Baza wiedzy / Cyberbezpieczeństwo
ISO 27001 gap analysis – jak przygotować organizację?
Analiza luk ISO/IEC 27001:2022: klauzule 4–10, ocena ryzyka, SoA, zabezpieczenia Załącznika A, dokumentacja i plan działań.
Autor: Michał Matuszczyk · Opublikowano:
Odpowiedź w skrócie: gap analysis ISO/IEC 27001:2022 porównuje faktyczny sposób zarządzania bezpieczeństwem informacji z wymaganiami normy. Wynikiem jest rejestr luk, zestaw dowodów i kolejność działań. Nie jest to certyfikacja.
Od czego rozpocząć analizę luk ISO 27001?
Najpierw ustala się kontekst organizacji i zakres SZBI. Następnie weryfikuje wymagania klauzul 4–10, proces oceny i postępowania z ryzykiem oraz dobór i uzasadnienie zabezpieczeń Załącznika A. Weryfikacja powinna obejmować faktyczne działanie procesów i istniejące dowody, a nie wyłącznie obecność dokumentów.
Jakie materiały przygotować?
- zakres SZBI, procesy i interesariusze;
- metodologia i rejestr ryzyka;
- deklaracja stosowania (Statement of Applicability, SoA);
- polityki, procedury, dokumentacja nadzoru i szkoleń;
- dowody działania zabezpieczeń i obsługi incydentów;
- wyniki audytów wewnętrznych i przeglądów zarządzania, jeśli są dostępne.
Jak wygląda raport z gap analysis?
Dla każdej luki wskazuje wymaganie, stan obecny, dowód lub brak dowodu, znaczenie dla ryzyka, osobę odpowiedzialną, rekomendowane działanie oraz kryterium zamknięcia. Pomaga to przygotować realistyczny harmonogram wdrożenia.
Gap analysis a certyfikacja
MSecure może pomóc ustanowić i ocenić SZBI. Certyfikat ISO/IEC 27001 wydaje niezależna, właściwa jednostka certyfikująca. Zobacz także usługę ISO 27001 w MSecure oraz informacje ISO o standardzie.
O autorze
Michał Matuszczyk – audytor wiodący ISO/IEC 27001:2022, konsultant cyberbezpieczeństwa i wykładowca akademicki. Profil i doświadczenie autora.
Powiązane tematy
Audyty cyberbezpieczeństwa · ISO 27001 · Jak wybrać firmę audytorską
Materiał informacyjny, nie zastępuje indywidualnej oceny bezpieczeństwa ani opinii prawnej.