ISO 27001 globalni je standard za sustave upravljanja informacijskom sigurnošću, a prema anketi iz 2024. godine korišten je za 96.709 valjanih certifikata na 179.877 certificiranih lokacija diljem svijeta. ISO Survey 2025 tu brojku procjenjuje na oko 125.600 certifikata. Ta razmjera govori ti tiho istinu: ovo više nije nišna značkа, već je operativni jezik koji mnogi kupci sada očekuju za rukovanje osjetljivim informacijama o tvrtki.

Iz mog iskustva, stvarno pitanje nije jesu li ISO 27001 standardi važni, nego može li vaš tim održati trag dokaza netaknutim kad revizor počne postavljati neugodna pitanja. Jezik klauzula najlakši je dio. Teži dio je dokazivati, tjedan za tjednom, da se vaši nadzori, zapisi i odobrenja doista podudaraju.

Kratki odgovor: ISO 27001 međunarodni je standard za sustav upravljanja informacijskom sigurnošću (ISMS). Da biste dobili certifikat, definirate opseg, provodite procjenu rizika, odabirete kontrole iz 93 u Prilogu A i opravdavate ih u Izjavi o primjenjivosti, zatim ih implementirate i dokumentirate, provodite internu reviziju i pregled uprave te na kraju prolazite reviziju 1. i 2. stupnja od strane akreditiranog certifikacijskog tijela. Certifikat vrijedi tri godine, uz nadzorne revizije u godinama 1 i 2.

Sadržaj

• Zašto su ISO 27001 standardi postali poslovna nužnost

  • Što se promijenilo u ponašanju kupaca

  • Gdje se vidi poslovna vrijednost

• Razumijevanje strukture ISO 27001 standarda

  • Kako u praksi funkcioniraju četiri tematske skupine kontrola

  • Interna logika koju revizori očekuju

• Kako proći kroz proces certifikacije prema ISO 27001

  • Praktičan redoslijed revizije

  • Jednostavan pregled planiranja

• Kritična uloga procjene rizika i dokumentacije

  • Zašto Izjava o primjenjivosti toliko znači

  • Lanac dokaza koji revizori očekuju

• Kako upravljati dokazima usklađenosti uz moderne alate

  • Što mijenja moderna oprema

  • Praktičan tijek rada s dokazima

  • Gdje ovo najviše pomaže

• Uobičajene zamke i kako ih izbjeći

  • Pogreške koje najčešće viđam

• Kako Trupeer podržava vaš program ISO 27001

• Često postavljana pitanja

Zašto su ISO 27001 standardi postali poslovna nužnost

ISO 27001 pomaknuo se s uloge diferencijatora na ulogu osnovnog standarda, osobito u prodaji za poduzeća. Broj certifikata gotovo se udvostručio između 2023. i 2024., s 48.671 na 96.709, što je promjenu teško previdjeti (ISMS.online pregled certifikacije). Dio tog skoka odražava promjenu u načinu na koji ISO prikuplja podatke, budući da je anketa iz 2024. prešla na agregirane zapise IAF CertSearch, ali trend rasta je stvaran.

Vidio sam timove koji certifikaciju tretiraju prvo kao sigurnosni projekt. Taj okvir promašuje način na koji je kupci koriste. ISO 27001 signal je povjerenja koji se vidi u nabavi, pregledima dobavljača i uključivanju partnera. Kad sigurnosni upitnik završi na stolu prodajnog inženjera, certifikat pomaže, ali teža pobjeda je pokazati da su kontrole žive, a ne zamrznute u PDF-u. Takve dokaze prikazujemo u Trupeer trust centru, kao tvrtka certificirana za ISO 27001 i SOC 2 Type II, jer kupci žele dokaz da mogu pregledati, a ne obećanja koja moraju prihvatiti na vjeru.

Što se promijenilo u ponašanju kupaca

Prije nekoliko godina neke SaaS tvrtke tretirale su certifikaciju kao marketinški “lijepo imati”. Taj stav sada je slabiji. Nedavni benchmark podaci pokazuju da 81% organizacija prijavilo trenutnu ili planiranu certifikaciju ISO 27001 u 2025., u odnosu na 67% u 2024., pa kupci sve češće tretiraju standard kao dio minimalnog paketa (CNIC Solutions statistika o usklađenosti).

Praktično pravilo: ako potencijalni klijent traži certifikat, obično mu je još važnije vaše operativno disciplinirano postupanje, vaši dokazi, učestalost pregleda i tko svakodnevno upravlja ISMS-om.

Gledao sam kako SaaS timovi ovdje gube vrijeme. Imali su dotjeranu sigurnosnu stranicu, ali interni zapisi bili su razbacani. Prodajni ciklus se usporio jer nisu mogli dovoljno brzo odgovoriti na dodatna pitanja. Certifikat je otvorio vrata, a zatim se problem upravljanja dokazima pojavio u hodniku.

Najbolji način da pročitate ISO 27001 standarde jest kao sustav komercijalnih kontrola. Daje nabavi, pravnim timovima i sigurnosnim recenzentima zajednički okvir te tjera vaš vlastiti tim da proces drži iskrenim.

Gdje se vidi poslovna vrijednost

• Povjerenje dobavljača: certifikat smanjuje trenje kad kupac treba formalno jamstvo sigurnosti.

• Operativna disciplina: ISMS nameće imenovane odgovorne osobe, redovite preglede i odluke koje se mogu pratiti.

• Kontinuitet prodaje: zastoji u sigurnosnom pregledu događaju se rjeđe kad su dokazi već organizirani.

• Spremnost ugovora: sigurnosne obveze prestaju živjeti u e-mail nitima i počinju živjeti u kontroliranim dokumentima.

Izravna je poanta. ISO 27001 više nije samo dokaz da vam je sigurnost važna, već dokaz da sigurnost možete voditi kao ponovljiv poslovni proces.

Cloud platforma može proći prvi sigurnosni pregled brzo jer su odgovori spremni. Šest mjeseci kasnije isti kupac traži ažurirane dokaze o kontroli pristupa, a tim se razbacuje jer se snimke zaslona nalaze u Slacku, politike u Driveu, a evidencije o obukama u nečijem inboxu. Taj jaz upravo je ono što certifikacija izlaže.

Razumijevanje strukture ISO 27001 standarda

Moderna norma izgrađena je oko ISMS-a i skupa kontrola vođenog rizikom. U reviziji iz 2022. Prilog A sadrži 93 kontrole grupirane u četiri teme, organizacijske, ljudi, fizičke i tehnološke (ISMS.online pregled Priloga A).

Sviđa mi se ta struktura jer sprječava timove da sigurnost tretiraju kao slučajni popis za provjeru. Ne očekuje se da u opseg “nabijete” svaku moguću kontrolu. Trebali biste, na temelju rizika, odlučiti što ima smisla za vaše okruženje, a zatim te odluke braniti u Izjavi o primjenjivosti.

Kako u praksi funkcioniraju četiri tematske skupine kontrola

Te četiri teme važne su jer čine skup kontrola operativno konkretnijim. Organizacijske kontrole bave se upravljanjem i procesima. Kontrole za ljude pokrivaju ponašanje, osviještenost i odgovornosti. Fizičke kontrole štite objekte i resurse, dok se tehnološke kontrole bave sustavima, softverom i tehničkim zaštitama (ISTO pregled promjena u ISO 27001).

Zbog te strukture odluke o oblaku i izbori u životnom ciklusu softvera ne mogu ostati nejasni. Ako vaš inženjerski tim koristi ne-upravljane usluge ili ako vaš tim za podršku sprema snimke zaslona u osobne mape, te navike prije ili kasnije pojavit će se u SoA-u. Standard vas tjera da odluku učinite eksplicitnom.

Što se obično lomi: timovi mapiraju kontrole na papiru, ali ih nikad ne pretvaraju u odgovornost, datume pregleda i stvarne dokaze. Revizori tu nepovezanost brzo uoče.

Evo dijela za koji mislim da mnoge implementacije podcjenjuju. Prilog A nije cijeli standard. On podupire sustav, ali stvarni certifikacijski položaj ovisi o tome možete li pokazati da su kontrole odabrane, objašnjene i održavane kroz vaš proces upravljanja, dokumentacije i pregleda.

Interna logika koju revizori očekuju

Korisni mentalni model je sljedeći: rizik informira kontrole, kontrole informiraju procedure, procedure generiraju dokaze. Ako nedostaje jedna od tih razina, sustav počinje “klimati”. Zato je SoA toliko važan: povezuje apstraktni popis kontrola s načinom na koji vaše poslovanje stvarno funkcionira. Ista disciplina dokaza vrijedi i za SOC 2, kao što je pokriveno u što je SOC 2 usklađenost.

Vidio sam timove kako strukturu tretiraju kao papirnatu dokumentaciju. To je pogreška. Arhitektura je trag revizije.

Ako vam treba praktičan pratitelj za strukturu dokumentacije, ovaj vodič o ISO-kompatibilnom formatu radne upute koristan je referentni okvir za pretvaranje procesa u nešto što ljudi mogu pratiti.

Poanta je jednostavna. ISO 27001 standardi funkcioniraju jer je skup kontrola organiziran, ali certifikacija vrijedi samo kad organizacija može pokazati zašto je svaka odluka donesena i kako ostaje aktualna.

Kako proći kroz proces certifikacije prema ISO 27001

Certifikacija je ciklus od tri godine, a ne jednokratni događaj. Certifikat vrijedi tri godine, uz nadzorne revizije u godinama 1 i 2 te punu re-certifikacijsku reviziju u godini 3 (SIDD Swiss pregled re-certifikacije).

Vidio sam mnogo timova koji planiraju budžet za lansiranje i zaborave održavanje. Tu se opeku. Godišnji ritam revizije znači da vaši dokazi ne mogu zastarjeti između prekretnica, jer revizor provjerava radi li ISMS i dalje, a ne je li jednom izgledao dobro na prezentaciji.

Praktičan redoslijed revizije

Proces obično započinje pripremnim radom, u kojem tim zatvara očite praznine i sastavlja ključnu dokumentaciju. Zatim dolazi 1. stupanj, koji je uglavnom pregled dokumentacije, i 2. stupanj, u kojem revizor provjerava radi li ISMS onako kako je opisano. Nakon toga, nadzorne revizije održavaju pritisak na sustav kako se ne bi “istrošio”.

Vrijeme je jednako važno kao i redoslijed. Neovisni sažeci opisuju nadzorne revizije kao tipično one koje se događaju oko 12. mjeseca i 24. mjeseca, dok re-certifikacija mora biti završena prije isteka certifikata (smjernice za nadzornu reviziju).

Jednostavan pregled planiranja

• Prije 1. stupnja: zaključajte opseg, politike, metodu procjene rizika i vaše ključne dokumente.

• Između 1. i 2. stupnja: ispravite praznine koje certifikacijsko tijelo istakne i prikupite dokaze implementacije.

• Tijekom nadzornih godina: održavajte interne revizije, preglede uprave i korektivne mjere aktualnima.

• Prije 3. godine: tretirajte re-certifikaciju kao projekt, a ne kao podsjetnik iz kalendara.

Ako čekate dok revizor ne zatraži dokaze, već ste zakasnili.

Dobar primjer je SaaS tvrtka s jakom inženjerskom disciplinom, ali slabim ritmom usklađenosti. Mogu proći 2. stupanj, a zatim se mučiti šest mjeseci kasnije jer evidencije o obuci zaposlenika, pregledi pristupa i zapisnici pregleda uprave nisu održavani na dosljednom mjestu. Rezultat nije tehnički neuspjeh. To je neuspjeh operativnog ritma.

Važna je i strana interne dokumentacije. Napomena o procesu na kako revizorske tvrtke dokumentiraju procese za regulatorne podneske može pomoći timovima da razumiju zašto revizori toliko brinu o dosljednosti i sljedivosti.

Poanta je da certifikacija prema ISO 27001 nagrađuje timove koji planiraju cijeli trogodišnji životni ciklus. Ako je tretirate kao jednokratni događaj, sljedeće dvije godine provest ćete nadoknađujući.

Kritična uloga procjene rizika i dokumentacije

Klauzula 6.1 pretvara ISO 27001 u upravljački sustav vođen rizikom. Organizacije moraju definirati kriterije rizika, procijeniti rizik za informacijsku sigurnost koristeći vjerojatnost i utjecaj te zatim odabrati mogućnosti tretmana kao što su ublažavanje, prijenos, prihvaćanje ili izbjegavanje (Planiranje rizika prema klauzuli 6.1).

Iskreno ću reći: tu se raspada većina slabih implementacija. Timovi često imaju dobre politike, ali ne mogu objasniti kako je neka imovina postala rezultat ocjene rizika, kako je ta ocjena dovela do kontrole ili zašto je neka kontrola izuzeta. Revizori ne vole “labave krajeve”, a ne vole ih ni kupci s zrelim sigurnosnim timovima.

Zašto Izjava o primjenjivosti toliko znači

Izjava o primjenjivosti most je između vašeg rada na riziku i vašeg okruženja kontrola. Revizoru govori koje kontrole iz Priloga A ste odabrali, koje ste izuzeli i zašto te odluke imaju smisla za vaš opseg. Bez te sljedivosti dokumentacija djeluje dekorativno umjesto operativno.

Ta sljedivost je konačni test. Vidio sam organizacije koje imaju snažne alate, solidne politike i menadžere dobre namjere, ali ipak nisu uspjele uvjeriti revizora jer se lanac dokaza zaustavio na proračunskoj tablici bez vlasnika i bez datuma. Čista SoA ne jamči zrelost, ali neuredna gotovo uvijek signalizira probleme.

Lanac dokaza koji revizori očekuju

1. Imovina ili kontekst je identificiran.

2. Rizik se ocjenjuje prema vašim definiranim kriterijima.

3. Tretman se odabire, primjerice kontrola ili dokumentirano prihvaćanje.

4. Dokazi pokazuju da se kontrola doista provodi.

5. Pregled dokazuje da je odluka i dalje valjana.

Dokumentacija se ovdje često previše zakomplicira. Cilj nije proizvesti više papirnate dokumentacije. Cilj je voditi zapise dovoljno specifične za reviziju, ali dovoljno jednostavne da ih poslovanje može održavati bez ogorčenja.

Praktično pravilo: ako nitko ne može ažurirati dokaze bez dvaju sati “lovljenja” po dokumentima, proces će propasti tijekom nadzora.

Realističan scenarij je tim za proizvode koji tijekom zauzetog kvartala dodaje novi cloud alat. Voditelj sigurnosti ažurira registar rizika, ali nitko ne osvježava SoA, checklistu za onboarding ili zapis o pregledu pristupa. Na papiru je alat odobren. U praksi, trag revizije je prekinut.

Poanta je izravna. Procjena rizika, disciplina SoA i aktualni zapisi okosnica su standarda. Ako se ta tri elementa razdvoje, sve ostalo postaje teže.

Kako upravljati dokazima usklađenosti uz moderne alate

Upravljanje dokazima skriveni je posao u ISO 27001. Sam standard je upravljiv. Težina dolazi od prikupljanja snimki zaslona, odobrenja, revizijskih zapisa, verzija politika i evidencija o obukama te dokazivanja da su aktualni kad revizor postavi pitanje.

Vidio sam timove koji to rješavaju bolje kad dokazi prestanu biti zadatak čišćenja svaka tri mjeseca. Drže “živ” repozitorij u kojem proces bilježi tok izravno u dokumentaciju koja se može pretraživati i revidirati. To je važno jer nadzorne revizije nagrađuju kontinuitet, a ne oporavak u zadnji čas.

Što mijenja moderna oprema

Trupeer pretvara snimku zaslona u strukturiranu SOP proceduru, uz snimke zaslona, povijest revizija i kontrolirani pristup koji održavaju lanac dokaza netaknutim. Za timove usklađenosti praktična vrijednost je u kontrolama iza sadržaja, uključujući SSO, SCIM, granularne dozvole i podršku za radne tokove pregleda za poduzeća.

To je važno jer dokazi moraju biti organizirani, aktualni i dostupni pravim osobama. Alat poput Trupeer pomaže pretvoriti razbacano znanje u kontroliranu dokumentaciju, gdje mnogi ISO programi gube vrijeme i točnost.

Praktičan tijek rada s dokazima

• Zabilježite jednom: zabilježite proces dok ga netko izvodi.

• Odmah strukturirajte: pretvorite snimku u vodič, SOP ili članak znanja.

• Kontrolirajte pristup: osigurajte da samo prave osobe mogu uređivati osjetljiv materijal.

• Održavajte pretraživost: kako priprema za reviziju ne bi postala potraga.

• Redovito osvježavajte: zastarjeli dokazi gotovo su jednako rizični kao i nedostajući dokazi.

Dobri timovi dokumentaciju tretiraju kao što tretiraju izvorni kod. Nitko ne želi da jedina kopija kritičnog procesa bude zarobljena u osobnoj mapi. Zapis bi trebao živjeti u sustavu u kojem su vidljivi vlasništvo, dozvole i povijest revizija. Ovaj vodič o kontroli verzija dokumentacije objašnjava kako održati tu povijest urednom.

Za timove kojima treba širi operativni model, platforma za upravljanje dokumentacijom za poduzeća može sjediti u istom tijeku rada kao politike i biblioteke dokaza.

Gdje ovo najviše pomaže

Timovi za korisnički uspjeh koriste je za vodiče za onboarding. Prodajni inženjeri koriste je za ponovljive demo prezentacije i sigurnosne walkthroughove. Operativni timovi koriste je za SOP-ove i materijale za obuku koji trebaju ostati usklađeni s aktualnim kontrolama.

Poanta je praktična. ISO 27001 dokazi postaju puno lakši za upravljanje kad se dokumentacija stvara kao dio posla, a ne naknadno. Moderna znanja smanjuju trenje bez slabljenja discipline revizije.

Uobičajene zamke i kako ih izbjeći

Najveća pogreška je tretirati ISO 27001 kao projekt certifikata. Ako je jedini cilj proći reviziju, tim obično izgradi krhku dokumentaciju i zaboravi operativne navike koje održavaju ISMS živim.

Gledao sam kako se to događa više puta. Tvrtka prođe certifikaciju, proslavi, a zatim pusti da vlasništvo “odluta”. Šest mjeseci kasnije interna revizija kasni, registar rizika je zastario i nitko nije sasvim siguran tko ažurira dokaze o pregledu pristupa.

Pogreške koje najčešće viđam

• Opseg je preširok ili previše nejasan: ISMS postaje nemoguće održavati ili ostavlja važne sustave izvan granice.

• Politike ne prate praksu: dokumenti kažu jedno, dok tim radi na drugi način.

• Dokazi žive na previše mjesta: snimke u chatu, odobrenja u e-mailu i procedure u nepovezanim mapama.

• Posao za nadzor se odgađa: timovi pretpostave da je sljedeća revizija daleko, pa žure u zadnji čas.

• Obuka se tretira kao kućica: zaposlenici znaju glavnu politiku, ali ne i svoje stvarne odgovornosti.

Rješenje je dosadno, i zato radi. Održavajte opseg obranjivim. Dodijelite vlasnike svakoj većoj kontrolnoj oblasti. Pregledajte zapise prema rasporedu, a ne samo kad netko zatraži. Iznad svega, tretirajte nalaze interne revizije kao operativnu povratnu informaciju, a ne samo kao nedostatke usklađenosti.

Pravilo iz stvarnog svijeta: ako proces radi samo kad jedna osoba pamti sve, to još nije proces.

Također mislim da timovi podcjenjuju koliko disciplina dokumentacije utječe na samu sigurnost. Dobri zapisi ranije čine praznine vidljivima. Slabi zapisi skrivaju probleme dok ih revizor ili incident ne otkrije. Zato uvijek potičem timove da povežu upravljanje dokazima s stvarnim upravljanjem sigurnošću, umjesto da ih drže u odvojenim silosima.

Koristan dodatni materijal je ovaj vodič o sigurnosti baze znanja, SSO-u i kontrolama pristupa, jer je sigurnost dokumenata dio usklađenosti.

Poanta je jednostavna. ISO 27001 standardi ne nagrađuju tim koji izgleda usklađeno samo jedan tjedan. Nagrađuju tim koji ostaje organiziran, odgovoran i dosadno dosljedan.

Kako Trupeer podržava vaš program ISO 27001

Osim upravljanja dokazima, Trupeer pomaže i na “ljudskoj” strani ISO 27001: procedure, obuku o osviještenosti i kontrolirani pristup osjetljivoj dokumentaciji:

• Kontrole dokumentacije kao procedure: zabilježite preglede pristupa, onboarding i offboarding jednom, i dobivajte vodiče sa snimkama zaslona.

• Provedite obuku o osviještenosti: pretvorite iste snimke u kratke videozapise s AI glasovnim prijenosom.

• Kontrolirajte pristup: SAML SSO, SCIM provisioning, pristup temeljen na ulogama, više radnih prostora i revizijski zapisi.

• Očuvajte dokaze o promjenama: povijest verzija dokumenta prikazuje ranije verzije svake procedure.

• Odaberite certificiranog dobavljača: Trupeer sam drži certifikate ISO 27001 i SOC 2 Type II.

Pogledajte Trupeer za poduzeća.

Često postavljana pitanja

Što je ISO 27001?

ISO/IEC 27001 međunarodni je standard za postavljanje, vođenje i poboljšavanje sustava upravljanja informacijskom sigurnošću (ISMS). Trenutno izdanje je ISO/IEC 27001:2022.

Koliko kontrola ima u ISO 27001?

Prilog A standarda ISO 27001:2022 navodi 93 kontrole u četiri teme: organizacijske, ljudi, fizičke i tehnološke. Odabirete one koje se primjenjuju na temelju vaše procjene rizika i objašnjavate svoje odluke u Izjavi o primjenjivosti.

Koliko traje certifikacija ISO 27001?

Ovisi o vašem opsegu i spremnosti. Većina organizacija provodi nekoliko mjeseci priprema prije revizija 1. i 2. stupnja. Nakon certifikacije slijede nadzorne revizije u godinama 1 i 2 te puna re-certifikacija u godini 3.

Je li ISO 27001 obvezan?

Ne, dobrovoljan je. Mnoge tvrtke ga traže jer kupci, partneri ili regulatorna tijela traže neovisni dokaz upravljanja informacijskom sigurnošću.

Koja je razlika između ISO 27001 i SOC 2?

ISO 27001 certificira sustav upravljanja prema međunarodnom standardu, dok je SOC 2 izvještaj o potvrdi revizora o kontrolama prema AICPA Trust Services Criteria. Pogledajte što je SOC 2 usklađenost i širu sliku u što je sigurnost za poduzeća.

Održavajte dokaze za ISO 27001 spremnima za reviziju uz Trupeer. Zabilježite proceduru kontrole jednom, a Trupeer je pretvara u kontroliranu SOP proceduru sa snimkama zaslona, kratkim videozapisom obuke i unosom u bazu znanja koji se može pretraživati, uz SAML SSO, SCIM, pristup temeljen na ulogama i povijest verzija. Trupeer je sam certificiran za ISO 27001 i SOC 2. Pogledajte Trupeer za poduzeća.