Что такое ISO 27001 и нужна ли вашей компании сертификация
Основы4 минРедакция Innovialabs
Коротко
ISO 27001 — международный стандарт системы управления информационной безопасностью (ISMS); сертификат нужен, когда его прямо требуют клиенты, тендеры или партнеры, а в остальных случаях часто достаточно облегченного набора политик по его образцу.
Короткий ответ
ISO/IEC 27001 — международный стандарт, который описывает, как построить и поддерживать систему управления информационной безопасностью (ISMS, Information Security Management System). Стандарт не требует конкретных программ или настроек. Он требует, чтобы компания понимала свои риски, выбирала меры защиты осознанно, документировала их и регулярно проверяла, что они работают.
Сертификат подтверждает, что независимый аудитор проверил эту систему. Нужен он прежде всего тогда, когда его требуют клиенты, тендеры или регуляторы. Если таких требований нет, разумнее начать с облегченного набора политик и практик и вернуться к сертификации, когда появится запрос.
Что такое ISMS
ISMS — это не программа и не отдел, а набор процессов и правил:
- какие информационные активы есть у компании и кто за них отвечает;
- какие риски им угрожают и как они оцениваются;
- какие меры выбраны для снижения рисков и почему;
- как сотрудников обучают, как реагируют на инциденты;
- как руководство контролирует, что все это работает и улучшается.
Ключевая идея — цикл Plan-Do-Check-Act: спланировали, внедрили, проверили, улучшили. Безопасность становится регулярным процессом, а не разовым проектом.
Как устроен стандарт
Стандарт состоит из двух частей.
Основные разделы (clauses 4-10) — обязательные требования к самой системе управления:
| Раздел | О чем |
|---|---|
| Контекст | границы ISMS, заинтересованные стороны |
| Лидерство | роль руководства, политика ИБ |
| Планирование | оценка и обработка рисков |
| Поддержка | ресурсы, компетенции, документация |
| Функционирование | выполнение плана обработки рисков |
| Оценка | мониторинг, внутренний аудит, анализ руководством |
| Улучшение | несоответствия и корректирующие действия |
Приложение A (Annex A) — каталог мер защиты (controls). В актуальной редакции они сгруппированы в четыре темы: организационные, кадровые, физические и технологические. Сюда входят управление доступом, резервное копирование, безопасная разработка, работа с поставщиками и многое другое.
Важный документ — Statement of Applicability (SoA): в нем компания перечисляет все меры из Annex A и объясняет, какие применяет и почему исключила остальные. Это делает стандарт гибким: небольшая компания без собственного серверного помещения не обязана внедрять меры для дата-центра.
Как проходит сертификация
- Определение границ. Что входит в ISMS: вся компания, один продукт или одна площадка.
- Оценка рисков и выбор мер. Составляется реестр рисков и SoA.
- Внедрение и документирование. Политики, процедуры, технические меры.
- Работа системы. Перед аудитом ISMS должна какое-то время реально функционировать: собираются записи, проводятся внутренний аудит и анализ со стороны руководства.
- Аудит Stage 1. Аккредитованный орган по сертификации проверяет документацию и готовность.
- Аудит Stage 2. Проверка того, что процессы реально выполняются: интервью, записи, выборочная проверка мер.
- Сертификат и надзор. Сертификат обычно действует три года, в этот период проходят ежегодные надзорные аудиты, затем ресертификация.
Сроки: от чего зависят
Точного срока нет, но это проект на месяцы, а не на недели. Длительность определяют:
- размер границ ISMS: один продукт проще, чем вся компания;
- зрелость текущих практик: есть ли уже управление доступом, бэкапы, логирование;
- ресурсы: есть ли выделенный ответственный и поддержка руководства;
- период работы системы до аудита, чтобы накопились доказательства;
- загрузка органа по сертификации.
Когда сертификат действительно нужен
- Корпоративные или международные клиенты прописывают его в договоре или анкете поставщика.
- Тендеры с явным требованием сертификата.
- Вы обрабатываете чувствительные данные клиентов как подрядчик: SaaS, хостинг, финтех, аутсорсинг разработки.
- Отраслевой регулятор или партнер ожидает формального подтверждения.
Когда хватит облегченного набора политик
Если сертификат никто не требует, можно взять стандарт как ориентир и внедрить базу:
- политика доступа и паролей с обязательной 2FA;
- реестр активов и рисков в простой таблице;
- процедура резервного копирования с тестами восстановления;
- порядок приема и увольнения сотрудников;
- план реагирования на инциденты;
- требования к подрядчикам.
Это закрывает большинство вопросов из анкет безопасности клиентов и облегчит сертификацию в будущем.
Частые ошибки
- Покупать шаблоны документов, которые никто не выполняет: аудитор проверяет практику, а не только бумаги.
- Делать слишком широкие границы с первого раза.
- Перекладывать все на одного специалиста без участия руководства.