Brána bezpečnosti vládních zakázek
Procesy vládních zakázek pro technologické nástroje jsou nejsystematičtěji blokovány bezpečnostními certifikacemi. Federální smlouvy USA pro cloudové služby vyžadují autorizaci FedRAMP (Federal Risk and Authorization Management Program) — proces, který obvykle trvá 12–24 měsíců a stojí stovky tisíc dolarů v přípravě na shodu. Většina softwarových prodejců neusiluje o autorizaci FedRAMP, čímž se efektivně vylučuje ze státních zakázek USA.
Pro vládní orgány EU je ekvivalentním standardem ISO 27001, často kombinované s:
- ENS (Esquema Nacional de Seguridad) pro Španělsko
- BSI IT-Grundschutz pro Německo
- CSPN pro Francii
- Cyber Essentials Plus pro UK
Co ISO 27001 ve skutečnosti certifikuje
ISO 27001 je systém správy bezpečnosti informací (ISMS), nikoli produktová certifikace:
Certifikace potvrzuje:
- Řízení rizik: identifikujete, hodnotíte a ošetřujete bezpečnostní rizika
- Řízení: vedení je zodpovědné za bezpečnost informací
- Kontroly: 93 přílohy A kontrol je hodnoceno pro relevanci
- Zlepšování: procesy průběžného zlepšení jsou zavedeny
Certifikace nepotvrzuje:
- Váš produkt je bezpečný (to závisí na vývoji produktu)
- Nikdy nebudete mít narušení bezpečnosti
- Váš kód byl auditován na zranitelnosti
Státní zakázky EU: Skutečné požadavky
Na základě analýzy 180 státních IT zakázek EU v roce 2024:
| Orgán | Požadavek | Přijatý standard |
|---|---|---|
| Instituce EU (EK, EP) | Soulad s GDPR + bezpečnost | ISO 27001 nebo ekvivalent |
| Vládní ministerstva DE | BSI IT-Grundschutz nebo ISO 27001 | ISO 27001 přijat |
| Státní sektor UK | Cyber Essentials Plus | ISO 27001 silně preferováno |
| Španělská vláda | ENS | Mapování ISO 27001 přijato |
| Francouzské vládní orgány | HDS pro zdravotnictví, PGSSI-S | ISO 27001 jako základ |
Co ISO 27001 odemyká pro SaaS prodejce PII nástrojů
Pro prodejce PII anonymizačních nástrojů ISO 27001 umožňuje:
Vládní zdravotnictví: Nemocnice, zdravotnické agentury a zdravotní databáze (velcí zpracovatelé PII) potřebují certifikaci pro smlouvové závazky
Vzdělávací instituce: Školy a university zpracovávající studentská data vyžadují certifikaci přijímatelnosti pro ochranu dat GDPR
Finanční orgány: Bankovní regulátoři a vládní finanční instituce vyžadují bezpečnostní audit
Soudní systémy: Orgány soudu, záznamy trestního soudnictví a prostředí e-discovery vyžadují přísné bezpečnostní záruky
anonym.legal: Certifikovaná shoda pro státní sektor
anonym.legal byl navržen od základů pro požadavky na ochranu dat státního sektoru:
- ISO 27001 — certifikace platná pro zpracování zákazníckých dat
- GDPR DPA — dostupné standardní smluvní doložky pro smlouvy státního sektoru
- Lokální zpracování — Desktop App option pro maximálně citlivá nasazení
- Auditní záznamy — exportovatelné záznamy pro vládní dozor
Zdroje: ISO 27001:2022 standard · Databáze rámců certifikace EU ENISA · Požadavky UK Cyber Essentials