Огляд структури стандарту ISO/IEC 27001
Призначення
ISO/IEC 27001 визначає вимоги до системи управління інформаційною безпекою (СУІБ). Організація встановлює її межі, оцінює ризики, впроваджує заходи, перевіряє результативність і вдосконалює процеси. Стандарт застосовний до організацій різного розміру й секторів.
Навігація основною частиною
Пункти 1–3 задають сферу, нормативні посилання і терміни. Пункт 4 стосується контексту організації; 5 — лідерства; 6 — планування; 7 — підтримки; 8 — операційної діяльності; 9 — оцінювання результативності; 10 — поліпшення. Ця структура допомагає розподілити матеріали навчального курсу за процесами СУІБ.
Додаток A і пов’язаний стандарт
Додаток A редакції 2022 містить 93 контролі: 37 організаційних, 8 пов’язаних із людьми, 14 фізичних та 34 технологічних. ISO/IEC 27002:2022 дає настанови щодо контролів. Вибір заходів має спиратися на оброблення ризиків; сама наявність переліку не доводить відповідність СУІБ.
Навчальне опрацювання
Розгляньте приклад організації та визначте межі СУІБ, активи, ризики й потрібні заходи. Підготуйте навчальний фрагмент заяви про застосовність з обґрунтуваннями, потім приклади доказів виконання та внутрішнього аудиту. Мапа назв контролів служить покажчиком для читання стандарту.
Редакція і статус перекладу
Офіційна сторінка ISO вказує поправку Amd 1:2024 щодо кліматичних змін. Для практичної роботи використовуйте належну редакцію стандарту з поправками. Українські назви в матеріалах проєкту є робочими редакційними відповідниками; вони не позначаються як офіційний переклад ISO або ДСТУ.
Джерела
ISO/IEC 27001:2022 і поправка 2024: https://www.iso.org/standard/27001
ISO/IEC 27002:2022: https://www.iso.org/standard/75652.html
ENISA, Technical implementation guidance, червень 2025, примітка 4, с. 10: Resources/ENISA/ENISA_Technical_implementation_guidance_on_cybersecurity_risk_management_measures_version_1.0.pdf