ISO 27001 i 27002: system zarządzania bezpieczeństwem informacji
Co system zarządzania bezpieczeństwem informacji zmienia dla pracownika i dla zarządu, z wykorzystaniem zasobów NIST i NCSC.
W 30 sekund
- Gdzie to występuje
- W każdej organizacji, która zarządza ryzykiem cybernetycznym w uporządkowany sposób, zarówno na poziomie zarządu, jak i zespołów.
- Do czego to służy
- Do wyboru zabezpieczeń na podstawie rzeczywistych ryzyk organizacji, a nie po to, by odhaczyć wymóg2.
- Odruch
- Jeśli jakaś aktywność lub zachowanie wydaje się Państwu podejrzane, należy to zgłosić, ponieważ samo zgłoszenie ma znaczenie7.
O co chodzi
Ta karta informacyjna dotyczy zarządzania bezpieczeństwem informacji w organizacji (SZBI) z punktu widzenia pracownika i zarządu. Tylko jedno z cytowanych tu źródeł wspomina o normie ISO, a mianowicie o ISO/IEC 27001:20221.
Cytowane tu źródła pochodzą z amerykańskich i brytyjskich instytucji publicznych (NIST, NCSC, CISA). Nie przytaczają one tekstu norm ISO, tekstu dyrektywy NIS 2 ani publikacji ANSSI. Te kwestie nie są więc tu opisane: karta ogranicza się do tego, co te źródła ustalają na temat zarządzania ryzykiem, roli zarządu i zbiorów zabezpieczeń.
Pytania wprost
Czym w praktyce jest SZBI?
Cytowane tu źródła nie definiują tego terminu. NCSC opisuje zbliżone podejście: podstawowe pojęcia, a następnie ogólne kroki, które mogą stanowić fundament dowolnego procesu zarządzania ryzykiem cybernetycznym2.
Jaki jest związek z ISO 27001 i 27002?
Cytowane tu źródła nie opisują tych norm. Wspomina o nich tylko jedno: NIST publikuje tabelę odpowiedniości między swoim katalogiem zabezpieczeń SP 800-53 Rev. 5 a ISO/IEC 27001:20221. NIST dodaje, że te tabele dają ogólną wskazówkę co do zakresu pokrycia, że nie należy na ich podstawie zakładać równoważności i że odpowiedniki nie zawsze są ustalane jeden do jednego1.
Co powinien robić zarząd?
NCSC przygotowało zestaw narzędzi dla rad dyrektorów. Towarzyszy on kodeksowi dobrych praktyk w zakresie zarządzania cyberbezpieczeństwem i ma pomóc radom włączyć odporność oraz zarządzanie ryzykiem w ludzi, systemy, procesy i technologie organizacji3.
Co powinien robić pracownik?
CISA zalicza do podstawowej higieny silne hasła, aktualizowanie oprogramowania, ostrożność wobec podejrzanych linków i uwierzytelnianie wieloskładnikowe7. Pisze, że te podstawy dotyczą zarówno osób prywatnych, jak i organizacji7. Zachęca także do zgłaszania każdego podejrzanego zachowania7.
1Co się zmienia dla pracowników1 min
Dla pracownika system zarządzania widać przede wszystkim w codziennych zasadach i w tym, że wiadomo, do kogo się zwrócić. CISA wymienia podstawowe nawyki higieny: silne hasła, aktualizacje, ostrożność wobec linków, uwierzytelnianie wieloskładnikowe7. Proponuje też szkolenia i warsztaty, na przykład warsztat wprowadzający dla lokalnych liderów o typowych zagrożeniach i podstawowych praktykach7.
Zgłaszanie jest częścią tego podejścia. CISA twierdzi, że każdy może pomóc odeprzeć zagrożenie, zgłaszając podejrzaną aktywność lub dziwne zachowanie7. Cytowane tu źródła nie podają wewnętrznej procedury konkretnej firmy: zależy ona od organizacji i to ona ją komunikuje.
2Co się zmienia dla zarząduZarząd1 min
NCSC pisze, że główną siłą napędową zarządzania ryzykiem cybernetycznym powinna być poprawa wyników działalności. Opowiada się za zarządzaniem, „które ukazuje rzeczywiste ryzyka cybernetyczne” organizacji, a nie za technikami, które mają jedynie spełnić wymogi zgodności2. Zaznacza, że jego poradnik nie ma charakteru nakazowego i że żadna technika nie pasuje do wszystkich sytuacji2.
Dla rad dyrektorów NCSC opublikowało zestaw narzędzi zbudowany wokół Cyber Governance Code of Practice. Zawiera on dwa moduły wprowadzające, w tym jeden dla osób dopiero poznających cyberbezpieczeństwo, oraz dokument z pytaniami, które rada może zadawać, aby ocenić działanie organizacji3.
W poradniku SP 800-30 Rev. 1 (wrzesień 2012) NIST opisuje analizę ryzyka jako element całościowego procesu zarządzania ryzykiem, który dostarcza kierownictwu informacji potrzebnych do podejmowania decyzji4.
3Co mówi tekstTekst urzędowy1 min
Cytowane tu źródła nie zawierają tekstów ISO: ich dokładna treść (wymagania, zabezpieczenia, zakres, deklaracja stosowania, przebieg certyfikacji) nie jest więc tu streszczana.
Źródła podają natomiast informacje o pokrewnych zbiorach zabezpieczeń. Katalog NIST SP 800-53 Rev. 5 (opublikowany we wrześniu 2020) gromadzi zabezpieczenia bezpieczeństwa i ochrony prywatności, które chronią działalność, zasoby i ludzi przed różnymi zagrożeniami, w tym atakami celowymi, błędami ludzkimi i klęskami żywiołowymi1. Obejmuje on rodziny zabezpieczeń, takie jak kontrola dostępu, uświadamianie i szkolenie, reagowanie na incydenty czy ocena ryzyka1.
Cybersecurity Framework NIST w wersji 2.0 jest przedstawiany jako narzędzie do ograniczania ryzyk cybernetycznych, z przewodnikami szybkiego startu, profilami i tabelami odpowiedniości z innymi zasobami5. Przewodnik startowy przeznaczony dla małych i średnich przedsiębiorstw oferuje zasoby do uruchomienia strategii zarządzania ryzykiem6.
NIST oferuje wreszcie internetowe narzędzie referencyjne o cyberbezpieczeństwie i ochronie prywatności, CPRT8.
4Stan wdrożenia1 min
Żadne z cytowanych tu źródeł nie dotyczy stosowania NIS 2, przepisów europejskich ani zasobów ANSSI. Żadne nie podaje czasu trwania ani harmonogramu certyfikacji ISO 27001. Te kwestie wymagają jeszcze udokumentowania w odpowiednich źródłach.
Oto, co źródła pozwalają powiedzieć o stanie cytowanych zbiorów zabezpieczeń: NIST opublikował 27 sierpnia 2025 roku mniejszą wersję SP 800-53, oznaczoną 5.2.0, z nowymi zabezpieczeniami i zmianami w już istniejących1. Udostępnił też trzy wprowadzające kursy do samodzielnej nauki o katalogu SP 800-53, jego procedurach oceny (SP 800-53A) i poziomach bazowych (SP 800-53B)6. NCSC wskazuje dla swojego zestawu narzędzi wersję 3.0, przejrzaną 8 kwietnia 2025 roku3.
Karta
- Identyfikator
- CP-376
- Skrzydło
- 6. Ład korporacyjny i GRC
- Kompetencja Brain
- Chronić dane (safeguard_data)
- Odruch Brain
- cr-032
- Schemat
- G3 · Przekrój anatomiczny
- Języki
- de, en, es, fr, it, nl, pl, pt
- Źródła
- Źródła sprawdzone 3 listopada 2026: 8
ŹródłaŹródła: 8
- NIST, „Security and Privacy Controls for Information Systems and Organizations”. https://csrc.nist.gov/pubs/sp/800/53/r5/upd1/final (dostęp 3 listopada 2026)
- NCSC (Royaume-Uni), „Risk management”, 23 czerwca 2023. https://www.ncsc.gov.uk/collection/risk-management (dostęp 3 listopada 2026)
- NCSC (Royaume-Uni), „Cyber Security Toolkit for Boards”, 30 marca 2023. https://www.ncsc.gov.uk/collection/board-toolkit (dostęp 3 listopada 2026)
- NIST, „Guide for Conducting Risk Assessments”. https://csrc.nist.gov/pubs/sp/800/30/r1/final (dostęp 3 listopada 2026)
- NIST, „Cybersecurity Framework”. https://www.nist.gov/cyberframework (dostęp 3 listopada 2026)
- NIST, „CSF 2.0 Resources”, 6 marca 2024. https://www.nist.gov/cyberframework/resources (dostęp 3 listopada 2026)
- CISA, „Cybersecurity Best Practices”. https://www.cisa.gov/topics/cybersecurity-best-practices (dostęp 3 listopada 2026)
- NIST, „Cybersecurity and Privacy Reference Tool CPRT”. https://csrc.nist.gov/projects/cprt/catalog (dostęp 3 listopada 2026)
Zacytuj ten artykuł
Brain, „ISO 27001 i 27002: system zarządzania bezpieczeństwem informacji”, Cyberpedia, 2026. https:/
BibTeX
@misc{brain_cp376_pl_2026,
author = {Brain},
title = {ISO 27001 i 27002: system zarządzania bezpieczeństwem informacji},
year = {2026},
howpublished = {Cyberpedia},
url = {https://startbrain.io/cyberpedia/pl/articles/iso-27001-27002-szbi/},
note = {CC BY 4.0}
}