ISO/IEC 27001:2022 i chmura - jak spełnić wymagania kontroli A.5.23
Skontaktuj się z nami
Menu
PLENUA
Home/Baza wiedzy/Zarządzanie informacją/ISO/IEC 27001:2022 i chmura

Jak spełnić wymagania kontroli ISO/IEC 27001 dotyczącej usług chmurowych

Aktualizacja normy ISO 27001 z 2022 roku wprowadziła nową kontrolę dotyczącą korzystania z usług chmurowych. Określa ona polityki i procedury, które są wymagane przy pozyskiwaniu, użytkowaniu, zarządzaniu lub opuszczaniu usług chmurowych.

 

Dodanie tej kontroli było oczywistym i koniecznym krokiem, biorąc pod uwagę, jak wiele organizacji wykorzystuje usługi chmurowe jako część swoich kluczowych działań biznesowych. Szacuje się, że 96% wszystkich organizacji korzysta z co najmniej jednego internetowego zasobu IT, takiego jak Amazon Web Services lub Microsoft Azure.

 

Za każdym razem, gdy organizacja wdraża nowy zasób, w którym przechowywane są dane wrażliwe lub od którego zależą kluczowe działania biznesowe, musi ona ocenić wszelkie kwestie związane z bezpieczeństwem lub niezawodnością, jakie się z tym wiążą.

 

Dzięki dodaniu kontroli A.5.23 do normy ISO 27001 organizacje otrzymały szczegółowe wytyczne, którymi mogą się kierować podczas korzystania z tej technologii.

 

Spełnienie wymagań dotyczących usług chmurowych

 

Aby spełnić wymagania kontroli A.5.23, należy wziąć pod uwagę wszystkie trzy aspekty zarządzania bezpieczeństwem informacji: ludzi, procesy oraz technologię.

 

Ponieważ chmura sama w sobie jest zasobem technologicznym, wiele organizacji będzie koncentrować się na środkach technicznych. Biorąc pod uwagę fakt, że wiele usług chmurowych ma już wbudowane mechanizmy bezpieczeństwa oznacza to, że organizacje nie muszą aktywnie zastanawiać się nad sposobami ochrony swoich danych.

 

Do takich mechanizmów bezpieczeństwa należą m.in. uwierzytelnianie wieloskładnikowe, które zapewnia, że tylko upoważnieni użytkownicy mają dostęp do wrażliwych informacji przechowywanych w chmurze, oraz szyfrowanie danych, chroniące je w przypadku ich utraty lub kradzieży.

 

Za każdym razem, gdy integrujesz usługę chmurową ze swoimi procesami, powinieneś upewnić się, że te mechanizmy bezpieczeństwa są wdrożone. W niektórych przypadkach wystarczy potwierdzenie, że wbudowane zabezpieczenia zostały prawidłowo skonfigurowane, jednak w innych sytuacjach konieczne mogą być dodatkowe działania, takie akie jak podniesienie poziomu usługi lub całkowita zmiana dostawcy, jeśli oferowane przez niego mechanizmy bezpieczeństwa nie są wystarczające w stosunku do Twoich potrzeb.

 

Dokonywane w tym zakresie wybory powinny być regulowane przez ustanowione polityki i procedury dotyczące korzystania z usług chmurowych. Organizacja musi rozumieć, jakich wymagań bezpieczeństwa oczekuje od usługi chmurowej, a wymagania te muszą być uwzględnione już na etapie jej pozyskiwania.

 

Niezbędna będzie również dokumentacja, która zapewni, że pracownicy korzystają z tych usług w sposób odpowiedzialny i bezpieczny. Konieczne będą polityki dopuszczalnego użytkowania, ale należy także rozważyć, w jaki sposób korzystanie z chmury integruje się z innymi wymaganiami bezpieczeństwa, takimi jak zarządzanie hasłami, praca zdalna czy procesy offboardingu.

 

Jednocześnie, aby procesy były rzeczywiście skuteczne, należy zapewnić, że pracownicy są ich świadomi i rozumieją, czego się od nich oczekuje. Organizacja powinna podjąć skoordynowane działania w celu edukowania pracowników w zakresie tych wymagań, czy to poprzez przypomnienia o konieczności zapoznania się z politykami, czy tam, gdzie jest to potrzebne, poprzez bardziej sformalizowane szkolenia podnoszące świadomość personelu.

 

Zakończenie przejścia na ISO 27001

Kontrola A.5.23 jest tylko jedną z wielu nowych kontroli wprowadzonych w normie ISO/IEC 27001:2022. Po opublikowaniu zaktualizowanej wersji normy organizacjom przyznano trzyletni okres na wdrożenie zmian w systemie zarządzania bezpieczeństwem informacji (ISMS). Okres przejściowy zakończył się w październiku 2025 roku, co oznacza, że organizacje powinny już w pełni funkcjonować zgodnie z wymaganiami nowej wersji normy. W praktyce jednak proces ten często okazuje się znacznie bardziej złożony i czasochłonny, niż mogło się początkowo wydawać.

 

W odpowiedzi na te wyzwania ISOQAR prowadzi zarówno szkolenia otwarte, jak i zamknięte, m.in. z zakresu wymagań normy ISO/IEC 27001:2022. W ramach szkoleń nasi doświadczeni trenerzy szczegółowo omawiają nowe wymagania oraz zabezpieczenia, a także przekazują praktyczne wskazówki, oparte na wieloletnim doświadczeniu audytorskim i pracy z systemami zarządzania bezpieczeństwem informacji w różnych organizacjach. Aktualna oferta szkoleń dostępna jest na stronie.

Skontaktuj się z nami

„Zgodnie z art. 13 ust. 1 i ust. 2 ogólnego rozporządzenia o ochronie danych osobowych z dnia 27 kwietnia 2016 r. (dalej RODO) informujemy, iż Administratorem Państwa danych osobowych jest ISOQAR CEE sp. z o.o  z siedzibą w Warszawie,  adres: ul.   Wąwozowa 11,  02-796 Warszawa.  Państwa dane osobowe przetwarzane będą w celach kontaktowych niezbędnych do realizacji usługi, zgodnie z obowiązującymi przepisami prawa na podstawie art. 6 ust. 1 lit. f RODO.„

>>Wyrażam zgodę na przetwarzanie moich danych osobowych przez ISOQAR CEE sp. z o.o jako administratora danych osobowych, w celach otrzymywania informacji handlowych i marketingowych wysyłanych na podany adres e-mail na podstawie art. 6 ust. 1 lit. a RODO. Więcej informacji w Polityka prywatności

Mapa strony
ISOQAR CEE sp. z o.o z siedzibą w Warszawie, adres: ul. Wąwozowa 11, 02-796 Warszawa, NIP 9512091016, wpisana do Krajowego Rejestru Sądowego prowadzonego przez Sąd Rejonowy w dla m.st. Warszawy, XIII Wydział Gospodarczy Krajowego Rejestru Sądowego pod numerem KRS: 0000178492, wysokość kapitału zakładowego: 50.000,00 zł

Projekt i realizacja:

Media Solutions Group&Web Development

Regulamin plików cookies

Klauzula informacyjna newsletter

Polityka prywatności

Klauzula informacyjna w zakresie przetwarzania danych osobowych na potrzeby newsletter

W związku z obowiązywaniem od dnia 25 maja 2018 r. rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (Dz. Urz. UE L 119, str. 1), zwanego dalej „rozporządzeniem RODO”, informujemy, że:

  1. Administratorem Pani/Pana danych osobowych jest ISOQAR CEE sp. z o.o  z siedzibą w Warszawie,  adres: ul.   Wąwozowa 11,  02-796 Warszawa, NIP 9512091016, wpisana do Krajowego Rejestru Sądowego prowadzonego  przez Sąd Rejonowy w dla m.st. Warszawy, XIII Wydział Gospodarczy Krajowego Rejestru Sądowego pod numerem KRS: 0000178492, 

  2. Administrator wyznaczył Inspektora Ochrony Danych Krzysztofa Radtke, z którym można się skontaktować drogą elektroniczną: iod@isoqar.pl

  3. Pani/Pana dane osobowe będą przetwarzane w celach wysyłki i otrzymywania newslettera.

  4. Przetwarzanie Pani/Pana danych osobowych odbywać się będzie na podstawie wyrażonej przez Panią/Pana zgody (podstawa prawna: art. 6 ust. 1 lit. a Rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE RODO

  5. Pani/Pana dane osobowe będą przetwarzane do czasu cofnięcia przez Panią/Pana zgody. 

  6. Odbiorcą Pani/Pana danych osobowych będą podmioty, którym Administrator zleca wykonywanie czynności, z którymi wiąże konieczność przetwarzania danych (podmioty przetwarzające) oraz podmioty publiczne na podstawie odrębnych przepisów prawa. 

  7. W związku z przetwarzaniem danych osobowych przysługuje Pani/Panu prawo dostępu do treści danych, ich sprostowania, usunięcia, ograniczenia ich przetwarzania oraz prawo do wniesienia sprzeciwu wobec przetwarzania danych osobowych. 

  8. Ma Pani/Pan prawo do cofnięcia zgody na przetwarzanie Pani/Pana danych w dowolnym momencie bez wpływu na zgodność z prawem przetwarzania, którego dokonano na podstawie zgody przed jej cofnięciem.

  9. W przypadku uznania, że przetwarzanie przez Administratora Pani/Pana danych osobowych narusza przepisy Rozporządzenia ma Pani/Pan prawo wnieść skargę do Prezesa Urzędu Ochrony Danych Osobowych (PUODO). 

  10. Podanie przez Panią/Pana danych osobowych jest dobrowolne, jednak jest warunkiem wysyłki newslettera.

  11. Pani/Pana dane osobowe nie będą przetwarzane w sposób zautomatyzowany, nie będą poddawane profilowaniu.

  12. Pani/Pana dane osobowe mogą być przekazywane do państwa trzeciego (UK).

Klauzula informacyjna zapytanie ofertowe

Zgodnie z art. 13 ust. 1 i ust. 2 ogólnego rozporządzenia o ochronie danych osobowych z dnia 27 kwietnia 2016 r. (dalej RODO) informuję, iż:

1. Administratorem Pani/Pana danych osobowych jest ISOQAR CEE sp. z o.o  z siedzibą w Warszawie,  adres: ul.   Wąwozowa 11,  02-796 Warszawa, NIP 9512091016, wpisana do Krajowego Rejestru Sądowego prowadzonego  przez Sąd Rejonowy w dla m.st. Warszawy, XIII Wydział Gospodarczy Krajowego Rejestru Sądowego pod numerem KRS: 0000178492, 

2. Administrator wyznaczył Inspektora Ochrony Danych Krzysztofa Radtke, z którym można się skontaktować drogą elektroniczną:  iod@isoqar.pl

3. Pani/Pana dane osobowe przetwarzane będą w celu:

•             odpowiedzi na zapytanie ofertowe na podstawie art. 6 ust. 1 lit. f RODO

więcej informacji pod linkiem

•             kontaktu w celu przekazania informacji marketingowych i handlowych na podstawie art. 6 ust. 1 lit. a RODO

•             w celu realizacji prawnie uzasadnionego interesu Spółki, polegającego na ewentualnym ustaleniu lub dochodzeniu roszczeń lub obronie przed roszczeniami, na podstawie prawnie uzasadnionego interesu Spółki (art. 6 ust. 1 lit. f RODO).

4. Odbiorcą Pani/Pana danych osobowych będą wspólnicy i pracownicy Administratora w zakresie swoich obowiązków służbowych na podstawie upoważnienia.

5. Pani/Pana dane osobowe nie będą przekazywane do państwa trzeciego ani organizacji międzynarodowej;

6. Pani/Pana dane osobowe będą przechowywane do czasu zakończenia współpracy lub do czasu cofnięcia przez Pani/Pana zgody.

7. Posiada Pani/Pan prawo dostępu do treści swoich danych oraz prawo ich sprostowania, usunięcia, ograniczenia przetwarzania, prawo do przenoszenia danych, prawo wniesienia sprzeciwu, prawo do przenoszenia danych.

8. Ma Pan/Pani prawo wniesienia skargi do organu nadzorczego- Urzędu Ochrony Danych Osobowych, gdy uzna Pani/Pan, iż przetwarzanie danych osobowych Pani/Pana dotyczących narusza przepisy ogólnego rozporządzenia o ochronie danych osobowych z dnia 27 kwietnia 2016 r.;

9. Podanie przez Pana/Panią danych osobowych jest dobrowolne, jednak konieczne w celu realizacji przedmiotu umowy/ jest konieczne w związku z przepisami szczególnymi ustawy (przetwarzanie danych osobowych jest wymogiem ustawowym). W przypadku niewyrażenia zgody na przetwarzanie danych osobowy, Administrator może zrezygnować z zawarcia umowy.

10. Pani/Pana dane nie będą przetwarzane w sposób zautomatyzowany w tym również w formie profilowania tzn. żadne decyzje wywołujące wobec osoby skutki prawne lub w podobny sposób na nią istotnie wpływające nie będą oparte wyłącznie na automatycznym przetwarzaniu danych osobowych i nie wiążą się z taką automatycznie podejmowaną decyzją.