ISO/IEC 27006 - wymagania dla jednostek certyfikujących ISO 27001 i ich wpływ na certyfikację organizacji

ISO/IEC 27006 - wymagania dla jednostek certyfikujących ISO 27001

Certyfikacja ISO 27001  kojarzy się przede wszystkim z wymaganiami stawianymi organizacjom, które chcą systemowo zarządzać bezpieczeństwem informacji poprzez identyfikację ryzyk, ocenę zagrożeń oraz wdrożenie odpowiednich kontroli i zabezpieczeń ograniczających prawdopodobieństwo wystąpienia incydentów bezpieczeństwa. Mało która organizacja zdaje sobie jednak sprawę, że również same jednostki certyfikujące ISO/IEC 27001 podlegają bardzo szczegółowym wymaganiom technicznym, organizacyjnym i kompetencyjnym.

Rynek certyfikacji systemów zarządzania jest rynkiem silnie regulowanym, nadzorowanym przez organy akredytujące, a jednocześnie bardzo konkurencyjnym. Wejście nowych jednostek certyfikujących na rynek wymaga spełnienia szeregu wymagań formalnych, kompetencyjnych i akredytacyjnych. Właśnie tym obszarem w zakresie certyfikacji systemów zarządzania bezpieczeństwem informacji zajmuje się norma ISO/IEC 27006.

Norma ISO/IEC 27006 to jeden z najważniejszych dokumentów dla jednostek oferujących akredytowaną certyfikację systemów zarządzania bezpieczeństwem informacji (SZBI). Określa wymagania, jakie musi spełnić jednostka certyfikująca, aby mogła prowadzić wiarygodną, kompetentną i akredytowaną certyfikację systemów zgodnych z ISO/IEC 27001.

W Certiget wspieramy organizacje w procesie związanym z certyfikacją ISO 27001 oraz wyborem odpowiedniej jednostki certyfikującej, dlatego analizujemy również wymagania norm takich jak ISO/IEC 27006 i śledzimy ich aktualizacje. Dzięki temu jesteśmy w stanie lepiej ocenić kompetencje jednostek certyfikujących, zakres ich akredytacji oraz co najważniejsze rzeczywistą wartość ofert dostępnych na rynku.

Czym jest ISO/IEC 27006?

ISO/IEC 27006 to międzynarodowa norma określająca wymagania dla jednostek certyfikujących systemy zarządzania bezpieczeństwem informacji zgodne z ISO/IEC 27001.

Pełna nazwa normy brzmi:

ISO/IEC 27006-1:2024 Information security, cybersecurity and privacy protection — Requirements for bodies providing audit and certification of information security management systems

Norma została opracowana jako rozszerzenie wymagań zawartych w ISO/IEC 17021, czyli podstawowej normie dla jednostek certyfikujących systemy zarządzania.

Można więc powiedzieć, że:

• ISO/IEC 17021 określa ogólne zasady działania jednostek certyfikujących,
• ISO/IEC 27006 dodaje specjalistyczne wymagania dotyczące certyfikacji ISO 27001.

Dlatego obie normy są ze sobą bezpośrednio powiązane i powinny być analizowane razem.

Powiązanie ISO 27006 z ISO 17021

ISO/IEC 27006 nie zastępuje normy ISO/IEC 17021, lecz stanowi jej rozwinięcie dla obszaru bezpieczeństwa informacji. Oznacza to, że jednostka certyfikująca ISO 27001 musi jednocześnie spełniać wymagania obu norm. W praktyce przekłada się to na bardziej rozbudowane wymagania dotyczące kompetencji auditorów, planowania audytów, analizy ryzyka oraz nadzoru nad procesem certyfikacji. To właśnie dlatego akredytacja dla certyfikacji ISO 27001 jest zwykle bardziej wymagająca niż w przypadku wielu innych norm systemowych, w tym ISO 9001 systemu zarządzania jakością.  

Kto jest odbiorcą normy ISO/IEC 27006?

Bezpośrednim odbiorcą normy są:

• jednostki certyfikujące ISO 27001,
• audytorzy jednostek certyfikujaych ISO 27001,
• organy akredytujące,

Pośrednio norma ma jednak bardzo duży wpływ również na organizacje korzystające z certyfikacji ISO 27001, ponieważ wpływa na jakość, wiarygodność i poziom techniczny całego procesu certyfikacji.

Dlaczego ISO 27006 jest ważna dla certyfikacji ISO 27001?

Norma ISO/IEC 27006 ma  znaczenie dla jakości i wiarygodności certyfikacji ISO 27001, ponieważ określa szczegółowe wymagania dla jednostek certyfikujących systemy zarządzania bezpieczeństwem informacji. Stanowi rozszerzenie normy ISO/IEC 17021 o wymagania sektorowe związane bezpośrednio z bezpieczeństwem informacji, cyberbezpieczeństwem oraz certyfikacją SZBI. Dzięki temu proces certyfikacji ISO 27001 jest bardziej ustandaryzowany, techniczny i nadzorowany.

Wpływ na jakość audytu

ISO/IEC 27006 wpływa bezpośrednio na jakość audytów certyfikacyjnych ISO 27001. Norma określa wymagania dotyczące planowania audytu, czasu jego trwania oraz oceny złożoności organizacji i ryzyk związanych z bezpieczeństwem informacji. Dzięki temu audyt ISO 27001 nie ogranicza się wyłącznie do sprawdzenia dokumentacji, ale obejmuje również rzeczywistą ocenę funkcjonowania zabezpieczeń i procesów bezpieczeństwa informacji.

Znaczenie kompetencji auditorów

Norma ISO/IEC 27006 wymaga, aby auditorzy ISO 27001 posiadali odpowiednie kompetencje techniczne i doświadczenie w obszarze bezpieczeństwa informacji. Obejmuje to między innymi znajomość zarządzania ryzykiem, cyberbezpieczeństwa, ochrony danych oraz środowisk IT. Ma to ogromne znaczenie dla jakości procesu certyfikacji oraz wiarygodności wydawanego certyfikatu ISO 27001.

Ograniczanie ryzyka niewiarygodnych certyfikatów

Wymagania ISO/IEC 27006 pomagają ograniczać ryzyko wydawania niewiarygodnych certyfikatów ISO 27001 przez jednostki posiadające niewystarczające kompetencje lub prowadzące zbyt powierzchowne audyty. Norma zwiększa poziom standaryzacji i nadzoru nad certyfikacją SZBI, co ma szczególne znaczenie dla organizacji działających w branży IT, cloud computingu, outsourcingu usług oraz sektorach przetwarzających dane wrażliwe.

Jakie wymagania stawia ISO 27006 jednostkom certyfikującym?

Norma ISO/IEC 27006 określa szczegółowe wymagania dotyczące kompetencji audytorów, planowania audytów, zarządzania kompetencjami oraz zachowania bezstronności i niezależności jednostki certyfikującej.

Kompetencji audytorów

Audytorzy prowadzący certyfikację ISO 27001 muszą posiadać wiedzę z zakresu bezpieczeństwa informacji, zarządzania ryzykiem, cyberbezpieczeństwa, technologii informatycznych oraz ochrony danych. To jedna z największych różnic względem wielu innych norm ISO.

Planowania audytów

Norma określa sposób ustalania czasu audytu, oceny złożoności organizacji oraz analizy ryzyk związanych z bezpieczeństwem informacji. Jednostka certyfikująca nie może dowolnie skracać czasu audytu wyłącznie w celu zaoferowania niższej ceny certyfikacji.

Zarządzania kompetencjami

Jednostka certyfikująca musi regularnie oceniać kompetencje audytorów, dokumentować ich doświadczenie techniczne oraz zapewniać ciągłe doskonalenie zespołów audytowych.

Bezstronności i niezależności

ISO/IEC 27006 wymaga zachowania wysokiego poziomu bezstronności procesu certyfikacji. Jednostka certyfikująca nie może prowadzić certyfikacji w sposób zależny od interesów handlowych ani audytować własnych wdrożeń.

Jak ISO 27006 wpływa na organizację ubiegającą się o certyfikat ISO 27001?

Choć norma ISO/IEC 27006 skierowana jest bezpośrednio do jednostek certyfikujących, jej wymagania mają realny wpływ na organizacje korzystające z certyfikacji ISO 27001.

Większa wiarygodność certyfikatu

Jeżeli jednostka działa zgodnie z ISO/IEC 27006, organizacja otrzymuje certyfikat wydany przez podmiot posiadający odpowiednie kompetencje techniczne. 

To szczególnie istotne przy:

• współpracy międzynarodowej,
• wymaganiach klientów korporacyjnych,
• przetargach,
• wymaganiach regulatorów,
• ocenie dostawców IT i SaaS.

Wyższa gwarancja poziomu jakości audytu

Audyt prowadzony zgodnie z ISO/IEC 27006 jest zwykle:

• bardziej techniczny,
• bardziej szczegółowy,
• lepiej ukierunkowany na ryzyka,
• trudniejszy do „przejścia formalnie”.

Dla organizacji oznacza to często bardziej wymagający, ale jednocześnie bardziej wartościowy proces certyfikacji.

Czy każda jednostka certyfikująca ISO 27001 działa zgodnie z ISO 27006?

Nie zawsze. Znaczenie ma tutaj akredytacja oraz organ akredytujący potwierdzający kompetencje jednostki certyfikującej.

Organizacja planująca certyfikację ISO 27001 powinna zweryfikować:

• czy jednostka posiada akredytację dla ISO 27001,
• jaki jest zakres akredytacji,
• który organ akredytujący ją wydał.

Ma to szczególne znaczenie dla organizacji działających w branży IT, fintech, software development, cloud computingu, outsourcingu usług czy sektorach przetwarzających dane wrażliwe.

Na certiget.pl oraz certiget.eu znajduje się szczegółowy katalog jednostek certyfikujących systemy zarządzania z całego świata, w tym z Polski, wraz z możliwością porównania zakresów akredytacji, norm ISO oraz ofert certyfikacyjnych.

W ramach wsparcia Certiget pomagamy organizacjom:

• analizować rynek certyfikacji ISO,
• porównywać oferty jednostek certyfikujących,
• weryfikować zakresy akredytacji,
• optymalizować koszty certyfikacji,
• prowadzić merytoryczne rozmowy z jednostkami certyfikującymi.

Dzięki temu organizacje mogą podejmować bardziej świadome i bezpieczne decyzje dotyczące wyboru jednostki certyfikującej ISO 27001. 

ISO 27006 a wybór jednostki certyfikującej

W przypadku certyfikacji ISO 27001 wybór jednostki certyfikującej nie powinien opierać się wyłącznie na cenie. Znaczenie mają również:

• kompetencje audytorów,
• doświadczenie jednostki w branży IT i bezpieczeństwie informacji,
• zakres akredytacji,
• sposób prowadzenia audytów,
• rozpoznawalność międzynarodowa,
• reputacja rynkowa.

Zbyt powierzchowny audyt może prowadzić do uzyskania certyfikatu o ograniczonej wartości biznesowej i niższym poziomie zaufania rynkowego. Zobacza jak to działa. Oferta usług certiget. 

Podsumowanie

ISO/IEC 27006 to jedna z norm wpływających na jakość i wiarygodność certyfikacji ISO 27001. Określa wymagania dla jednostek certyfikujących systemy zarządzania bezpieczeństwem informacji oraz zwiększa poziom standaryzacji procesu certyfikacji SZBI.

Dzięki wymaganiom ISO/IEC 27006 certyfikacja ISO 27001 opiera się na:

• kompetentnych audytorach,
• odpowiednim czasie audytu,
• analizie ryzyka,
• niezależności jednostki certyfikującej,
• wyższym poziomie technicznym procesu certyfikacji.

Dla organizacji oznacza to większą wiarygodność certyfikatu oraz konieczność świadomego wyboru jednostki certyfikującej.

Jeżeli planujesz certyfikację ISO 27001, warto porównać dostępne jednostki certyfikujące, ich zakresy akredytacji oraz doświadczenie branżowe. Na certiget.pl oraz certiget.eu dostępny jest szczegółowy katalog jednostek certyfikujących systemy zarządzania z całego świata, w tym z Polski, z możliwością porównania ofert, wyszukiwania według normy oraz analizy zakresów certyfikacji.