ISO 27001 - Помогнахме на над 500 организации в Европа по пътя към сертификацията. Вашата може да е следващата.

ISO/IEC 27001 е международният стандарт за управление на информационната сигурност. Той предоставя рамка за създаване и поддържане на система за управление на информационната сигурност (ISMS) — структурирана система от политики, процеси и контролни механизми, която помага на организациите да защитят чувствителната информация. Стандартът се прилага за предприятия от всякакъв размер и във всякакви отрасли.

Системата за управление на информационната сигурност (ISMS) е документираната система, която стои в основата на стандарта ISO 27001. Тя обхваща начина, по който вашата организация идентифицира рисковете за информационната сигурност, определя как да ги преодолее, въвежда необходимите контролни мерки и следи дали те функционират. Представете си я като наръчник за това как вашата организация се справя с въпросите на сигурността — не само по отношение на технологиите, но и на хората и процесите.

ISO 27001:2022 е актуалната, действаща версия на стандарта, публикувана през октомври 2022 г., която заменя версията от 2013 г. Тя въвежда 11 нови контролни мерки, обхващащи области като сигурност в облака, информация за заплахи, маскиране на данни и безопасно програмиране, и преструктурира Приложение А от 114 на 93 контролни мерки, организирани в четири категории. Крайният срок за преход от версията от 2013 г. изтече през октомври 2025 г.; всички сертификати по ISO 27001, издадени днес, са съгласно стандарта от 2022 г.

Съответствието със стандарта ISO 27001 означава, че вашата организация отговаря на всички приложими изисквания, определени в стандарта, обхващащи документацията на вашата система за управление на информационната сигурност (ISMS), процесите за управление на риска, контролните мерки за сигурност, вътрешните одити и прегледите от ръководството. Стандартът определя задължителните изисквания с думата „трябва": ако в дадена клауза се посочва, че нещо трябва да бъде направено, то трябва да бъде направено. Съответствието е основата за сертифициране, но без независим одит то остава своеобразно самообявяване. Сертифицирането от акредитиран орган осигурява проверката от трета страна, която обикновено се изисква от клиенти и регулаторни органи.

Това зависи от текущото ви състояние. Организация, която вече разполага с някои политики и практики за сигурност, обикновено може да получи сертификат в рамките на 3 до 6 месеца. По-големите или по-сложни организации, както и тези, които започват от нулата, може да се нуждаят от 6 до 12 месеца. Срокът зависи най-вече от това колко бързо вашият екип може да внедри промените и колко вътрешни ресурси можете да отделите за тази цел.

Общата стойност се състои от три компонента: хонорари за консултантски услуги, такси за одит от сертифициращия орган и разходи за работното време на вътрешния персонал. Хонорарите за консултантски услуги варират в зависимост от размера и сложността на вашата организация, както и от обхвата на вашата система за управление на информационната сигурност (ISMS). Таксите на сертифициращия орган зависят от одитора и мащаба на ангажимента. За повечето малки и средни предприятия общата инвестиция е значително по-малка от разходите за едно единствено нарушение на сигурността на данните, а за организациите, при които сертифицирането дава възможност за сключване на нови договори или отговаря на регулаторни изисквания, възвръщаемостта обикновено е измерима още през първата година. Свържете се с нас за оценка на разходите въз основа на вашата ситуация.

Технически погледнато, не. Стандартът не изисква да ползвате от услугите на консултант. На практика обаче повечето организации, особено тези, които преминават през сертификационен процес за първи път установяват, че експертните съвети спестяват значително време и предотвратяват скъпоструващи грешки. Консултантът, който е преминал през този процес многократно, знае какво очакват одиторите, къде организациите обикновено срещат затруднения и как да се избегнат често срещаните капани.

ISO 27001 е стандартът, съгласно който се сертифицирате. Той определя изискванията към вашата система за управление на информационната сигурност (ISMS). ISO 27002 е съпътстващо ръководство, което предоставя подробни съвети за внедряване на мерките за сигурност, изброени в приложение А към ISO 27001. Не можете да получите сертификат съгласно ISO 27002 — това е референтен документ, а не сертификационен стандарт.

Да. Често срещани причини са непълни оценки на риска, липсваща документация, контролни мерки, които не са били правилно въведени, както и екипи, които не могат да демонстрират как системата за управление на информационната сигурност (ISMS) функционира на практика. Ако одиторът установи сериозни несъответствия, обикновено разполагате с 90 дни, за да ги отстраните преди повторното посещение. Именно затова провеждаме задълбочен вътрешен одит преди пристигането на сертифициращия орган — за да бъдат открити и разрешени всички проблеми предварително.

Три години. През този период ще преминавате през ежегодни надзорни одити (по-кратки проверки, които потвърждават, че системата се поддържа активно). В края на тригодишния период е необходим пълен ресертификационен одит, за да се поднови валидността на сертификата.

Да. Стандартът е проектиран да бъде мащабируем. Той не предписва фиксиран набор от контроли, които всяка организация трябва да приложи независимо от размера си. Вместо това вие избирате контролите, които са уместни за вашите специфични рискове и операции. Стартъп от 15 души ще изгради много по-лека и проста система за управление на информационната сигурност в сравнение с международна банка — и точно това е целта на стандарта. На практика по-малките организации често постигат сертификация по-лесно, тъй като имат по-малко процеси за документиране и по-малко служители за обучение. Много от нашите клиенти са малки и средни предприятия, които преминават към сертификация, за да спечелят договори с големи корпорации или да отговорят на регулаторни изисквания.

В повечето държави и сектори ISO 27001 не е законово изискване. Той обаче може да се превърне в практическо изискване чрез клиентски договори, рамки за обществени поръчки или специфични за сектора разпоредби. Някои европейски регулаторни рамки, включително NIS 2 и DORA, изискват стабилни практики за информационна сигурност, които ISO 27001 е отлично подготвен да удовлетвори. Най-често срещаният стимул, който наблюдаваме, е търговски: даден клиент изисква сертификата като задължително условие за съвместна работа.