Что такое ISO/IEC 27001?
ISO/IEC 27001 — международный стандарт для систем управления информационной безопасностью (СУИБ, ISMS). Он определяет, как организация выявляет риски информационной безопасности, выбирает меры для их обработки и постоянно улучшает систему.
Действующая редакция ISO/IEC 27001:2022 содержит требования к системе менеджмента в разделах 4–10 и 93 меры обеспечения безопасности в приложении A, объединённые в четыре темы: организационные, связанные с персоналом, физические и технологические. Сертификат выдаёт аккредитованный орган по сертификации после двухэтапного аудита; он поддерживается ежегодными надзорными аудитами в течение трёхлетнего цикла.
Кому нужна сертификация ISO 27001?
- SaaS- и IT-компаниям, у которых клиенты требуют подтверждения безопасности в тендерах и анкетах поставщиков
- Компаниям-разработчикам и аутсорсинговым командам, работающим с клиентами из ЕС, Великобритании и США
- Финтеху, криптовалютным и платёжным компаниям, которые готовятся к DORA или проверкам партнёров
- Дата-центрам, хостинг-провайдерам и поставщикам управляемых услуг
- Компаниям из Казахстана, Узбекистана, Грузии, Азербайджана, Армении и стран Балтии, выходящим на рынки ЕС
Что проверяет бесплатная самооценка ISO 27001
Вопросы повторяют структуру, по которой работает аудитор, поэтому результаты напрямую соответствуют тому, что будет проверяться:
- Контекст, область применения и заинтересованные стороны (раздел 4)
- Лидерство, политика информационной безопасности и роли (раздел 5)
- Оценка и обработка рисков, положение о применимости (раздел 6)
- Ресурсы, компетентность, осведомлённость и документированная информация (раздел 7)
- Меры из приложения A: управление доступом, активами, безопасность поставщиков, инциденты, резервное копирование, безопасная разработка и другие
- Мониторинг, внутренний аудит и анализ со стороны руководства (раздел 9), корректирующие действия (раздел 10)
Типичные пробелы перед аудитом ISO 27001
Именно эти проблемы чаще всего становятся несоответствиями. Самооценка покажет, какие из них есть у вас, чтобы вы исправили их до того, как платить за аудит.
- Оценка рисков есть, но положение о применимости ей не соответствует
- Политики написаны, но нет доказательств их выполнения: журналов, записей, обучения
- До аудита первого этапа не проведены внутренний аудит и анализ со стороны руководства
- Безопасность поставщиков и облачных сервисов не оценивается
- Права доступа не пересматриваются, у бывших сотрудников остаётся доступ
От самооценки к сертификации
Самооценка — первый шаг. Если хотите пойти дальше, BALTUM, наш AI-аудитор, проведёт имитацию аудиторского интервью: запросит доказательства к каждому ответу и подготовит отчёт с несоответствиями, классифицированными так, как это делает аудитор.
baltum.ai — независимое программное обеспечение, а не орган по сертификации. Сертификат выдаёт выбранный вами аккредитованный орган по сертификации, и ничто на платформе не влияет на его решение.