Більшість організацій не проходять аудит ISO 27001 або відкладають його не через слабку безпеку, а через те, що підтверджень роботи заходів захисту немає у вигляді, який може прийняти аудитор.
Отримати оцінку готовності до ISO 27001
СУІБ
Декларація про застосовність
Наша роль
Коли приходить аудитор, відкривати вже нічого.
Етап 1 аудиту
Перевірка документації та готовності. Аудитор перевіряє, що система управління існує на папері, а її сфера дії, оцінка ризиків, Декларація про застосовність (SoA) і обов’язкові документи узгоджені між собою.
Етап 2 аудиту
Аудит впровадження. Аудитор перевіряє, чи система справді працює: чи оброблено ризики так, як вирішено, чи діють заходи захисту і чи є записи.
Щорічні аудити
Наглядові аудити на першому та другому році підтверджують, що система продовжує працювати й після видачі сертифіката, а не лише в день аудиту.
Поновлення
Повний ресертифікаційний аудит наприкінці трирічного циклу. Система, зібрана заради сертифіката й закинута після нього, стає тут помітною.
Чотири теми: редакція 2022 року переструктурувала Додаток A на чотири теми: організаційні, людські, фізичні та технологічні заходи.
93 заходи: тепер Додаток A містить 93 заходи замість 114. Більшість із них об’єднано або перегруповано, а не вилучено.
11 нових заходів: серед них аналітика загроз, інформаційна безпека хмарних сервісів, маскування даних, безпечне кодування та моніторингова діяльність.
Перехід: версію 2013 року виведено з обігу. Сертифікати, видані за нею, мали перейти на редакцію 2022 року до 31 жовтня 2025 року.
Узгодження, а не перебудова: якщо вашу СУІБ побудовано за структурою 2013 року, заходи здебільшого лишаються. Декларацію про застосовність і внутрішню документацію потрібно оновити.
Де організації насправді втрачають час
Сертифікацію рідко затримує слабка безпека. Її затримують чотири помилки, яких можна уникнути, у тому, як будують систему управління й збирають підтвердження.
01 Надто широка сфера дії: якщо вона охоплює всю компанію, а сертифікація потрібна лише для одного продуктового напряму, обсяг доказів, які треба підготувати, множиться.
02 Декларація про застосовність, написана останньою: це документ, який пов’язує оцінку ризиків з обраними заходами та обґрунтовує кожне виключення.
03 Докази, яких ніхто не збирав: заходи, що працюють без записів, неможливо відрізнити від тих, що не працюють.
04 Внутрішній аудит для галочки: внутрішній аудит і аналіз з боку керівництва є обов’язковими пунктами стандарту, а їх поверхове проходження є однією з найчастіших причин невдалого етапу 2.
Що ми робимо
Де ви перебуваєте щодо ISO/IEC 27001:2022, з прив’язкою до того, що у вас уже працює, щоб ми будували на наявних заходах захисту, а не замінювали їх.
Визначаємо сферу сертифікації під вашу комерційну потребу, а потім проводимо оцінку ризиків, яка визначає вибір заходів, а не йде слідом за ним.
Політики, процеси, ролі та Декларація про застосовність, зроблені так, щоб ними керувала ваша команда, а не консультант.
Запускаємо систему разом з вами й проходимо щонайменше один повний цикл обов’язкових процедур, щоб записи вже існували, перш ніж їх попросить аудитор.
Виконані як слід, із зауваженнями: саме справжній внутрішній аудит робить етап 2 безподійним.
Готуємо вашу команду до аудиту, присутні під час нього й ведемо зауваження до закриття.
ISO 27001: ключові запитання
Хто видає сертифікат ISO 27001?
Акредитований орган сертифікації, незалежний від організації, яка допомагала вам упровадити систему. Ця незалежність є вимогою, а не формальністю: одна й та сама компанія не може і побудувати вашу СУІБ, і сертифікувати її.
Ми готуємо вас до цього аудиту й підтримуємо під час нього. Якщо метою є сертифікація, ми одразу скажемо, який орган буде залучений і чого він очікуватиме, щоб не було сюрпризів щодо розподілу ролей.
Скільки діє сертифікат ISO 27001?
Три роки. Сертифікат видають після аудиту етапу 2, підтверджують наглядовими аудитами на першому та другому році й поновлюють ресертифікаційним аудитом наприкінці циклу.
Нашу СУІБ побудовано за ISO 27001:2013. Починати спочатку?
Ні. Робота полягає в узгодженні, а не в перебудові: заходи захисту здебільшого лишаються, але Декларацію про застосовність і внутрішню документацію треба привести до структури Додатка A 2022 року.
Чому організації не проходять сертифікацію або відкладають її?
Рідко через слабку безпеку. Частіше через те, що підтвердження роботи заходів захисту немає у вигляді, який може прийняти аудитор: надто широка сфера дії, Декларація про застосовність, написана останньою, записи, які ніколи не збирали, внутрішній аудит для галочки.
Чи є сертифікація ISO/IEC 27001 обов’язковою?
Ні. ISO/IEC 27001 є добровільним міжнародним стандартом. На практиці його часто вимагають клієнти, партнери й тендери як підтвердження того, що інформаційною безпекою керують системно, а ще він допомагає показати регуляторам, що ви підходите до безпеки на основі ризиків.
Скільки триває сертифікація за ISO/IEC 27001?
Залежить від сфери дії та від того, яка частина системи управління вже працює. Обмежує рідко документація: до аудиту етапу 2 система має попрацювати достатньо довго, щоб створити докази, зокрема провести внутрішній аудит і аналіз з боку керівництва. Реалістичний графік ми даємо після аналізу прогалин.
Скільки коштує сертифікація за ISO/IEC 27001?
Залежить від сфери дії, кількості локацій і людей, яких вона охоплює, та зрілості ваших поточних заходів. Плата органу сертифікації окрема від підтримки з впровадження. Після аналізу прогалин ми даємо оцінку нашої частини роботи, щоб ви могли спланувати бюджет до того, як брати зобов’язання.
Що таке Декларація про застосовність?
Документ, який перелічує заходи Додатка A, вказує, які з них застосовні до вас, і обґрунтовує кожне виключення. Він пов’язує вашу оцінку ризиків з обраними заходами і є одним із перших документів, які читає аудитор.
З ЧОГО ПОЧАТИ?
Active Audit Agency надає комплексні послуги з кібербезпеки для бізнесу: надійний захист і відповідність вимогам для організацій різного розміру.
Ви можете копіювати матеріали сайту, лише переконавшись у безпеці своїх сервісів.
Цей сайт захищено reCAPTCHA, на нього поширюються Політика конфіденційності та Умови використання Google.