Сертификат ISO 27001

Какой стандарт применяется

В России действует ГОСТ Р ИСО/МЭК 27001-2021 «Информационная технология. Методы и средства обеспечения безопасности. Системы менеджмента информационной безопасности. Требования». Он утверждён приказом Росстандарта № 1653-ст, введён в действие с 1 января 2022 года взамен ГОСТ Р ИСО/МЭК 27001-2006 и идентичен международному стандарту ISO/IEC 27001:2013.

Международная редакция ISO/IEC 27001:2022 перестроила перечень мер обеспечения безопасности (приложение A) и сократила их число за счёт объединения. Национального перевода этой редакции пока нет, поэтому при сертификации в национальной системе ориентируются на ГОСТ Р ИСО/МЭК 27001-2021, а для зарубежных заказчиков сопоставляют меры с редакцией 2022 года.

Что входит в систему

Оценка рисков и Положение о применимости

Ядро стандарта — процесс оценки и обработки рисков информационной безопасности. Организация определяет методику, выявляет риски для конфиденциальности, целостности и доступности информации, оценивает их и выбирает способы обработки. По результатам составляют Положение о применимости: перечень мер из приложения A с указанием, применяется ли мера и почему.

На сертификационном аудите проверяют не наличие документов, а то, что меры реально действуют: права доступа пересматриваются, инциденты регистрируются и разбираются, резервные копии восстанавливаются, сотрудники обучены. Поэтому между внедрением и аудитом нужен период работы системы с записями.

Как проходит сертификация

Сертификационный аудит обычно проводят в два этапа: на первом оценивают документацию и готовность, на втором — внедрение и результативность системы на площадках. Сертификат выдают на три года при условии ежегодных надзорных аудитов; по окончании срока проводят ресертификацию.

Сертификацию проводит орган в системе добровольной сертификации. Для зарубежных заказчиков важно, в какой системе выдан сертификат и признаётся ли он ими, — это мы уточняем до начала работ.

Виды продукции и особенности

ИТ-компании и разработчики

Сертификат запрашивают крупные заказчики и зарубежные партнёры при выборе подрядчика.

Центры обработки данных

Область часто ограничивают инфраструктурой и процессами эксплуатации.

Финансовые и сервисные компании

Система помогает упорядочить управление доступом и инцидентами.

Производственные компании

В область включают инженерные данные и системы управления производством.

План работ

• Диагностика
• Риски
• Документы
• Внедрение
• Аудит

Выбор документа

Сертификат СМИБ по ГОСТ Р ИСО/МЭК 27001-2021.

Что вы получаете

Готовый документ — сертификат или декларация, внесённые в реестр, — протоколы испытаний аккредитованной лаборатории, обоснование безопасности или техническая документация, проверенные маркировка и руководство, а также рекомендации, какие изменения конструкции, рецептуры или изготовителя потребуют новых испытаний и обновления документов.

Подробнее об оформлении

Хранение и обновление документов

Проходите надзорные аудиты ежегодно и обновляйте оценку рисков.

Контекст организации

Стандарт требует определить внешние и внутренние факторы, влияющие на информационную безопасность, и заинтересованные стороны с их требованиями: заказчиков, регуляторов, партнёров. Из этого анализа следует область применения системы и цели в области информационной безопасности.

Роль руководства

Высшее руководство утверждает политику информационной безопасности, распределяет ответственность и ресурсы, проводит анализ системы. На аудите проверяют, что руководство действительно участвует: принимает решения по рискам и рассматривает результаты.

Управление инцидентами

Система должна обеспечивать обнаружение, регистрацию, анализ и устранение инцидентов, а также извлечение уроков. Журнал инцидентов и отчёты по ним — одни из первых записей, которые запрашивает аудитор.

Непрерывность деятельности

Меры обеспечения непрерывности включают резервное копирование, планы восстановления и их проверку. Аудитор оценивает, проводились ли тесты восстановления и какие выводы из них сделаны.

Обучение персонала

Сотрудники должны знать политику, свои обязанности и порядок сообщения об инцидентах. Записи об обучении и проверке знаний — обязательная часть доказательств работы системы.

Внутренний аудит

Перед сертификационным аудитом проводят внутренний аудит всей области и анализ системы руководством. Выявленные несоответствия устраняют корректирующими действиями, и это тоже проверяет орган.

Сроки внедрения

Срок внедрения зависит от зрелости процессов и размера области: небольшой компании с упорядоченной ИТ-инфраструктурой нужно меньше времени, чем распределённой организации. Срок называем после диагностики.

Связь с другими стандартами

Систему информационной безопасности удобно интегрировать с системой менеджмента качества по ISO 9001: общие требования к документации, аудиту и анализу руководством совпадают по структуре. Интегрированная система проходит совместный аудит.

Стоимость

Стоимость складывается из работ по внедрению и услуг органа по сертификации; она зависит от численности персонала в области, числа площадок и сложности процессов. Расчёт делаем после диагностики.

Что входит в работу

• диагностика и определение области;
• методика и оценка рисков;
• Положение о применимости и процедуры;
• обучение и внутренний аудит;
• сопровождение сертификационного аудита.

Как работаем

1. Диагностика Оценка текущего состояния. Результат: отчёт о разрывах
2. Документы Политика, процедуры, записи. Результат: комплект
3. Внедрение Обучение и практика. Результат: работающая система
4. Аудит Внутренний и сертификационный. Результат: заключение
5. Сертификат Выдача и надзор. Результат: документ

Что нужно от вас

• описание деятельности и площадок;
• перечень информационных систем;
• действующие политики ИБ;
• список поставщиков ИТ-услуг;
• требования заказчиков.

Частые ошибки

• слишком широкая область на старте;
• Положение о применимости без обоснований;
• поставщики вне оценки рисков;
• нет записей о работе мер;
• ожидание, что сертификат заменит требования закона.

Связаться с нами

Пришлите перечень моделей или марок, рецептуры, ТУ или руководство по эксплуатации, имеющиеся сертификаты и протоколы изготовителя, укажите, кому продаёте: производствам, подрядчикам, на тендеры, в розницу или на маркетплейсах. В течение рабочего дня ответим, какой документ нужен, что подготовить и сколько займёт работа.

Полезно прочитать

• Сертификат ISO 14001
• Сертификат ISO 45001

Вопросы и ответы