ISO 27001 в Україні: що це таке і як підготуватися до сертифікації

Що таке ISO 27001 і СУІБ

ISO/IEC 27001 — міжнародний стандарт, який встановлює вимоги до системи управління інформаційною безпекою (СУІБ). Чинна редакція — ISO/IEC 27001:2022. Стандарт не диктує, які саме продукти чи технології використовувати. Він вимагає, щоб компанія системно визначала ризики для інформації, обирала заходи їх зниження, документувала рішення і постійно вдосконалювала процеси.

Стандарт складається з двох частин. Розділи 4–10 описують саму систему управління: контекст організації, лідерство, планування, ресурси, операційну діяльність, оцінювання результативності та поліпшення. Додаток A містить перелік із 93 заходів контролю, згрупованих у чотири теми: організаційні, щодо персоналу, фізичні та технологічні.

Інформаційна безпека в розумінні стандарту — це збереження конфіденційності, цілісності та доступності інформації. Йдеться не лише про кібербезпеку і захист серверів, а й про людей, процеси, постачальників, фізичний доступ до офісу та роботу з паперовими документами. Саме тому СУІБ торкається майже всіх підрозділів компанії, а не тільки ІТ-відділу.

Навіщо ISO 27001 українським ІТ- та аутсорсинговим компаніям

Для компаній, що працюють з клієнтами з ЄС, сертифікат ISO 27001 — один із найзрозуміліших способів показати зрілий підхід до інформаційної безпеки. Він скорочує кількість запитань в анкетах постачальника і полегшує проходження due diligence.

Додатковий тиск створює європейське регулювання. Регламент DORA для фінансового сектору та директива NIS2 для важливих і суттєвих суб’єктів вимагають від організацій керувати ризиками ланцюга постачання, зокрема ризиками ІТ-підрядників. Українські постачальники напряму можуть і не підпадати під ці акти, але їхні клієнти переносять вимоги в договори та аудити. ISO 27001 не замінює відповідності DORA чи NIS2, проте дає спільну мову й перевірену основу.

Для українських компаній є й власна специфіка. Робота в умовах воєнного стану, розподілені команди, релокація працівників і залежність від енергопостачання роблять питання безперервності бізнесу та віддаленого доступу особливо актуальними. Стандарт допомагає формалізувати ці ризики і показати клієнтам, як компанія ними керує.

• Довіра європейських клієнтів і перевага в тендерах.
• Менше часу на заповнення анкет безпеки та відповіді на аудити клієнтів.
• Прозоре управління ризиками замість реагування на інциденти постфактум.
• Основа для відповідності іншим вимогам, зокрема GDPR.

Кроки до сертифікації

Шлях до сертифіката має типову послідовність. Порядок може дещо відрізнятися, але логіка однакова для більшості компаній.

Найважливіший і найбільш трудомісткий етап — оцінка ризиків. Саме на її результатах ґрунтуються вибір заходів контролю, SoA і план обробки ризиків. Методика оцінки має бути задокументована і давати порівнянні результати при повторному застосуванні, а власники ризиків мають погодити план їх обробки і прийняти залишкові ризики.

Орган з сертифікації варто обирати заздалегідь і перевіряти його акредитацію. Сертифікат від неакредитованого органу може не прийняти ваш клієнт, тому цей момент краще уточнити ще до підписання договору на аудит.

• Визначення області застосування (scope): які підрозділи, локації, продукти та процеси охоплює СУІБ. Занадто широка область ускладнює впровадження, занадто вузька може не задовольнити клієнтів.
• Оцінка ризиків: ідентифікація активів і загроз, оцінка ймовірності та наслідків, вибір способу обробки ризиків.
• Декларація про застосовність (Statement of Applicability, SoA): перелік заходів з Додатка A з обґрунтуванням, чому кожен застосовується чи виключається.
• Політики та процедури: політика інформаційної безпеки, правила контролю доступу, управління інцидентами, резервне копіювання, робота з постачальниками тощо.
• Операційна діяльність і записи: система має реально працювати, а її функціонування — підтверджуватися журналами, протоколами, звітами.
• Внутрішній аудит: незалежна перевірка, чи відповідає СУІБ вимогам стандарту і власним правилам компанії.
• Аналіз з боку керівництва: формальний перегляд результатів, ризиків і рішень щодо поліпшення.
• Сертифікаційний аудит в акредитованого органу: етап 1 (перевірка документації та готовності) і етап 2 (оцінка впровадження на практиці).

Політика інформаційної безпеки: з чого почати документацію

Політика інформаційної безпеки — документ верхнього рівня, який затверджує керівництво. Вона фіксує цілі у сфері безпеки, зобов’язання виконувати застосовні вимоги та постійно поліпшувати СУІБ. Добра політика коротка й зрозуміла кожному працівнику, а деталі виносяться в тематичні політики та процедури.

Типова помилка — завантажити шаблон на десятки сторінок і не адаптувати його. Аудитор перевіряє не наявність документа, а те, чи відповідає він реальним процесам компанії і чи знають про нього люди.

Корисно заздалегідь визначити, як документи зберігаються, хто їх затверджує і як часто переглядає. Стандарт вимагає керувати документованою інформацією: контролювати версії, доступ і актуальність. Для невеликої компанії для цього цілком достатньо впорядкованого корпоративного сховища з чіткими правилами, спеціалізоване програмне забезпечення не є обов’язковим.

Скільки часу займає підготовка

Для малих і середніх компаній підготовка до сертифікації зазвичай триває від 4 до 9 місяців. Строк залежить від розміру області застосування, зрілості наявних процесів, доступності людей і того, наскільки активно залучене керівництво.

Варто врахувати, що до етапу 2 система має пропрацювати певний час, щоб з’явилися записи: результати оцінки ризиків, внутрішнього аудиту, аналізу з боку керівництва, журнали інцидентів. Після сертифікації органи з сертифікації зазвичай проводять щорічні наглядові аудити, а раз на три роки — ресертифікацію.

Прискорити процес допомагає чіткий розподіл ролей. Має бути відповідальна особа за СУІБ, власники ключових процесів і спонсор з числа керівництва, який ухвалює рішення про ресурси. Коли впровадження доручають одній людині без повноважень, проєкт зазвичай затягується.

Орієнтовно перший місяць-два йдуть на визначення області застосування, оцінку ризиків і SoA, наступні кілька місяців — на впровадження заходів і документації, після чого настає період роботи системи, внутрішній аудит і аналіз з боку керівництва.

Типові прогалини, які виявляють на аудиті

Більшість невідповідностей пов’язані не з відсутністю технологій, а з тим, що процеси не описані, не виконуються регулярно або не підтверджуються записами. Ось що трапляється найчастіше:

Кожну з цих прогалин можна закрити ще до сертифікаційного аудиту, якщо виявити її вчасно. Саме для цього і потрібні внутрішній аудит та попередня оцінка готовності: вони дозволяють виправити невідповідності у спокійному режимі, а не під час перевірки органом з сертифікації.

• Оцінка ризиків формальна або не оновлювалася після змін в інфраструктурі.
• SoA не узгоджена з результатами оцінки ризиків.
• Немає актуального реєстру активів та їх власників.
• Права доступу не переглядаються регулярно, звільнені працівники зберігають доступ.
• Ризики постачальників і хмарних сервісів не оцінюються.
• Резервні копії створюються, але відновлення не тестується.
• Інциденти не реєструються або реєструються без аналізу причин.
• Внутрішній аудит і аналіз з боку керівництва не проведені до сертифікаційного аудиту.
• Навчання з інформаційної безпеки не підтверджене записами.

Як поєднати ISO 27001 з іншими вимогами

Українські компанії, що працюють з ЄС, рідко мають справу лише з одним стандартом. Клієнти можуть одночасно запитувати відповідність GDPR, звіти SOC 2 або підтвердження готовності до вимог DORA і NIS2. Добра новина в тому, що значна частина заходів перетинається: управління доступом, реагування на інциденти, резервне копіювання, оцінка постачальників, навчання персоналу.

Тому доцільно будувати СУІБ як єдину основу, а специфічні вимоги інших документів додавати поверх неї. Наприклад, заходи захисту персональних даних можна пов’язати з реєстром операцій з обробки за GDPR, а процедуру реагування на інциденти — доповнити строками повідомлення клієнтів, які встановлено в договорах. Такий підхід зменшує дублювання документів і полегшує підготовку до різних аудитів.

Як самооцінка допомагає підготуватися

Перед тим як планувати проєкт впровадження, корисно чесно подивитися на поточний стан. Безкоштовна самооцінка ISO 27001 на baltum.ai займає 10–15 хвилин. За результатами ви отримуєте оцінку готовності, звіт про прогалини щодо вимог стандарту та рекомендації на основі ШІ щодо пріоритетних кроків.

Самооцінка не є аудитом і не замінює сертифікації в акредитованому органі. Але вона допомагає зрозуміти обсяг роботи, реалістично оцінити строки та бюджет і прийти до розмови з командою чи аудитором уже з конкретним планом.

Стаття має інформаційний характер і не є юридичною консультацією. baltum.ai — незалежне програмне забезпечення, а не орган із сертифікації.