ISO/IEC 27001

Co je ISO/IEC 27001?

ISO/IEC 27001 je mezinárodní standard Mezinárodní organizace pro normalizaci (ISO) a Mezinárodní elektrotechnické komise (IEC), který definuje požadavky na Information Security Management System (ISMS) — systém řízení informační bezpečnosti. Aktuální verze ISO/IEC 27001:2022 obsahuje v Annex A 93 bezpečnostních kontrol rozdělených do 4 témat (organizační, personální, fyzické, technologické).

Certifikace podle ISO 27001 je dobrovolná, ale v B2B se stává de facto povinnou — většina enterprise zákazníků ji vyžaduje při výběru SaaS dodavatele. Proces certifikace se skládá z:

1. Gap analýza vůči požadavkům normy
2. Implementace ISMS — politiky, procedury, kontroly
3. Interní audit
4. Certifikační audit akreditovanou autoritou (v ČR např. CIS, Bureau Veritas, TÜV SÜD)
5. Re-certifikace každé 3 roky, dozorový audit každý rok

Klíčové oblasti Annex A 2022:

• A.5 Organizační kontroly — politiky, role, dodavatelé
• A.6 Personální kontroly — prověřování, disciplína
• A.7 Fyzické kontroly — přístup do budov, datacenter
• A.8 Technologické kontroly — kryptografie, logování, přístupy

Kdy se používá

ISO 27001 je relevantní pro:

• SaaS poskytovatele — zákazníci ji vyžadují
• Finanční instituce a fintech
• Veřejnou správu — povinná při některých projektech
• Zdravotnictví a kritickou infrastrukturu

Viz stránku Bezpečnost.

Související pojmy

• GDPR — ISO 27001 výrazně pomáhá s GDPR compliance. Viz /cs/slovnik/gdpr.
• RBAC — technická kontrola z Annex A. Viz /cs/slovnik/rbac.
• SSO — častá technologická kontrola. Viz /cs/slovnik/sso.

V Modulario

Modulario implementuje ISO 27001 kontroly ve svých cloudových operacích — šifrování dat v klidu a při přenosu, RBAC, audit logování, incident response proces. Detaily o certifikacích a subprocesorech najdete na /bezpecnost.

Modulario jako SaaS vendor dodává zákazníkům SOC 2 a ISO 27001 reporting, aby usnadnil compliance audity. Zákazníci dostávají sub-procesor list, penetrační testy a dokumentaci bezpečnostních incidentů — vše je k dispozici v zákaznickém portálu.

V ČR existují i další relevantní certifikace — ISO/IEC 27701 (rozšíření o ochranu osobních údajů), ISO 9001 (kvalita) a TISAX (automotive). Moderní SaaS firmy často kumulují více certifikátů, aby obstály při enterprise a veřejném B2B prodeji.