Bezpečnosť
ISO/IEC 27001: bezpečnosť, ktorú vidieť v praxi
Certifikovaný systém riadenia informačnej bezpečnosti (ISMS) podľa ISO/IEC 27001. Konkrétne procesy, pravidelné audity, zdokumentované kontroly — nielen certifikát na stene.
ISO/IEC 27001 je medzinárodný štandard pre systémy riadenia informačnej bezpečnosti. Certifikácia potvrdzuje, že organizácia identifikuje riziká, zavádza primerané kontroly a tieto kontroly pravidelne preveruje externými audítormi.
U nás v datatek, spol. s r. o. je ISMS živý systém — nie šanón v skrinke. Pravidelné interné audity, revízie rizík a školenia zabezpečujú, že procesy fungujú aj v praxi, nielen na papieri.
Rozsah certifikácie
Certifikácia pokrýva vývoj softvéru, správu IT infraštruktúry, outsourcing IT a správu dát klientov.
Pravidelné audity
Externý audit certifikačnej spoločnosti každý rok (dozorný audit), recertifikácia raz za tri roky a interné audity štvrťročne. Výsledky sú podkladom pre aktualizáciu rizík a opatrení.
Riadenie rizík
Zoznam aktív, hodnotenie hrozieb a zraniteľností, prioritizácia opatrení podľa dopadu a pravdepodobnosti.
Kontroly ISO Annex A
Zavedené kontroly z prílohy A normy (Annex A) — od pravidiel prístupu po fyzickú bezpečnosť a šifrovanie.
Vyhlásenie o aplikovateľnosti (SoA)
Dokumentovaný zoznam aplikovateľných a vylúčených kontrol s odôvodnením — transparentnosť pre klientov aj audítorov.
Kontinuálne zlepšovanie
Cyklus PDCA (plánuj – realizuj – kontroluj – zlepšuj): každý audit prináša konkrétne opatrenia na ďalší rok.
Prečo ISO 27001 záleží vašej firme
Certifikácia dodávateľa IT nie je luxus — stáva sa základnou podmienkou pri obchodných partnerstvách. Firmy v zdravotníctve, finančnom sektore, verejnej správe a automobilovom priemysle vyžadujú dôkaz bezpečnostnej zrelosti dodávateľov. ISO/IEC 27001 je na túto požiadavku medzinárodne uznávanou odpoveďou.
Čo riadime v praxi
Riadenie prístupov
Princíp minimálnych oprávnení, dvojfaktorová autentifikácia, pravidelná revízia prístupov.
Zálohovanie a obnova
Pravidlo 3-2-1, kópie mimo hlavnej lokality a pravidelné testy obnovy. Meriame, koľko dát by sme stratili (RPO) a ako dlho by obnova trvala (RTO).
Incident response
Definované role, eskalačná cesta a overené postupy (playbooky) — od ransomvéru po neúmyselné zmazanie dát.
Hodnotenie rizík
Pravidelné hodnotenie rizík s aktualizovaným zoznamom aktív, hrozieb a opatrení — živý dokument, nie jednorazový workshop.
Čo to znamená pre vás ako klienta
Keď nám zveríte správu infraštruktúry, vývoj aplikácie alebo prístup k firemným dátam, máte záruku:
- vaše dáta neputujú mimo schválené prostredie,
- prístupy sú dokumentované a pravidelne revidované,
- incidenty sú riešené podľa definovaného procesu,
- pri audite (GDPR, NIS2, ISO) vieme poskytnúť požadované záznamy.
ISMS: systém, ktorý riadi bezpečnosť každý deň
ISMS nie je jednorazový projekt. Je to živý systém, ktorý sa pravidelne preveruje, aktualizuje a zlepšuje. Základom je PDCA cyklus — plán, realizácia, kontrola, zlepšenie — opakovaný každý rok.
V praxi to znamená, že vieme kedykoľvek odpovedať na otázku: kto má prístup k akým dátam, ako sú zálohy, kedy bol posledný incident, ako bol vyriešený a čo sme zmenili, aby sa neopakoval.
Politika bezpečnosti
Písomný dokument schválený vedením, ktorý definuje záväzky, zodpovednosti a rámec pre všetky bezpečnostné aktivity.
Inventár aktív
Katalóg všetkých informačných aktív (servery, aplikácie, dáta, ľudia) s klasifikáciou citlivosti a zodpovednými osobami.
Hodnotenie rizík
Štruktúrovaný proces identifikácie hrozieb a zraniteľností, odhad dopadu a pravdepodobnosti, výber opatrení.
Plán zvládania rizík
Pre každé prijaté riziko je definované opatrenie, zodpovedná osoba, termín a spôsob overenia.
Interné audity
Štvrťročné interné audity overujú reálne fungovanie kontrol — nie len papierový stav, ale aj skutočnú prax.
Manažérska revízia
Vedenie spoločnosti raz ročne reviduje vstupy a výstupy ISMS — rozhoduje o zdrojoch a prioritách pre ďalší rok.
Kľúčové oblasti nášho ISMS
Ľudské zdroje a vzdelávanie Každý zamestnanec prechádza bezpečnostným onboardingom a každoročnými školeniami. Phishingové simulácie, bezpečné kódovanie, správa hesiel — nie povinné klikanie, ale praktické scenáre.
Fyzická bezpečnosť Prístup do serverovní a kancelárií je riadený. Návštevníci sú sprevádzaní. Zariadenia pri odchode zo spoločnosti prechádzajú schváleným procesom likvidácie dát.
Komunikácia a prenos dát Šifrovanie v prenose a pri ukladaní pre citlivé dáta. Schválené kanály pre zdieľanie informácií s klientmi a dodávateľmi.
Kontinuita prevádzky Plány na zachovanie kritických služieb pri výpadku (plán kontinuity prevádzky, BCP) s pravidelným testovaním scenárov.
Pomôžeme aj vám získať certifikáciu
Ak vaša firma zvažuje zavedenie ISMS a cestu k ISO/IEC 27001, môžeme pomôcť:
- Analýza medzier (gap analýza) — porovnanie súčasného stavu s požiadavkami normy
- Implementačný plán — prioritizované opatrenia s odhadom nákladov a času
- Technická implementácia — zálohovacie systémy, správa prístupov, monitoring
- Interný audit — príprava na certifikačný audit
Kontaktujte nás a dohodneme si nezáväzný hovor.
Poďme to prebrať
Napíšte nám — do jedného pracovného dňa sa ozveme s konkrétnym ďalším krokom.