ISO 27001: сертификация системы менеджмента информационной безопасности

Организации работают с персональными данными, договорами, финансовыми документами, учетными записями, технической и коммерческой информацией. Для управления связанными с ними рисками применяется система менеджмента информационной безопасности (СУИБ).

ISO/IEC 27001 устанавливает требования к системе менеджмента информационной безопасности, включая управление рисками, контроль процессов и постоянное совершенствование. Международная версия стандарта — ISO/IEC 27001:2022; в России действует ГОСТ Р ИСО/МЭК 27001-2021. В статье рассмотрим требования стандарта, документы, порядок оценки СУИБ, этапы сертификации и связь сертификата с обязательными нормами законодательства.

ЧТО ПРЕДУСМАТРИВАЕТ ISO/IEC 27001

ISO/IEC 27001:2022 — международный стандарт для систем менеджмента информационной безопасности. Он применяется организациями разных размеров и отраслей и задает требования к созданию, внедрению, поддержанию и совершенствованию СУИБ. Отдельное место в стандарте занимает управление рисками, связанными с конфиденциальностью, целостностью и доступностью информации.

В рамках СУИБ организация определяет, какие информационные ресурсы находятся под защитой, кто отвечает за отдельные процессы, каким образом предоставляется доступ, как рассматриваются инциденты и как контролируется выполнение установленных правил.

Сертификация подтверждает соответствие системы требованиям стандарта в заявленной области. Аудит проводит орган по сертификации, а не ISO. При этом организация сама принимает решение о прохождении сертификации: внедрение стандарта возможно и без получения сертификата. Сертификат от аккредитованного органа дает заинтересованным сторонам дополнительное подтверждение проведенной независимой оценки.

Актуальной международной редакцией остается ISO/IEC 27001:2022. В 2024 году к ней была опубликована поправка ISO/IEC 27001:2022/Amd 1:2024.

КОМУ МОЖЕТ ПОТРЕБОВАТЬСЯ СЕРТИФИКАТ

ISO/IEC 27001 не ограничен сферой разработки программного обеспечения. Его применяют компании, государственные и некоммерческие организации, которым необходимо управлять рисками при работе с информацией. ISO отдельно указывает на возможность использования стандарта организациями любого размера и профиля.

Сертификация может быть актуальна для:

• IT-компаний и разработчиков программного обеспечения;
• дата-центров и облачных провайдеров;
• операторов цифровых и информационных сервисов;
• интеграторов и организаций, сопровождающих системы заказчиков;
• компаний, обрабатывающих персональные и конфиденциальные сведения;
• поставщиков, которым необходимо подтверждать заказчикам контролируемость процессов ИБ;
• организаций, включающих информационные риски в корпоративную систему управления.

При подготовке определяют границы СУИБ. В сертификат может быть включена вся организация либо конкретная часть ее деятельности. Поэтому заранее фиксируются подразделения, процессы, системы, сервисы и информационные активы, относящиеся к заявленной области.

ЧТО ПРОВЕРЯЮТ ПРИ ОЦЕНКЕ ПО ISO 27001

При аудите оценивают, насколько последовательно организация управляет информационной безопасностью в пределах установленной области. Проверяются состав и границы СУИБ, информационные активы, распределение ответственности, порядок предоставления и изменения доступа, а также документы, регламентирующие соответствующие процессы.

Отдельно рассматривается работа с рисками: каким способом организация выявляет угрозы, определяет вероятность и последствия событий, выбирает меры обработки и фиксирует остаточные риски. Аудитор также проверяет применяемые меры управления, правила работы с учетными записями, взаимодействие с внешними сторонами и порядок реагирования на инциденты.

В состав оценки входят внутренние аудиты, анализ СУИБ руководством, корректирующие действия и контроль выполнения установленных требований. При этом сопоставляются документы и фактическая деятельность сотрудников. Наличие отдельного программного продукта или технического средства само по себе не подтверждает соответствие системы стандарту.

КАК ПРОВОДИТСЯ ОЦЕНКА РИСКОВ

Работа с рисками начинается с определения информационных активов и процессов, которые имеют значение для организации. Для них устанавливаются критерии оценки, выявляются возможные угрозы и анализируются последствия нарушения безопасности.

По результатам анализа определяется дальнейшее обращение с риском. Организация может изменить процесс, внедрить дополнительную меру управления, передать риск другой стороне или принять его в установленном порядке. Выбранные решения должны быть обоснованы и отражены в системе управления.

В ISO/IEC 27001:2022 приложение A содержит 93 меры управления, распределенные по четырем группам: организационным, связанным с людьми, физическим и технологическим. Их выбор зависит от результатов оценки рисков и области СУИБ. Универсальный перечень одинаковых мер для всех организаций стандартом не устанавливается.

Рекомендации по выбору и применению мер содержатся в ISO/IEC 27002:2022. В российской системе стандартизации соответствующие рекомендации представлены в ГОСТ Р ИСО/МЭК 27002-2021.

КАКИЕ ДОКУМЕНТЫ ГОТОВЯТ К АУДИТУ

Конкретный комплект материалов определяется особенностями организации и заявленной области. На него влияют используемые информационные системы, процессы, результаты оценки рисков и выбранные меры управления.

В документацию могут входить:

• описание границ СУИБ;
• политика и цели информационной безопасности;
• методика и результаты оценки рисков;
• план обработки рисков;
• документы по применяемым мерам управления;
• правила предоставления и пересмотра доступа;
• порядок регистрации и рассмотрения инцидентов;
• распределение полномочий и ответственности;
• требования к компетентности сотрудников;
• материалы внутренних аудитов;
• результаты анализа со стороны руководства;
• записи о корректирующих действиях.

Документы должны отражать фактическую работу организации. Если установленный порядок предоставления доступа отличается от действий сотрудников, при аудите может быть выявлено несоответствие. Поэтому перед сертификацией проверяют не только наличие документов, но и выполнение закрепленных в них процедур.

ЭТАПЫ СЕРТИФИКАЦИИ ISO 27001

Подготовка начинается с определения области СУИБ и анализа действующих процессов. Организация оценивает риски, выбирает меры управления, распределяет ответственность и формирует необходимую документацию.

Далее выполняются основные процедуры:

1. Определение области сертификации. Устанавливаются подразделения, процессы, системы, сервисы и активы, которые войдут в СУИБ.
2. Оценка рисков. Определяются критерии анализа, выявляются угрозы и выбираются способы обработки рисков.
3. Внедрение установленных требований. Утверждаются документы, назначаются ответственные и реализуются необходимые меры управления.
4. Внутренний аудит. Проверяется соответствие системы установленным требованиям, фиксируются выявленные несоответствия.
5. Анализ руководством. Рассматриваются результаты функционирования СУИБ и принимаются решения по ее дальнейшему совершенствованию.
6. Сертификационный аудит. Орган по сертификации проводит оценку соответствия. Первичная сертификация обычно состоит из двух стадий.
7. Корректирующие действия. При выявлении несоответствий организация устраняет их и предоставляет предусмотренные подтверждения.
8. Решение по результатам аудита. При положительном результате оформляется сертификат на установленную область.

После первоначальной сертификации проводятся последующие проверки в соответствии с выбранной схемой. По завершении сертификационного цикла выполняется ресертификация.

СКОЛЬКО ДЕЙСТВУЕТ СЕРТИФИКАТ ISO 27001

Срок действия сертификата определяется применяемой схемой сертификации и условиями договора с органом по оценке соответствия. Для систем менеджмента обычно используется трехлетний сертификационный цикл с последующими контрольными аудитами. Конкретная периодичность проверок и условия сохранения действия сертификата устанавливаются правилами соответствующей схемы.

ISO 27001 И ОБЯЗАТЕЛЬНЫЕ ТРЕБОВАНИЯ В РОССИИ

ГОСТ Р ИСО/МЭК 27001-2021 устанавливает требования к системе менеджмента информационной безопасности. Сам сертификат не заменяет обязательные требования, которые распространяются на организацию по другим основаниям.

При обработке персональных данных необходимо соблюдать Федеральный закон № 152-ФЗ «О персональных данных». Общие положения в сфере информации и ее защиты установлены Федеральным законом № 149-ФЗ.

Для отдельных видов деятельности предусмотрены специальные требования к защите информации, лицензированию и применению средств криптографической защиты. Поэтому наличие сертификата ISO 27001 не освобождает компанию от выполнения таких норм.

При подготовке СУИБ необходимо сопоставить требования стандарта с законодательными и отраслевыми требованиями, относящимися к конкретной деятельности. Это помогает определить границы сертификации и перечень обязательных процедур.

СОВМЕЩЕНИЕ ISO 27001 С ДРУГИМИ СТАНДАРТАМИ

Система менеджмента информационной безопасности может работать совместно с другими системами менеджмента. Например, ISO 9001 устанавливает требования к менеджменту качества, а ISO/IEC 20000-1 применяется для управления IT-услугами.

При интеграции можно использовать общие процессы управления документированной информацией, внутреннего аудита, анализа руководства, корректирующих действий и улучшений. Требования каждого стандарта при этом сохраняются и проверяются в соответствующей области.

КАК ВЫБРАТЬ ОРГАН ПО СЕРТИФИКАЦИИ

Перед заключением договора необходимо определить стандарт, область оценки и условия проведения аудита. Также уточняют требования к документации, порядок проведения стадий проверки, процедуру рассмотрения несоответствий и последующий контроль.