracja Stosowania (Statement of Applicability, SoA) i jest obowiązkowy. Wykluczenia są normalne i oczekiwane: firma bez własnej serwerowni nie wdraża zabezpieczeń fizycznych centrum danych.

Polityki i procedury. Zestaw dokumentów, w małej firmie zwykle kilkanaście, nie kilkaset stron. Polityka bezpieczeństwa informacji, zasady kontroli dostępu, postępowanie z incydentami, praca zdalna, korzystanie z urządzeń, wymagania wobec dostawców. Kluczowe kryterium jakości: dokument musi opisywać to, co faktycznie robicie. Polityka skopiowana z internetu i niezgodna z praktyką jest gorsza niż jej brak, bo audytor wyłapie rozbieżność w pierwszej rozmowie z pracownikiem.

Szkolenie i świadomość. Norma wymaga, by ludzie objęci zakresem wiedzieli, czego się od nich oczekuje. Nie ma wymogu certyfikowanego szkolenia. Wystarczy udokumentowane przekazanie zasad i sprawdzenie, że dotarły.

Audyt wewnętrzny i przegląd zarządzania. Dwa obowiązkowe elementy, które muszą się odbyć przed audytem certyfikującym. Bez nich jednostka certyfikująca nie ma czego oceniać.

Jeśli chcesz zobaczyć, w których miejscach takie wdrożenie zwykle napotyka opór, przyda się nasz przegląd siedmiu najczęstszych luk wychodzących w audycie bezpieczeństwa IT. Osobnym wątkiem, który Załącznik A traktuje poważnie, jest ryzyko po stronie dostawców i komponentów. O tym pisaliśmy przy okazji SBOM. A ponieważ kontrola dostępu jest jednym z pierwszych zabezpieczeń, o które pyta każdy audytor, warto wcześniej uporządkować kwestię menedżera haseł w firmie.

Ile trwa i ile kosztuje certyfikacja ISO 27001

Koszt certyfikacji ISO 27001 rozkłada się na trzy strumienie, które trzeba liczyć osobno. To właśnie ich pomieszanie powoduje, że firmy słyszą skrajnie różne kwoty.

1. Przygotowanie SZBI. Największa i najbardziej zmienna pozycja. Możesz zrobić to samodzielnie, a wtedy kosztem jest czas twoich ludzi, realnie kilkadziesiąt do ponad stu godzin pracy osoby, która musi się tego równolegle nauczyć. Alternatywą jest wsparcie zewnętrzne, gdzie zakres bywa różny: od kilkudniowej konsultacji porządkującej kierunek, po prowadzenie całego projektu za rękę.

2. Audyt certyfikujący. Opłata dla akredytowanej jednostki certyfikującej, wyceniana głównie na podstawie liczby osób w zakresie, liczby lokalizacji i złożoności działalności. Audyt początkowy jest dwuetapowy: etap pierwszy to przegląd dokumentacji i gotowości, etap drugi to sprawdzenie, czy system faktycznie działa.

3. Utrzymanie. Certyfikat wydawany jest na trzy lata, ale nie jest bezobsługowy. W pierwszym i drugim roku odbywają się audyty nadzoru, w trzecim audyt recertyfikacyjny. Do tego dochodzi koszt wewnętrzny: co roku audyt wewnętrzny, przegląd zarządzania i aktualizacja analizy ryzyka. To pozycja, o której firmy zapominają przy pierwszej kalkulacji i która potem najbardziej boli.

Czas. Dla firmy 10-50 osób z rozsądnie zawężonym zakresem realny harmonogram to zwykle od trzech do sześciu miesięcy od startu do audytu certyfikującego, przy założeniu, że ktoś w firmie ma ten projekt w obowiązkach, a nie „po godzinach”. Terminy typu „certyfikat w 30 dni” oznaczają albo bardzo wąski zakres, albo dokumentację, która nie przejdzie etapu drugiego.

Audyt wewnętrzny a audyt certyfikujący: kto co robi

To rozróżnienie mylone jest wyjątkowo często, a ma konkretne konsekwencje finansowe i formalne.

Audyt wewnętrzny jest twoim obowiązkiem i twoim narzędziem. Sprawdzasz sam siebie: czy SZBI działa zgodnie z tym, co zapisałeś, i zgodnie z wymaganiami normy. Może go przeprowadzić pracownik, pod jednym warunkiem: nie może audytować obszaru, za który sam odpowiada. W firmie na 20 osób ten warunek bywa niewykonalny wewnętrznie, dlatego wiele małych organizacji zleca audyt wewnętrzny na zewnątrz. To dozwolone i powszechne.

Audyt certyfikujący przeprowadza wyłącznie niezależna jednostka certyfikująca, najlepiej akredytowana. I tu jest granica, o której warto wiedzieć wcześniej: ta sama firma nie może ci wdrożyć systemu i go certyfikować. Wymóg bezstronności jednostki certyfikującej to nie formalność, a fundament wiarygodności certyfikatu, dlatego doradca i audytor to zawsze dwa różne podmioty.

Praktyczny wniosek: planując budżet, zakładaj dwie osobne umowy z dwoma osobnymi dostawcami.

Czy mała firma da radę bez etatowego specjalisty

Da radę, ale rzadko od zera i rzadko bez pomocy przy pierwszym cyklu.

Rzeczy, które firma zwykle robi lepiej sama, bo wymagają wiedzy o własnym biznesie: określenie zakresu, inwentaryzacja aktywów, ocena skutków biznesowych poszczególnych ryzyk, decyzje o tym, co jest akceptowalne. Nikt z zewnątrz nie wie lepiej, ile realnie kosztowałby was tydzień przestoju.

Rzeczy, które warto oddać, bo są jednorazowe i wymagają doświadczenia z normą: metodyka analizy ryzyka, konstrukcja Deklaracji Stosowania, przygotowanie do etapu drugiego audytu, audyt wewnętrzny w pierwszym cyklu. Tu zewnętrzne wsparcie zwykle oszczędza więcej godzin, niż kosztuje, głównie dlatego, że skraca liczbę podejść do tych samych dokumentów.

Jest też trzeci obszar, najbardziej niedoceniany: stan infrastruktury. Duża część zabezpieczeń z Załącznika A to kwestie techniczne: kontrola dostępu, kopie zapasowe, aktualizacje, monitorowanie, segmentacja. Jeśli te rzeczy są w firmie nieuporządkowane, wdrożenie ISO 27001 nie będzie projektem dokumentacyjnym, tylko projektem modernizacyjnym z dokumentacją na końcu. Dlatego sensownym pierwszym krokiem, jeszcze przed decyzją o certyfikacji, jest rzetelna diagnoza tego, co faktycznie masz.

Zacznij od tego, co naprawdę masz

Najczęstszy błąd w projektach ISO 27001 w małych firmach to zaczynanie od dokumentów. Powstaje polityka, powstaje procedura, a potem okazuje się, że opisują rzeczywistość, której nie ma, a audytor wyłapuje to w pierwszej godzinie etapu drugiego.

Odwrotna kolejność jest tańsza. Najpierw ustal, jak faktycznie wygląda twoja infrastruktura, dostępy, kopie zapasowe i monitorowanie. Dopiero potem opisuj.

W Dataone zaczynamy właśnie od tego: audytu infrastruktury i bezpieczeństwa IT, który pokazuje realny punkt wyjścia i to, ile pracy dzieli cię od wymagań normy. Czasem wynik jest zaskakująco dobry. Czasem pokazuje, że certyfikacja to drugi krok, a pierwszy jest zupełnie inny. Lepiej wiedzieć to przed podpisaniem umowy z jednostką certyfikującą niż po.

Porozmawiajmy o punkcie wyjścia