Що таке ISO/IEC 27001?
ISO/IEC 27001 — міжнародний стандарт для систем управління інформаційною безпекою (СУІБ, ISMS). Він визначає, як організація виявляє ризики інформаційної безпеки, обирає заходи для їх обробки та постійно вдосконалює систему.
Чинна редакція ISO/IEC 27001:2022 містить вимоги до системи менеджменту в розділах 4–10 і 93 заходи безпеки в додатку A, згруповані в чотири теми: організаційні, щодо персоналу, фізичні та технологічні. Сертифікат видає акредитований орган із сертифікації після двоетапного аудиту; його підтримують щорічними наглядовими аудитами протягом трирічного циклу.
Кому потрібна сертифікація ISO 27001?
- SaaS- та IT-компаніям, від яких клієнти вимагають підтвердження безпеки в тендерах і анкетах постачальників
- Компаніям-розробникам і аутсорсинговим командам, що працюють із клієнтами з ЄС, Великої Британії та США
- Фінтеху, криптовалютним і платіжним компаніям, які готуються до DORA або перевірок партнерів
- Дата-центрам, хостинг-провайдерам і постачальникам керованих послуг
- Українським компаніям, що виходять на ринок ЄС і мають відповідати вимогам європейських клієнтів
Що перевіряє безкоштовна самооцінка ISO 27001
Запитання повторюють структуру, за якою працює аудитор, тому результати прямо відповідають тому, що перевірятимуть:
- Контекст, сфера застосування та зацікавлені сторони (розділ 4)
- Лідерство, політика інформаційної безпеки та ролі (розділ 5)
- Оцінювання та обробка ризиків, положення про застосовність (розділ 6)
- Ресурси, компетентність, обізнаність і задокументована інформація (розділ 7)
- Заходи з додатка A: управління доступом, активами, безпека постачальників, інциденти, резервне копіювання, безпечна розробка та інші
- Моніторинг, внутрішній аудит і аналізування з боку керівництва (розділ 9), коригувальні дії (розділ 10)
Типові прогалини перед аудитом ISO 27001
Саме ці проблеми найчастіше стають невідповідностями. Самооцінка покаже, які з них є у вас, щоб ви виправили їх ще до того, як платити за аудит.
- Оцінка ризиків є, але положення про застосовність їй не відповідає
- Політики написані, але немає доказів їх виконання: журналів, записів, навчання
- До аудиту першого етапу не проведено внутрішній аудит і аналізування з боку керівництва
- Безпеку постачальників і хмарних сервісів не оцінюють
- Права доступу не переглядають, колишні працівники зберігають доступ
Від самооцінки до сертифікації
Самооцінка — перший крок. Якщо хочете піти далі, BALTUM, наш AI-аудитор, проведе імітацію аудиторського інтерв'ю: попросить докази до кожної відповіді й підготує звіт із невідповідностями, класифікованими так, як це робить аудитор.
baltum.ai — незалежне програмне забезпечення, а не орган із сертифікації. Сертифікат видає обраний вами акредитований орган із сертифікації, і ніщо на платформі не впливає на його рішення.