Annex A je popis sigurnosnih kontrola koji prati normu ISO 27001. Glavni dio norme, klauzule od 4 do 10, propisuje kako postaviti i voditi sustav upravljanja informacijskom sigurnošću. Te su klauzule obvezne i odnose se na kontekst tvrtke, vodstvo, planiranje, podršku, rad, vrednovanje i poboljšanje. Annex A je nešto drugo. To je referentni katalog konkretnih sigurnosnih kontrola iz kojeg tvrtka bira mjere koje smanjuju njezine stvarne rizike.
Razlika je važna za svaku reguliranu tvrtku u Hrvatskoj, od financija i zdravstva do kritične infrastrukture i SaaS pružatelja. Klauzule norme uvijek vrijede u cijelosti, dok se kontrole iz Annexa A primjenjuju selektivno. Tvrtka ne mora uvesti svih 93 kontrole, nego dokazati da je za svaki rizik razmotrila odgovarajuće kontrole i da je izbor obrazložila. Revizija iz 2022. svela je kontrole na 93 i preuredila ih u četiri jasne teme. Ovaj tekst objašnjava kako je Annex A organiziran, što je donijela revizija 2022., kako se kontrole biraju i kako se njihova provedba dokazuje.
Ovo je dio našeg pregleda sigurnosnog programa. Odabir, uvođenje i dokazivanje kontrola vodimo kroz upravljanje, rizik i usklađenost.
Što je Annex A i kako je povezan s normom
Annex A je popis referentnih kontrola na koje se norma ISO 27001 oslanja, dok njihov detaljan opis i upute za provedbu daje prateća norma ISO/IEC 27002.2 Annex A navodi naziv i oznaku svake kontrole, a ISO 27002 objašnjava svrhu, smjernice i tipičnu provedbu. Tvrtka koja se certificira radi po obje norme istodobno.
Veza s glavnim dijelom norme ide kroz upravljanje rizikom. Klauzula 6 traži da tvrtka provede procjenu rizika i odredi postupanje s rizikom. Pri tome uspoređuje odabrane kontrole s onima iz Annexa A kako bi provjerila da nije propustila nijednu relevantnu. Rezultat te usporedbe zapisuje se u Izjavu o primjenjivosti. Annex A tako nije izolirani popis, nego kontrolna točka kojom se osigurava da izbor mjera pokriva sve relevantne rizike.
Iz toga slijedi jedno od najčešćih nesporazuma. Annex A nije popis obaveza koje sve treba ispuniti. To je katalog iz kojeg se bira. Kontrola se smije ostaviti neprimijenjenom ako za nju ne postoji rizik, uz uvjet da se izostavljanje obrazloži. Sigurnost se tako veže uz stvarne rizike, a ne uz slijepo pokrivanje svake stavke.
Što je donijela revizija iz 2022.
Verzija iz 2013. imala je 114 kontrola raspoređenih u 14 područja. Revizija iz 2022. spojila je preklapajuće kontrole, dodala nove i preuredila strukturu. Rezultat je 93 kontrole u četiri teme umjesto 14 područja.1 Cilj je bio jasniji i suvremeniji okvir, bliži današnjim rizicima poput rada u oblaku i naprednih prijetnji.
Uz novu strukturu, revizija je uvela pet atributa koji svakoj kontroli pridružuju oznake. Atributi nisu obvezni za provedbu, nego pomažu filtrirati i grupirati kontrole iz različitih kutova. Tvrtka tako može gledati kontrole prema vrsti, prema sigurnosnim svojstvima koja štite ili prema fazi u kojoj djeluju.
| Atribut | Što opisuje |
|---|---|
| Vrsta kontrole | Preventivna, detektivska ili korektivna mjera. |
| Sigurnosna svojstva | Štiti li kontrola povjerljivost, cjelovitost ili dostupnost. |
| Pojmovi kibernetičke sigurnosti | Faza: identificiraj, zaštiti, otkrij, odgovori, oporavi. |
| Operativne sposobnosti | Područje rada, primjerice upravljanje pristupom ili dobavljačima. |
| Sigurnosne domene | Širi kontekst: upravljanje, zaštita, obrana, otpornost. |
Revizija je uvela i 11 potpuno novih kontrola koje odgovaraju na rizike koji su ojačali od 2013. Među njima su obavještavanje o prijetnjama, sigurnost pri korištenju usluga u oblaku, spremnost informacijsko-komunikacijske tehnologije za kontinuitet poslovanja, praćenje fizičke sigurnosti, upravljanje konfiguracijom, brisanje podataka, maskiranje podataka, sprječavanje curenja podataka, praćenje aktivnosti, filtriranje weba i sigurno kodiranje.
Te nove kontrole nisu kozmetička dopuna. One odražavaju kako se rad i prijetnje stvarno mijenjaju. Obavještavanje o prijetnjama traži da tvrtka sustavno prikuplja i koristi podatke o aktualnim napadima, a ne da čeka da je netko pogodi. Sigurnost u oblaku priznaje da većina tvrtki danas drži ključne sustave kod vanjskih pružatelja, pa traži jasne uvjete korištenja i podjelu odgovornosti. Sigurno kodiranje i brisanje podataka pokrivaju cijeli životni ciklus podataka, od razvoja softvera do trenutka kad podatak treba nestati. Tvrtka koja prelazi s verzije iz 2013. na 2022. mora preslikati stare kontrole na novu strukturu i provjeriti pokriva li sada i ovih 11 novih tema.
Četiri teme i primjeri kontrola
Umjesto 14 područja, kontrole su sada u četiri teme. Podjela je jednostavnija za razumijevanje i lakša za dodjelu vlasnika. Organizacijske kontrole tiču se politika i upravljanja, ljudske se odnose na zaposlenike, fizičke na prostore i opremu, a tehnološke na tehničke mjere u sustavima.
| Tema | Broj | Primjeri kontrola |
|---|---|---|
| Organizacijske | 37 | Politike, uloge i odgovornosti, obavještavanje o prijetnjama, sigurnost u oblaku, upravljanje rizikom dobavljača, klasifikacija informacija. |
| Ljudske | 8 | Provjere pri zapošljavanju, svijest i obuka, disciplinske mjere, obveze nakon prestanka rada, prijava sigurnosnih događaja. |
| Fizičke | 14 | Fizički perimetri, kontrola ulaska, zaštita opreme, sigurno odlaganje, praćenje fizičke sigurnosti, čist stol i čist zaslon. |
| Tehnološke | 34 | Upravljanje pristupom, kriptografija, zapisivanje i praćenje, sigurnost mreže, sigurno kodiranje, brisanje i maskiranje podataka. |
Brojevi po temama, 37, 8, 14 i 34, zbrajaju se u 93. Tehnološke kontrole su najbrojnije jer pokrivaju širok raspon tehničkih mjera, od kontrole pristupa i kriptografije do nadzora i sigurnosti razvoja. Organizacijske kontrole slijede odmah iza jer obuhvaćaju upravljanje, politike i odnose s dobavljačima.
Podjela u četiri teme korisna je i za dodjelu odgovornosti. Organizacijske kontrole obično su u nadležnosti vodstva i voditelja sigurnosti, ljudske dijele sigurnost i ljudski resursi, fizičke pripadaju upravljanju objektima, a tehnološke informatici i razvoju. Kad je tema jasna, lakše je odrediti tko je vlasnik svake kontrole i tko prikuplja dokaze o njezinoj provedbi. Mali broj tema ne znači manje posla, nego pregledniju strukturu unutar koje se 93 kontrole lakše prate.
Kako se kontrole biraju
Izbor kontrola izravno proizlazi iz procjene rizika, ne obrnuto. Tvrtka najprije utvrdi imovinu, prijetnje i ranjivosti te procijeni vjerojatnost i učinak svakog rizika. Za rizike koje treba smanjiti zatim traži kontrole iz Annexa A koje na njih djeluju. Tek tada se odlučuje koje će se kontrole uvesti.
Kontrola se smije ostaviti neprimijenjenom, ali se izostavljanje mora obrazložiti. Primjer je kontrola za razvoj programske podrške u tvrtki koja ništa ne razvija sama. Takvo obrazloženje je legitimno. Ono što revizor ne prihvaća je izostavljanje bez razloga ili izostavljanje kontrole za koju očito postoji rizik. Annex A tako povezuje rizike s konkretnim mjerama, a ne ostavlja sigurnost na razini dobrih namjera.
- 01Provedite procjenu rizikaUtvrdite imovinu, prijetnje i ranjivosti te procijenite vjerojatnost i učinak.
- 02Povežite rizike s kontrolamaZa svaki rizik koji treba smanjiti razmotrite koje kontrole iz Annexa A djeluju na njega.
- 03Odlučite o primjenjivostiOdredite koje kontrole uvodite, a koje izostavljate i zašto.
- 04Dokumentirajte u SoAZapišite svaku kontrolu, status i obrazloženje u Izjavu o primjenjivosti.
- 05Uvedite i dokažiteProvedite kontrole u praksi i prikupite dokaze da rade.
Uloga Izjave o primjenjivosti
Izbor kontrola zapisuje se u Izjavu o primjenjivosti, na engleskom Statement of Applicability ili SoA. Za svaku kontrolu iz Annexa A SoA navodi primjenjuje li se, je li uvedena i obrazloženje. Taj dokument povezuje procjenu rizika s konkretnim kontrolama i obvezan je dio ISO 27001.
Revizori SoA gledaju među prvim dokumentima jer iz nje brzo vide odražava li sustav stvarno stanje ili je samo papir. Ako je kontrola označena kao uvedena, revizor traži dokaz. Ako je izostavljena, traži obrazloženje. SoA tako pokazuje da izbor kontrola nije proizvoljan, nego utemeljen na riziku.
Annex A je katalog iz kojeg birate, a procjena rizika je razlog zašto birate baš to.
Kako se dokazuje provedba
Tvrdnja da je kontrola uvedena vrijedi malo bez dokaza. Za svaku primijenjenu kontrolu tvrtka treba prikupiti zapise koji pokazuju da kontrola stvarno radi i da se primjenjuje dosljedno. Vrsta dokaza ovisi o kontroli. Za upravljanje pristupom to su zapisi o dodjeli i oduzimanju prava, za svijest zaposlenika potvrde o obuci, za sigurnost razvoja zapisi o pregledu koda.
- Za kontrolu pristupa: popisi korisnika, evidencija odobrenja i periodični pregledi prava.
- Za obavještavanje o prijetnjama: zapisi izvora obavještavanja i kako su podaci iskorišteni u odlukama.
- Za sigurno kodiranje: standardi kodiranja, rezultati pregleda i provjere u cjevovodu razvoja.
- Za brisanje podataka: politike zadržavanja i potvrde o sigurnom uklanjanju.
- Za odnose s dobavljačima: ugovori, sigurnosne klauzule i procjene rizika dobavljača.
Po našem iskustvu, prikupljanje dokaza je dio gdje tvrtke najviše podcijene posao, a stvarna procjena ovisi o opsegu sustava. Kontrola koja postoji na papiru, ali bez zapisa o primjeni, na reviziji se tretira kao da ne postoji. Zato je korisno već pri uvođenju kontrole odrediti koji će se zapis automatski stvarati i tko ga čuva.
Kako Raptoric pomaže
Pomažemo povezati vaše rizike s pravim kontrolama iz Annexa A, izraditi Izjavu o primjenjivosti koja odražava stvarno stanje i prikupiti dokaze za reviziju. Rad vodimo kroz upravljanje, rizik i usklađenost, neovisno i bez vezivanja uz pojedinog dobavljača. Dogovorite uvodni razgovor.