ISO normy pre kybernetickú bezpečnosť

Keď firma spomenie „ISO normu pre bezpečnosť", takmer vždy má na mysli ISO/IEC 27001. V skutočnosti je to len certifikovateľné jadro oveľa väčšej rodiny noriem ISO/IEC 27000, ktorá má vyše desiatku členov — a kybernetickej bezpečnosti sa týka aj rad ďalších ISO noriem mimo tejto rodiny. Tento článok ich prehľadne zoraďuje a vysvetľuje, čo ktorá rieši.

Prečo ISO/IEC 27001 nie je jediná relevantná norma

ISO/IEC 27001 definuje požiadavky na systém riadenia informačnej bezpečnosti (ISMS) a je jedinou normou v rodine, na ktorú sa dá získať samostatný certifikát. Práve preto sa v bežnej reči stala synonymom pre „ISO bezpečnosť" ako celok. Zvyšok rodiny ISO/IEC 27000 — vyše desiatka noriem — pritom rieši konkrétnejšie témy: katalóg opatrení, riadenie rizík, riadenie incidentov, vzťahy s dodávateľmi, cloudové služby či ochranu súkromia. A kybernetickej bezpečnosti sa týkajú aj normy úplne mimo tejto rodiny, napríklad hodnotenie bezpečnosti IT produktov alebo riadenie kontinuity činností.

Najdôležitejšie normy v rodine ISO/IEC 27000

Rodinu vydáva spoločný technický výbor ISO a IEC (ISO/IEC JTC 1/SC 27). Nasledujúca tabuľka zhŕňa jej najpoužívanejšie členy:

Ide o výber tých najpoužívanejších — kompletná rodina má ešte ďalšie, užšie zamerané normy (napríklad pre konkrétne odvetvia alebo audítorské postupy). Presné aktuálne vydania nájdete v prehľadnej tabuľke na konci článku.

Certifikovateľné vs. usmerňujúce normy — kde 27001 stojí osamote

V rodine platí dôležité rozlíšenie, ktoré sa firmám často popletie:

• ISO/IEC 27001 je jediná norma so samostatnou, nezávislou certifikáciou — firma získava certifikát priamo na túto normu.
• ISO/IEC 27017, 27018 a 27701 sú navrhnuté ako rozšírenia — nedajú sa certifikovať samostatne, ale certifikačný orgán ich vie auditovať a potvrdiť ako rozšírenie existujúceho certifikátu ISO/IEC 27001 (rozšírené vyhlásenie o aplikovateľnosti).
• ISO/IEC 27002, 27005, 27032, 27035 a 27036 sú čisto usmerňujúce dokumenty (odporúčania a metodiky) bez vlastnej certifikačnej schémy — firma ich využíva ako podklad pri budovaní ISMS, certifikát na ne samostatne nezíska.

ISO normy mimo rodiny 27000, ktoré sa tiež týkajú kybernetickej bezpečnosti

Kybernetickú a informačnú bezpečnosť pokrýva aj rad noriem, ktoré do rodiny 27000 formálne nepatria — aj tu sa certifikovateľnosť líši normu od normy:

• ISO/IEC 15408 (Common Criteria) — viacdielna norma pre hodnotenie bezpečnosti IT produktov (napríklad čipových kariet, firewallov či operačných systémov). Certifikovateľná je, no na úrovni produktu cez národné certifikačné schémy (uznávané v rámci Common Criteria Recognition Arrangement), nie na úrovni organizácie.
• ISO 22301 — systém riadenia kontinuity činností (business continuity); rieši, ako firma zvládne fungovať počas a po výpadku alebo incidente, a bežne sa buduje popri ISMS. Certifikovateľná — funguje rovnako ako ISO/IEC 27001, firma získava samostatný certifikát na úrovni organizácie.
• ISO 31000 — všeobecné usmernenie pre riadenie rizík naprieč celou organizáciou, nielen v IT; z jeho princípov vychádza aj metodika v ISO/IEC 27005. Nie je certifikovateľná — norma sama výslovne uvádza, že nie je určená na certifikačné účely (aj keď sa niektoré certifikačné orgány snažia certifikáty na ňu ponúkať).
• ISO/IEC 29100 — rámec pre ochranu súkromia (privacy framework), ktorý definuje spoločnú terminológiu a princípy využívané aj v ISO/IEC 27701. Nie je certifikovateľná, ide o informatívny rámec.
• ISO/IEC 20243 (O-TTPS) — norma pre integritu produktov a bezpečnosť dodávateľského reťazca v IT, pôvodne vyvinutá združením The Open Group a následne prijatá ako medzinárodná norma ISO/IEC. Certifikovateľná — The Open Group vedie vlastný certifikačný program a verejný register certifikovaných poskytovateľov.
• ISO/IEC 29147 a ISO/IEC 30111 — dvojica noriem pre zverejňovanie zraniteľností a interné procesy ich riešenia; využívajú ich najmä výrobcovia softvéru a hardvéru s vlastným PSIRT tímom alebo programom hlásenia zraniteľností. Nie sú certifikovateľné, ide o usmernenia bez certifikačnej schémy.

IEC 62443: príbuzná norma pre OT, ktorá nie je ISO

Pri priemyselných a výrobných firmách sa v súvislosti s bezpečnosťou často spomína aj IEC 62443 (bežne označovaná aj ako ISA/IEC 62443) — séria noriem pre bezpečnosť priemyselných automatizačných a riadiacich systémov (OT/ICS), o ktorých sme písali aj v článku o modeloch zrelosti v praxi a v článku o OT vs. IT bezpečnosti. Formálne však nejde o normu ISO, ale o normu Medzinárodnej elektrotechnickej komisie (IEC) vyvíjanú v spolupráci so združením ISA — ISO a IEC sú dve samostatné, aj keď úzko spolupracujúce medzinárodné normalizačné organizácie. Pri obstarávaní alebo tendroch v priemyselnom prostredí sa preto oplatí rozlišovať, či partner žiada skutočne ISO certifikáciu, alebo súlad s IEC 62443.

Certifikovateľná je — nie však cez ISO/IEC, ale cez samostatné akreditované certifikačné schémy tretích strán. Certifikácia sa pritom udeľuje na rôznych úrovniach podľa konkrétnej časti normy: bezpečnostný program organizácie (napr. IEC 62443-2-1), zabezpečenie systému ako celku (IEC 62443-3-3) alebo jednotlivé komponenty a produkty (IEC 62443-4-1/4-2).

Časté chyby a odporúčania

• Zamieňanie ISO 27001 s GDPR súladom — certifikát ISMS nie je automaticky dôkazom súladu s GDPR; ochrane súkromia sa venuje samostatné rozšírenie ISO/IEC 27701.
• Prezentovanie usmerňujúcich noriem ako certifikácie — normy ako ISO/IEC 27002 alebo 27005 nemajú vlastnú certifikačnú schému, aj keď sa na ne firmy niekedy odvolávajú rovnako sebavedomo ako na 27001.
• Ignorovanie relevantných rozšírení — poskytovateľ cloudových služieb bez ISO/IEC 27017/27018 alebo firma spracúvajúca veľa osobných údajov bez ISO/IEC 27701 prichádza o dôveryhodný spôsob, ako svoj prístup preukázať zákazníkom.
• Zámena IEC 62443 za ISO normu — v priemyselnom prostredí sa oplatí presne rozlišovať, ktorá norma sa od dodávateľa vyžaduje, keďže ide o odlišné normalizačné organizácie s odlišnými certifikačnými schémami.

Na záver prehľad všetkých spomínaných noriem s ich aktuálne platným vydaním a s vyznačením, čo sa dá skutočne certifikovať (stav k septembru 2026) — vrátane normy pre OT/priemyselné systémy:

IEC 62443 je viacdielna séria a jednotlivé časti sa vydávajú a revidujú nezávisle od seba — preto pri nej neexistuje jeden spoločný rok vydania ako pri ostatných normách v tabuľke; certifikáciu navyše nezabezpečuje priamo ISO ani IEC, ale samostatné akreditované certifikačné schémy.