Oprogramowanie ISMS
dla ISO 27001

ISO/IEC 27001 to uznana międzynarodowo norma dla systemów zarządzania bezpieczeństwem informacji (ISMS). Określa, jak organizacja systematycznie planuje, wdraża, monitoruje i doskonali bezpieczeństwo informacji — z oceną ryzyka jako rdzeniem i 93 zabezpieczeniami z załącznika A jako katalogiem środków; wskazówki wdrożeniowe do nich daje ISO/IEC 27002:2022. Aktualne wydanie to ISO/IEC 27001:2022.

Oprogramowanie ISMS odwzorowuje składniki systemu zarządzania bezpieczeństwem informacji w jednym modelu danych — zakres, aktywa, wymagania, ryzyka, zabezpieczenia i dowody — i wiąże je ze sobą. Zamiast ręcznie utrzymywać spójność arkuszy i dokumentów, utrzymujesz każdy obiekt raz, a raporty takie jak deklaracja stosowania powstają z danych.

Co najmniej: wymagania ISO/IEC 27001:2022 i zabezpieczenia z załącznika A ze statusem wdrożenia, strukturę aktywów z zależnościami, analizę i postępowanie z ryzykiem z konfigurowalną macierzą ryzyka, środki z osobami odpowiedzialnymi i terminami, dowody przy obiekcie, deklarację stosowania, raporty do przeglądu zarządzania i audytu — oraz interfejsy do systemów, w których Twoje aktywa i zadania już się znajdują.

Tak. Wymagania ISO/IEC 27001:2022 i 93 zabezpieczenia z załącznika A normy są zawarte jako katalog — ze wskazówkami wdrożeniowymi z ISO/IEC 27002:2022 — i oceniane na Twoim drzewie aktywów. Gdy pojawi się nowe wydanie normy, katalog jest aktualizowany; istniejące oceny i dowody przenoszą się razem z nim.

Tak. SoA powstaje na podstawie wymagań i zabezpieczeń: dla każdego zabezpieczenia dokumentuje się stosowalność, uzasadnienie i status wdrożenia, a raport jest z tego generowany — przy audycie początkowym i przed każdym audytem nadzoru, bez pisania deklaracji od nowa.

Zagrożenia identyfikuje się dla każdego aktywu — ze standardowych lub własnych katalogów zagrożeń — i ocenia w konfigurowalnej macierzy ryzyka. Dla każdego ryzyka ustala się opcję postępowania i środki; ryzyko brutto i szczątkowe można śledzić w czasie, a plan postępowania z ryzykiem jest generowany jako raport.

Tak — jako przewodnik, nie normę certyfikacyjną: ISO/IEC 27005 opisuje proces zarządzania ryzykiem bezpieczeństwa informacji, którego wymaga ISO/IEC 27001. Complaica odwzorowuje ten proces: ryzyka identyfikuje się, analizuje i ocenia dla każdego aktywu, dla każdego ryzyka ustala się opcję postępowania, zabezpieczenia i środki, a ryzyko szczątkowe pozostaje powiązane z aktywem, ryzykiem i dowodami. Certyfikacja według ISO/IEC 27005 nie istnieje; wyniki zasilają plan postępowania z ryzykiem i SoA do audytu ISO 27001.

Tak. Complaica importuje i eksportuje dane z Excela i do Excela, przez REST API oraz z innych narzędzi ISMS; migracja Twoich danych jest bezpłatna i prowadzona przez naszych specjalistów. Dzięki temu oceniasz narzędzie na własnym zbiorze danych, a nie na danych demonstracyjnych.

Tak. TISAX, BSI IT-Grundschutz, NIS2, RODO, ISO 22301 i inne normy ocenia się na tym samym modelu zakresu, korzystając z tych samych aktywów, ryzyk, środków i dowodów. To, co udokumentowano dla ISO 27001, liczy się także dla pozostałych norm.

Tak, w obu wariantach. Wariant SaaS jest hostowany w Niemczech; on-premises uruchamiasz Complaica we własnej infrastrukturze. Licencja kosztuje tyle samo w obu przypadkach.

Przez REST API systemy zarządzania aktywami i CMDB, takie jak i-doit, GLPI, FNT Command i inne, a także Jira, SAP i Microsoft Azure. Dane aplikacji są dostępne przez data marty dla zewnętrznych systemów analitycznych i raportowych, a przez MCP można podłączyć asystenta AI.

Dowody znajdują się przy obiekcie, który potwierdzają, a raporty — SoA, plan postępowania z ryzykiem, status wdrożenia — są generowane z aktualnego zbioru danych. Pulpity pokazują stan przed audytem, a audytorom zewnętrznym można przyznać ukierunkowany dostęp. Ponieważ ten sam zbiór danych pracuje dalej, audyty nadzoru i recertyfikacja po trzech latach są przygotowywane z bieżącej pracy. Samą certyfikację przeprowadza niezależna jednostka certyfikująca.

Dla każdej organizacji, która przetwarza informacje poufne i chce to wykazać klientom, partnerom lub organom nadzoru — niezależnie od wielkości i branży. Jest szczególnie rozpowszechniona wśród dostawców usług IT i chmurowych, dostawców branż regulowanych, operatorów infrastruktury krytycznej i firm objętych NIS2 lub TISAX: ISMS zgodny z ISO 27001 pokrywa także dużą część tych wymagań.

Prawo jej nie nakazuje. W praktyce staje się obowiązkowa poprzez umowy i przetargi — wielu klientów wymaga certyfikatu jako dowodu — oraz pośrednio poprzez regulacje takie jak NIS2, KRITIS czy DORA, które wymagają ISMS; ISO 27001 to zwyczajowa droga, by prowadzić ten ISMS w sposób wykazywalny.

Koszty składają się z trzech części: nakładu na budowę i utrzymanie ISMS (czas wewnętrzny, doradztwo, oprogramowanie), audytu certyfikacyjnego przez akredytowaną jednostkę i corocznych audytów nadzoru. Zależą przede wszystkim od wielkości zakresu, liczby lokalizacji i dojrzałości istniejących procesów. Complaica obniża pierwszą część: przygotowane treści, dowody generowane z danych i integracja AI oszczędzają większość pracy dokumentacyjnej. Cennik wyślemy na życzenie.

Zwykle od trzech do dwunastu miesięcy od startu do certyfikatu — zależnie od zakresu, istniejącej dokumentacji i dostępnych zasobów. Z przygotowanymi treściami i doradztwem mniejsze organizacje mieszczą się w dolnej granicy. Certyfikat jest ważny trzy lata, z corocznymi audytami nadzoru i następującą po nich recertyfikacją — Complaica utrzymuje zbiór danych w aktualności przez cały ten czas.