Most organizations do not fail an ISO 27001 audit because their security is weak. They fail, or delay, because the evidence that their controls operate does not exist in a form an auditor can accept.
Отримати оцінку готовності до ISO 27001
СУІБ
Декларація про застосовність
Наша роль
Коли приходить аудитор, відкривати вже нічого.
Етап 1 аудиту
Перевірка документації та готовності. Аудитор перевіряє, що система управління існує на папері, а її сфера дії, оцінка ризиків, Декларація про застосовність (SoA) і обов’язкові документи узгоджені між собою.
Етап 2 аудиту
Аудит впровадження. Аудитор перевіряє, чи система справді працює: чи оброблено ризики так, як вирішено, чи діють заходи захисту і чи є записи.
Щорічні аудити
Наглядові аудити на першому та другому році підтверджують, що система продовжує працювати й після видачі сертифіката, а не лише в день аудиту.
Поновлення
Повний ресертифікаційний аудит наприкінці трирічного циклу. Система, зібрана заради сертифіката й закинута після нього, стає тут помітною.
Four themes — The 2022 revision restructured Annex A into four themes: organizational, people, physical and technological controls.
93 заходи: тепер Додаток A містить 93 заходи замість 114. Більшість із них об’єднано або перегруповано, а не вилучено.
11 нових заходів: серед них аналітика загроз, інформаційна безпека хмарних сервісів, маскування даних, безпечне кодування та моніторингова діяльність.
Перехід: версію 2013 року виведено з обігу. Сертифікати, видані за нею, мали перейти на редакцію 2022 року до 31 жовтня 2025 року.
Узгодження, а не перебудова: якщо вашу СУІБ побудовано за структурою 2013 року, заходи здебільшого лишаються. Декларацію про застосовність і внутрішню документацію потрібно оновити.
Where organizations actually lose time
Сертифікацію рідко затримує слабка безпека. Її затримують чотири помилки, яких можна уникнути, у тому, як будують систему управління й збирають підтвердження.
01 Надто широка сфера дії: якщо вона охоплює всю компанію, а сертифікація потрібна лише для одного продуктового напряму, обсяг доказів, які треба підготувати, множиться.
02 Декларація про застосовність, написана останньою: це документ, який пов’язує оцінку ризиків з обраними заходами та обґрунтовує кожне виключення.
03 Докази, яких ніхто не збирав: заходи, що працюють без записів, неможливо відрізнити від тих, що не працюють.
04 Внутрішній аудит для галочки: внутрішній аудит і аналіз з боку керівництва є обов’язковими пунктами стандарту, а їх поверхове проходження є однією з найчастіших причин невдалого етапу 2.
Що ми робимо
Де ви перебуваєте щодо ISO/IEC 27001:2022, з прив’язкою до того, що у вас уже працює, щоб ми будували на наявних заходах захисту, а не замінювали їх.
Визначаємо сферу сертифікації під вашу комерційну потребу, а потім проводимо оцінку ризиків, яка визначає вибір заходів, а не йде слідом за ним.
Політики, процеси, ролі та Декларація про застосовність, зроблені так, щоб ними керувала ваша команда, а не консультант.
Запускаємо систему разом з вами й проходимо щонайменше один повний цикл обов’язкових процедур, щоб записи вже існували, перш ніж їх попросить аудитор.
Виконані як слід, із зауваженнями: саме справжній внутрішній аудит робить етап 2 безподійним.
Готуємо вашу команду до аудиту, присутні під час нього й ведемо зауваження до закриття.
ISO 27001: ключові запитання
Хто видає сертифікат ISO 27001?
An accredited certification body, independent of the organization that helped you implement the system. That independence is a requirement, not a formality: the same company cannot both build your ISMS and certify it.
We prepare you for that audit and support you during it. Where certification is the goal, we tell you at the start which body will be involved and what they will expect, so there are no surprises about who does what.
Скільки діє сертифікат ISO 27001?
Три роки. Сертифікат видають після аудиту етапу 2, підтверджують наглядовими аудитами на першому та другому році й поновлюють ресертифікаційним аудитом наприкінці циклу.
Нашу СУІБ побудовано за ISO 27001:2013. Починати спочатку?
Ні. Робота полягає в узгодженні, а не в перебудові: заходи захисту здебільшого лишаються, але Декларацію про застосовність і внутрішню документацію треба привести до структури Додатка A 2022 року.
Why do organizations fail or delay certification?
Рідко через слабку безпеку. Частіше через те, що підтвердження роботи заходів захисту немає у вигляді, який може прийняти аудитор: надто широка сфера дії, Декларація про застосовність, написана останньою, записи, які ніколи не збирали, внутрішній аудит для галочки.
Чи є сертифікація ISO/IEC 27001 обов’язковою?
Ні. ISO/IEC 27001 є добровільним міжнародним стандартом. На практиці його часто вимагають клієнти, партнери й тендери як підтвердження того, що інформаційною безпекою керують системно, а ще він допомагає показати регуляторам, що ви підходите до безпеки на основі ризиків.
Скільки триває сертифікація за ISO/IEC 27001?
Залежить від сфери дії та від того, яка частина системи управління вже працює. Обмежує рідко документація: до аудиту етапу 2 система має попрацювати достатньо довго, щоб створити докази, зокрема провести внутрішній аудит і аналіз з боку керівництва. Реалістичний графік ми даємо після аналізу прогалин.
Скільки коштує сертифікація за ISO/IEC 27001?
Залежить від сфери дії, кількості локацій і людей, яких вона охоплює, та зрілості ваших поточних заходів. Плата органу сертифікації окрема від підтримки з впровадження. Після аналізу прогалин ми даємо оцінку нашої частини роботи, щоб ви могли спланувати бюджет до того, як брати зобов’язання.
Що таке Декларація про застосовність?
Документ, який перелічує заходи Додатка A, вказує, які з них застосовні до вас, і обґрунтовує кожне виключення. Він пов’язує вашу оцінку ризиків з обраними заходами і є одним із перших документів, які читає аудитор.
З ЧОГО ПОЧАТИ?
Active Audit Agency надає комплексні послуги з кібербезпеки для бізнесу: надійний захист і відповідність вимогам для організацій різного розміру.
Ви можете копіювати матеріали сайту, лише переконавшись у безпеці своїх сервісів.
Цей сайт захищено reCAPTCHA, на нього поширюються Політика конфіденційності та Умови використання Google.