Сертификация ISO 27001 в Казахстане: этапы, требования и подготовка

Зачем казахстанской компании ISO 27001

ISO/IEC 27001:2022 описывает требования к системе менеджмента информационной безопасности (СМИБ). Сертификат подтверждает, что компания системно выявляет риски для информации, применяет обоснованные меры защиты и регулярно проверяет их эффективность. Сертификация добровольная, но на практике она становится условием участия в целом ряде сделок.

Типичные причины, по которым казахстанские компании начинают проект: запрос от зарубежного клиента или партнера, особенно из ЕС, где требования к цепочке поставок усилились после директивы NIS2; требования банков и финансовых организаций к своим IT-подрядчикам; участие в закупках крупных компаний, где сертификат дает дополнительные баллы или является квалификационным требованием; подготовка к выходу на международный рынок или к привлечению инвестиций.

Важно понимать, чего сертификат не делает. Он не освобождает от исполнения казахстанского законодательства и не заменяет обязательных процедур, если ваша система подпадает под них. Но хорошо построенная СМИБ существенно упрощает выполнение и местных, и зарубежных требований, потому что дает единую рамку для политик, рисков и доказательств. Одна и та же оценка рисков и один и тот же набор записей могут использоваться и для внутреннего контроля, и для ответов на анкеты клиентов.

Как ISO 27001 соотносится с требованиями Казахстана

В Казахстане базовые требования к информационной безопасности установлены Законом «Об информатизации» 2015 года и принятыми на его основе подзаконными актами, в том числе Едиными требованиями в области информационно-коммуникационных технологий и обеспечения информационной безопасности. Особенно детально они регулируют государственные органы, объекты информатизации электронного правительства и критически важные объекты ИКТ-инфраструктуры. Обработка персональных данных регулируется Законом «О персональных данных и их защите» 2013 года.

Казахстан принимает стандарты серии ISO/IEC 27000 в качестве национальных стандартов СТ РК. Если ваш заказчик ссылается на национальный стандарт, уточните, на какую редакцию, потому что национальные версии могут отставать от международной. Для международной сертификации ориентируйтесь на ISO/IEC 27001:2022: переходный период со старой редакции 2013 года завершился 31 октября 2025 года, и сертификаты по ней больше не действуют.

Практический совет: при оценке рисков включите применимые требования казахстанского законодательства в реестр законодательных и договорных требований. Контроль 5.31 Annex A прямо требует определить и выполнять правовые, нормативные и договорные требования. Если ваша компания работает с госорганами или квазигосударственным сектором, проверьте актуальные требования у уполномоченного органа, потому что они периодически обновляются.

Что требует стандарт: обязательная часть и Annex A

Стандарт состоит из двух частей. Разделы 4-10 обязательны без исключений: контекст организации и границы СМИБ, лидерство и политика, планирование с оценкой и обработкой рисков, ресурсы и компетентность, функционирование, оценка результатов (мониторинг, внутренний аудит, анализ со стороны руководства) и улучшение.

Приложение A содержит 93 меры обеспечения безопасности, сгруппированные в четыре темы:

• Организационные меры (37): политики, роли, управление активами, контроль доступа, отношения с поставщиками, управление инцидентами, непрерывность, соответствие требованиям.
• Меры в отношении персонала (8): проверка при найме, обучение, дисциплинарный процесс, удаленная работа.
• Физические меры (14): периметры, контроль входа, защита оборудования, политика чистого стола.
• Технологические меры (34): конечные устройства, привилегированный доступ, защита от вредоносного ПО, управление уязвимостями, резервное копирование, логирование, безопасная разработка.

Этапы сертификации шаг за шагом

Путь от решения до сертификата обычно выглядит одинаково независимо от страны.

• Оценка разрывов: сравнение текущего состояния с требованиями разделов 4-10 и Annex A.
• Определение границ СМИБ: какие продукты, офисы, команды и облачные среды входят в сертификацию.
• Оценка рисков и план обработки рисков, утвержденные владельцами рисков.
• Заявление о применимости (SoA): какие из 93 мер применяются, какие исключены и почему.
• Внедрение мер и сбор записей: политики, журналы, протоколы, отчеты.
• Внутренний аудит и анализ со стороны руководства.
• Сертификационный аудит этапа 1: проверка документации и готовности.
• Сертификационный аудит этапа 2: проверка фактического внедрения, интервью, выборки записей.
• Устранение несоответствий, решение о сертификации, затем ежегодные надзорные аудиты и ресертификация через три года.

Как выбрать орган по сертификации

Сертификат имеет ценность, только если его выдал признаваемый орган. В Казахстане работают как местные органы, аккредитованные национальным органом по аккредитации, так и представительства международных органов, аккредитованных за рубежом. Проверьте, является ли аккредитующий орган участником международных соглашений о взаимном признании в рамках IAF, и найдите сертификат органа и его область аккредитации.

Перед выбором задайте несколько вопросов. Признают ли сертификат этого органа ваши ключевые клиенты, особенно иностранные? Есть ли у органа аудиторы, говорящие на русском или казахском языке и понимающие ваш тип бизнеса? Может ли аудит проходить частично удаленно, если у вас распределенная команда? Публикуется ли сертификат в открытой базе, где клиент сможет его проверить?

Помните о разделении ролей. Орган по сертификации не может одновременно консультировать вас по внедрению: это нарушает требования к его беспристрастности. Если одна и та же организация предлагает и «внедрение под ключ», и сертификат, это повод насторожиться.

Какие доказательства спросит аудитор

Аудитор этапа 2 проверяет не наличие документов, а то, как они работают. Он выбирает несколько рисков из реестра и прослеживает их до реальных мер, берет выборку сотрудников и проверяет, когда им выдавали и отзывали доступы, просит показать журнал инцидентов и разбор хотя бы одного случая.

Подготовьте заранее: политику информационной безопасности и тематические политики; методику и результаты оценки рисков; SoA с обоснованием исключений; реестр активов; записи об обучении и осведомленности; журналы пересмотра прав доступа; результаты сканирования уязвимостей и устранения; протоколы тестирования восстановления из резервных копий; оценки поставщиков; программу и отчет внутреннего аудита; протокол анализа со стороны руководства с решениями.

Отдельное внимание уделите облачным сервисам. Многие казахстанские компании используют зарубежные облака или гибридную инфраструктуру. Аудитор спросит, как вы оценивали провайдера (контроль 5.23), где физически хранятся данные и как это соотносится с требованиями законодательства о персональных данных, включая требования к хранению отдельных баз на территории Казахстана.

Как спланировать проект и ресурсы

Продолжительность проекта зависит от размера компании, сложности инфраструктуры и того, насколько зрелы процессы на старте. Компания, где уже есть MFA, централизованное управление учетными записями, резервное копирование и описанная разработка, пройдет путь заметно быстрее, чем та, где все держится на нескольких администраторах. Важно заложить время не только на внедрение, но и на «прожитый» период: перед аудитом этапа 2 у вас должны быть записи о работе процессов, а не только утвержденные документы.

Минимальный состав команды проекта:

• Спонсор из высшего руководства, который утверждает политику, риски и ресурсы и участвует в анализе со стороны руководства.
• Ответственный за СМИБ, который координирует проект и потом поддерживает систему.
• Представители ИТ, разработки, HR и юридической функции как владельцы процессов и рисков.
• Внутренний аудитор, независимый от проверяемой области: им может быть обученный сотрудник другого подразделения или внешний специалист.

Частые ошибки при подготовке

Самая распространенная ошибка заключается в покупке шаблонного пакета документов, который не описывает реальные процессы. Аудитор быстро видит расхождения: в политике указано ежеквартальное ревью доступов, а журналов нет; описан процесс управления изменениями, а разработчики о нем не слышали.

Другие типичные проблемы: слишком широкие или, наоборот, искусственно узкие границы СМИБ; оценка рисков, сделанная один раз консультантом и больше не пересматривавшаяся; SoA, где исключены меры, которые на самом деле нужны; внутренний аудит, проведенный за неделю до сертификации без реальных выводов; руководство, которое не участвует и не может ответить на вопросы аудитора о целях СМИБ.

Еще одна ошибка характерна именно для быстрорастущих компаний: проект СМИБ ведется отдельно от реальной разработки и эксплуатации. В итоге новые сервисы запускаются без оценки рисков, подрядчики получают доступы в обход процедуры, а реестр активов устаревает через месяц после аудита. Встраивайте требования в существующие процессы: чек-лист безопасности в шаблон задачи на новый сервис, отзыв доступов в процедуру увольнения, проверку поставщика в процесс закупки. Тогда надзорный аудит через год не превратится в повторный аврал.

Чтобы понять, насколько вы готовы, начните с честной самооценки. Бесплатная самооценка на baltum.ai покажет уровень готовности по каждому разделу ISO 27001 и список первоочередных шагов.

Статья носит информационный характер и не является юридической консультацией. baltum.ai — независимое программное обеспечение, а не орган по сертификации.