Менеджмент информационной безопасности (ISO/IEC 27001) — сертификация

ISO/IEC 27001 определяет требования к системе управления информационной безопасностью (СУИБ) для защиты конфиденциальности, целостности и доступности информации. Он основан на рисках: организация оценивает свои собственные активы и угрозы, а также документы, которые контролируют, из Приложения А, которые она будет применять вместе с обоснованием в Заявлении о применимости (SoA). Текущей версией является ISO/IEC 27001:2022, а Приложение A содержит 93 элемента управления по четырем темам.

• Поставщики программного обеспечения, SaaS и облачных услуг
• Финансовые, медицинские и электронные коммерции организации, обрабатывающие данные клиентов
• Поставщики обязаны отвечать на анкеты корпоративных клиентов по безопасности (оценка поставщиков)
• Организации, предоставляющие критически важную инфраструктуру и государственные услуги
• Контроллеры данных обязаны подтверждать свои технические и организационные меры в соответствии с KVKK/GDPR

Как правило, не является обязательным; есть исключения в секторах. На практике основной движущей силой является договор: крупные предприятия-покупатели требуют от своих поставщиков сертификат ISO/IEC 27001. KVKK и GDPR не налагают требований по сертификации, но требуют соответствующих технических и организационных мер; сертификат используется в качестве доказательства этих мер.

• Разделы 4–10 — Требования СМИБ: контекст, руководство, планирование, поддержка, эксплуатация, оценка эффективности, улучшение.
• Процесс оценки и обработки рисков; Заявление о применимости (SoA)
• Приложение А/Тема 1 — Организационные средства контроля (37 средств контроля): политики, роли, управление активами, отношения с поставщиками, управление инцидентами, непрерывность, соответствие требованиям
• Приложение A/Тема 2 — Кадровый контроль (8): проверка, условия приема на работу, осведомленность и обучение, дисциплинарный процесс, удаленная работа
• Приложение А/Тема 3. Физический контроль (14 контрольных точек) — охраняемые зоны, контроль входа, безопасность оборудования, свободный стол
• Приложение A / Тема 4. Технологические средства контроля (34 средства контроля) — безопасность конечных точек, привилегированный доступ, криптография, ведение журнала, управление уязвимостями, сетевая безопасность, безопасная разработка, предотвращение утечки данных.

1. 1ОбращениеОпределяются сфера деятельности организации, численность персонала, количество объектов и границы масштабов. На основании этой информации рассчитывается количество аудиторских дней.
2. 2Проверка документов (этап 1)Проверяются документация системы менеджмента, определение объема работ, оценка рисков и записи внутреннего аудита/проверки со стороны руководства; оценивается готовность к выездной проверке.
3. 3Сертификационный аудит (2 этап)На месте проверяется, что система внедрена и эффективна. Выводы классифицируются как значительные/незначительные несоответствия или наблюдения.
4. 4Закрытие несоответствийОрганизация представляет анализ первопричин и план корректирующих действий. Сертификат не выдается до тех пор, пока не будут устранены серьезные несоответствия.
5. 5Выдача сертификатаСертификат выдается после проверки независимым лицом, принимающим решения. Аудиторская группа не может принять решение о сертификации.
6. 6Надзорные аудитыНадзорный аудит проводится не реже одного раза в год в течение срока действия сертификата. Срок первого наблюдения не может превышать 12 месяцев с последнего дня Этапа 2.
7. 7РесертификацияПо истечении трех лет вся система проходит повторный аудит; его необходимо завершить до истечения срока действия сертификата.

Сертификаты системы менеджмента действительны в течение трех лет. В этот период проводится не менее одной надзорной проверки в год; действие сертификата приостанавливается, если надзор не проводится. Ресертификационный аудит завершается в конце третьего года.

• Запись в торговом реестре и лицензия на деятельность
• Организационная структура организации и численность персонала
• Список сайтов/филиалов в рамках
• Руководство по системе менеджмента или технологическая документация
• Записи внутреннего аудита и анализа со стороны руководства
• Юридические разрешения, лицензии и эксплуатационные документы, если таковые имеются.

Фиксированной прейскурантной цены нет; стоимость рассчитывается на основе следующих переменных и предоставляется в письменном виде в предложении.

• Численность персонала в объеме (напрямую определяет количество дней аудита)
• Количество сайтов и филиалов; применяется ли выборка из нескольких мест
• Уровень риска деятельности и сложность процесса
• Количество стандартов, подлежащих сертификации — комплексный аудит сокращает количество дней
• Трехлетний цикл: сертификация + два надзорных аудита.

Сертификация системы менеджмента осуществляется в рамках стандарта ISO/IEC 17021-1. Орган по сертификации аккредитован органом по аккредитации, подписавшим соглашение о многостороннем признании IAF (IAF MLA); Это соглашение устанавливает цепочку международного признания, гарантирующую, что документ, выданный в одной стране, будет принят в других странах. EUROLAB имеет международно признанную аккредитацию органов по аккредитации членов IAF в рамках ISO/IEC 17021-1.

Область, в которой может быть предложена эта схема, зависит от вашей продукции и деятельности; подтверждается в письменном виде на этапе предложения.

• ISO/IEC 27017Облачная безопасность
• ISO/IEC 27018Персональные данные в облаке
• ISO/IEC 27701Управление конфиденциальной информацией
• ISO/IEC 20000-1Управление ИТ-услугами
• ISO 22301Непрерывность бизнеса
• ISO/IEC 42001Система управления искусственным интеллектом
• ISO 9001Система менеджмента качества
• ISO 10002Удовлетворенность клиентов и управление жалобами