Клиент присылает форму оценки поставщика, и в ней выделяется один вопрос: «Есть ли у вас сертификат ISO 27001?» В этой статье рассказывается, что такое ISO 27001, кто выдаёт сертификат и как компания может подготовиться к этому процессу.
Что такое ISO 27001?
Под официальным названием ISO/IEC 27001 понимается международный стандарт для систем менеджмента информационной безопасности (СМИБ; по-турецки BGYS, по-английски ISMS). По определению ISO, это самый известный в мире стандарт в данной области; он определяет требования, которым должна отвечать система менеджмента информационной безопасности.
Стандарт рассчитан на компании любого размера и любой отрасли. Его цель — предложить фреймворк, с помощью которого компания может создать, внедрить, поддерживать и постоянно улучшать свою систему менеджмента информационной безопасности.
Небольшое замечание об обозначении: в повседневной речи говорят «ISO 27001». Однако, поскольку стандарт издан ISO и Международной электротехнической комиссией (IEC) совместно, его официальное обозначение — ISO/IEC 27001.
Какая версия актуальна?
Согласно странице стандарта на сайте ISO, действующая версия — ISO/IEC 27001:2022. Третье издание стандарта вышло в октябре 2022 года. Предыдущая версия 2013 года отозвана. К версии 2022 года в 2024 году была опубликована поправка, вносящая изменения, связанные с климатическими действиями (ISO/IEC 27001:2022/Amd 1:2024).
Эта деталь важна, поскольку ISO рекомендует всегда ссылаться на стандарт с указанием его полного обозначения: вместо «имеет сертификат ISO 27001» — «сертифицирован на соответствие ISO/IEC 27001:2022». При изучении сертификата поставщика нужно смотреть, по какой версии стандарта он выдан.
Три вещи, которые стремится защитить стандарт
ISO объясняет основу стандарта через три принципа информационной безопасности:
| Принцип | Пояснение ISO | Пример риска (ISO) |
|---|---|---|
| Конфиденциальность | Доступ к информации имеют только уполномоченные лица | Кража и продажа учётных данных клиентов |
| Целостность | Данные хранятся надёжно, не удаляются и не искажаются | Случайное удаление сотрудником строки в файле в ходе обработки |
| Доступность | Информация доступна тогда, когда она нужна | Выход базы данных из строя из-за проблемы с сервером и недостаточного резервного копирования |
Согласно ISO, система, отвечающая требованиям стандарта, защищает эти три свойства, применяя процесс управления рисками, и даёт заинтересованным сторонам уверенность в том, что риски управляются адекватно. Стандарт делает это, не ограничиваясь технологиями, а применяя целостный подход, в котором люди, политики и технологии рассматриваются вместе.
Кто выдаёт сертификат?
Именно здесь чаще всего возникает путаница. Разъяснение самой ISO однозначно: ISO не проводит сертификацию и не выдаёт сертификаты. Сертификацию проводят независимые органы по сертификации. Иными словами, компанию нельзя сертифицировать «силами ISO».
ISO разграничивает два понятия следующим образом:
- Сертификация: выдача независимой организацией письменного подтверждения (сертификата) того, что продукт, услуга или система отвечают определённым требованиям.
- Аккредитация: официальное признание независимым органом (органом по аккредитации) того, что орган по сертификации работает в соответствии с международными стандартами.
В Турции органом по аккредитации является TÜRKAK (Турецкое агентство по аккредитации). ISO отмечает, что сертификат, полученный от аккредитованной организации, может обеспечить дополнительный уровень доверия, поскольку компетентность органа по сертификации независимо подтверждена. В том же разъяснении также сказано, что аккредитация не является обязательной, а отсутствие аккредитации не означает, что организация ненадёжна.
Как выбрать орган по сертификации?
Рекомендации ISO можно свести к трём пунктам:
- Сравните несколько органов по сертификации.
- Проверьте, применяет ли орган в процессе сертификации соответствующий стандарт CASCO (стандарты комитета ISO по оценке соответствия).
- Проверьте, аккредитован ли он. Для этого можно обратиться в национальный орган по аккредитации вашей страны или воспользоваться международной базой данных IAF CertSearch.
Как проверить сертификат?
Чтобы проверить документ, предоставленный поставщиком, ISO указывает два пути: найти сертификат в базе данных IAF CertSearch либо напрямую обратиться с вопросом в орган по сертификации, выдавший документ, или в орган по аккредитации. В Турции Belge Doğrulama Sistemi (система верификации документов) агентства TÜRKAK позволяет в электронном виде проверять сертификаты систем менеджмента, выданные организациями, аккредитованными этим агентством.
Подготовка к сертификации: с чего начать?
Поскольку сам стандарт представляет собой перечень требований, подготовка — это построение системы менеджмента, а не разовый технический проект. Приведённая ниже последовательность — не разделы стандарта, а общая схема для планирования подготовки:
- Определите область применения. Будет ли система охватывать всю компанию или только отдельные подразделения либо услуги?
- Составьте перечень информационных активов. Какие данные, системы и процессы будут защищаться?
- Оцените риски. Для каждого актива запишите, что может пойти не так с точки зрения конфиденциальности, целостности и доступности, а также какое воздействие это окажет.
- Выберите и внедрите меры контроля. Принимайте меры с учётом риска в таких областях, как права доступа, резервное копирование, управление поставщиками и реагирование на инциденты.
- Вовлеките сотрудников. Как подчёркивает ISO, информационная безопасность — это не только технологии, но также люди и политики.
- Проведите внутренний аудит и анализ со стороны руководства. Затем подайте заявку на аудит в выбранный вами орган по сертификации.
Сертификация добровольна. По данным ISO, одни компании применяют стандарт лишь для того, чтобы воспользоваться заложенными в нём лучшими практиками, а другие, помимо этого, получают сертификат, чтобы дать гарантии своим клиентам.
Насколько это распространено?
Согласно данным ISO Survey 2022, которые приводит ISO, в 150 странах и во всех секторах экономики — от сельского хозяйства и производства до социальных услуг — в отчётности было зафиксировано более 70 000 сертификатов ISO/IEC 27001. По данным ISO Survey 2021, около одной пятой действующих сертификатов приходилось на сектор информационных технологий.
Заключение
ISO 27001 — это фреймворк, благодаря которому информационная безопасность перестаёт быть лишь ИТ-вопросом и становится частью управления компанией. Прежде чем начинать путь к сертификации, вам будет проще, если вы заранее проясните три вопроса: какой будет область применения, какие информационные активы наиболее критичны и в каком аккредитованном органе вы получите документ?
Связанные статьи: Реагирование на инциденты при нарушении кибербезопасности · Утечки данных на стороне поставщиков и KVKK (турецкий закон о защите персональных данных)
#interimmanagement #forwarddeployedengineering