Сертификация ISO/IEC 27001:2022

Система менеджмента информационной безопасности — управленческая система, которая позволяет организации постоянно выявлять и контролировать риски, связанные с информацией.

Информационная безопасность в ISO/IEC 27001 не ограничивается антивирусами, межсетевыми экранами, резервным копированием и другими техническими средствами.

СМИБ охватывает людей, процессы, информационные активы, технологии, помещения, поставщиков и управленческие решения.

Система связывает в единый цикл:

• определение области;
• выявление информационных активов;
• определение владельцев;
• оценку рисков;
• выбор способов обработки рисков;
• внедрение мер защиты;
• установление ответственности;
• обучение персонала;
• мониторинг;
• управление инцидентами;
• внутренние аудиты;
• анализ со стороны руководства;
• корректирующие действия;
• постоянное улучшение.

Модель применяется не только к ИТ-компаниям.

СМИБ может охватывать коммерческую тайну производителя, персональные данные клиентов медицинской организации, проектную документацию инженерной компании, финансовую информацию, исходный код разработчика, облачную инфраструктуру SaaS-сервиса или технологические данные промышленного предприятия.

Сертификат подтверждает, что организация построила систему управления информационной безопасностью и прошла независимый аудит на соответствие требованиям стандарта.

В сертификате указывается область сертификации.

Она определяет, какие процессы, услуги, подразделения, площадки и виды деятельности входят в сертифицированную СМИБ.

Примеры областей:

• разработка и сопровождение программного обеспечения;
• предоставление облачных сервисов;
• эксплуатация центра обработки данных;
• обработка и хранение информации клиентов;
• оказание финансовых услуг;
• разработка информационных систем;
• техническая поддержка информационной инфраструктуры;
• предоставление телекоммуникационных услуг.

Область должна соответствовать реальной деятельности компании.

ISO/IEC 27001:2022 опубликован 25 октября 2022 года.

Он заменил международный ISO/IEC 27001:2013.

Редакция 2022 года сохранила риск-ориентированный подход, но обновила структуру мер информационной безопасности и согласовала ее с современным набором мер ISO/IEC 27002:2022.

Изменения учитывают развитие облачных технологий, удаленной работы, современных способов разработки программного обеспечения, мониторинга информационной безопасности, управления конфигурациями, предотвращения утечек и других актуальных направлений.

В 2024 году опубликована поправка Climate action changes, которая добавила учет климатических изменений в контекст системы менеджмента.

Международный ISO/IEC 27001:2013 отозван и заменен редакцией 2022 года.

Для аккредитованной международной сертификации был установлен трехлетний переход.

Сертификат международной аккредитованной сертификации, который по-прежнему заявляет соответствие ISO/IEC 27001:2013 как действующей редакции, требует проверки статуса, срока действия и схемы его выдачи.

В Российской Федерации продолжает действовать ГОСТ Р ИСО/МЭК 27001-2021.

Он введен в действие 1 января 2022 года.

Российский стандарт идентичен международному ISO/IEC 27001:2013, включая соответствующие технические поправки.

В результате в 2026 году действует следующая нормативная структура:

В феврале 2024 года опубликована поправка, связанная с климатическими изменениями.

Организация при анализе контекста определяет, является ли изменение климата значимым вопросом для способности СМИБ достигать установленных результатов.

Заинтересованные стороны также могут иметь требования, связанные с климатическими изменениями.

Для системы информационной безопасности это может иметь значение при оценке:

• устойчивости центров обработки данных;
• рисков энергоснабжения;
• физических рисков площадок;
• аварийных сценариев;
• непрерывности критических сервисов;
• распределения инфраструктуры;
• требований клиентов;
• устойчивости внешних поставщиков.

Поправка не превращает ISO/IEC 27001 в экологический стандарт. Она включает климатический фактор в общий механизм анализа контекста там, где он способен влиять на результативность СМИБ.

Стандарт универсален.

Его используют:

• разработчики программного обеспечения;
• SaaS-компании;
• облачные провайдеры;
• центры обработки данных;
• ИТ-интеграторы;
• финансовые организации;
• страховые компании;
• банки;
• телекоммуникационные компании;
• медицинские организации;
• производственные предприятия;
• логистические компании;
• маркетплейсы;
• интернет-магазины;
• кадровые сервисы;
• консалтинговые компании;
• государственные и муниципальные организации;
• предприятия критической информационной инфраструктуры;
• организации, обрабатывающие персональные данные.

Сам факт принадлежности к ИТ-отрасли или обработки персональных данных не делает сертификат ISO/IEC 27001 автоматически обязательным.

Обязательность определяется законодательством, договором, требованиями контрагента, отраслевой схемой или закупочной документацией.

В общем случае ISO/IEC 27001 является добровольным стандартом.

Организация может внедрить СМИБ по его требованиям и не проходить сертификацию.

На практике сертификат требуется, когда его наличие включено в:

• тендер;
• контракт;
• требования заказчика;
• аудит поставщика;
• международную цепочку поставок;
• корпоративный стандарт группы компаний;
• квалификационные требования;
• требования к облачному или ИТ-провайдеру.

Сертификация используется как независимое подтверждение зрелости системы управления информационной безопасностью.

ISO/IEC 27001 и российские требования в области защиты информации не являются взаимозаменяемыми.

Стандарт устанавливает систему управления рисками информационной безопасности.

Российское законодательство устанавливает обязательные требования для конкретных категорий информации, операторов и информационных систем.

В зависимости от деятельности организации применяются:

• законодательство об информации и защите информации;
• законодательство о персональных данных;
• требования к критической информационной инфраструктуре;
• режим коммерческой тайны;
• требования к государственным информационным системам;
• отраслевые правила;
• требования Банка России и других регуляторов;
• договорные обязательства.

СМИБ позволяет объединить работу с применимыми требованиями в единый управленческий процесс.

Организация, обрабатывающая персональные данные, обязана выполнять требования Федерального закона № 152-ФЗ и принятых в его развитие нормативных актов.

Для информационных систем персональных данных применяются, в частности, требования Постановления Правительства РФ № 1119 и Приказа ФСТЭК России № 21 в пределах их применимости.

ISO/IEC 27001 решает более широкую управленческую задачу.

В СМИБ персональные данные могут рассматриваться как один из видов защищаемой информации и информационных активов.

Организация определяет риски, ответственность, процедуры доступа, инциденты, поставщиков, резервирование и другие элементы управления.

Для субъектов критической информационной инфраструктуры действует Федеральный закон № 187-ФЗ и нормативные требования, принятые в его развитие.

ISO/IEC 27001 не заменяет категорирование объектов КИИ, создание системы безопасности значимого объекта и выполнение обязательных требований к его защите.

СМИБ может использоваться как управленческая основа, в которую включаются процессы:

• учета активов;
• управления рисками;
• распределения ответственности;
• управления доступом;
• реагирования на инциденты;
• обеспечения непрерывности;
• контроля поставщиков;
• внутренней проверки;
• постоянного улучшения.

Для значимых объектов КИИ обязательные требования имеют приоритет и выполняются независимо от наличия сертификата ISO/IEC 27001.

Режим коммерческой тайны регулируется Федеральным законом № 98-ФЗ.

Для его установления организация определяет защищаемую информацию и вводит предусмотренные законом меры конфиденциальности.

ISO/IEC 27001 может использоваться для системного управления рисками, связанными с такой информацией.

В СМИБ могут быть включены:

• классификация информации;
• правила доступа;
• учет пользователей;
• конфиденциальность;
• договорные требования;
• управление носителями;
• мониторинг;
• реагирование на нарушения;
• работа с поставщиками.

Информационная безопасность традиционно строится вокруг трех основных свойств информации.

Конфиденциальность

Информация доступна только лицам, системам и процессам, которым предоставлены соответствующие полномочия.

Целостность

Информация защищена от неправомерного или неконтролируемого изменения и сохраняет корректность.

Доступность

Информация и связанные с ней системы доступны уполномоченным пользователям тогда, когда это необходимо.

СМИБ оценивает риски для этих свойств применительно к конкретным активам и бизнес-процессам организации.

В отдельных случаях учитываются дополнительные характеристики: подлинность, прослеживаемость, неотказуемость и надежность.

Определение области — один из ключевых этапов ISO/IEC 27001.

Сертификация не обязана автоматически охватывать всю организацию.

В область могут войти:

• отдельное юридическое лицо;
• несколько компаний группы;
• конкретный сервис;
• продуктовая команда;
• центр обработки данных;
• подразделение;
• несколько площадок;
• определенные бизнес-процессы.

Границы области должны быть обоснованы и учитывать зависимости от процессов, информационных систем, работников и внешних поставщиков.

Управление информационной безопасностью начинается с понимания того, что именно организация защищает.

Информационными активами могут быть:

• персональные данные;
• коммерческая тайна;
• финансовые сведения;
• исходный код;
• базы данных;
• документация;
• учетные записи;
• ключи и сертификаты;
• результаты исследований;
• договоры;
• проектная документация;
• резервные копии;
• конфигурации;
• технологическая информация;
• знания сотрудников.

Для управления рисками необходимо определить ценность информации, ее владельцев, используемые системы, способы хранения и передачи.

ISO/IEC 27001 строится на риск-ориентированном подходе.

Организация устанавливает методику оценки рисков и применяет ее последовательно.

Процесс включает:

1. определение объектов и контекста оценки;
2. выявление рисков;
3. анализ вероятности и последствий;
4. определение уровня риска;
5. сравнение с критериями приемлемости;
6. выбор способа обработки;
7. определение необходимых мер;
8. принятие остаточного риска;
9. мониторинг и пересмотр.

Методика должна позволять получать сопоставимые и воспроизводимые результаты.

После оценки определяется способ обращения с каждым значимым риском.

Организация может:

• изменить риск путем внедрения мер;
• избежать деятельности, создающей риск;
• разделить или передать часть риска;
• принять остаточный риск при наличии оснований.

Для выбранных мер формируется план обработки рисков.

Решения связываются с ответственными лицами, сроками и контролем результативности.

Statement of Applicability, или SoA, — один из ключевых документов СМИБ ISO/IEC 27001.

В русскоязычной практике используется обозначение «заявление о применимости» или «ведомость применимости».

Документ связывает результаты оценки рисков с выбранными мерами информационной безопасности.

В нем отражаются:

• необходимые меры;
• статус их внедрения;
• основания включения;
• основания исключения применимых эталонных мер;
• связь с обработкой рисков.

В приложении A международной редакции ISO/IEC 27001:2022 приведены 93 эталонные меры информационной безопасности.

Они сгруппированы в четыре блока:

Организационный блок охватывает широкий круг управленческих процессов.

В него входят вопросы:

• политики информационной безопасности;
• распределения ролей;
• разделения обязанностей;
• взаимодействия с государственными органами;
• взаимодействия с профессиональными сообществами;
• анализа угроз;
• информационной безопасности проектов;
• учета активов;
• приемлемого использования информации;
• классификации;
• передачи информации;
• управления доступом;
• поставщиков;
• облачных сервисов;
• управления инцидентами;
• непрерывности;
• соблюдения правовых требований;
• защиты записей;
• конфиденциальности персональных данных;
• независимой проверки информационной безопасности.

Конкретный набор мер определяется областью СМИБ и рисками организации.

Человеческий фактор является значимым источником рисков информационной безопасности.

Система охватывает весь жизненный цикл взаимодействия с сотрудником:

• проверку до приема на работу в допустимых законом пределах;
• условия трудовых отношений;
• ответственность за информационную безопасность;
• повышение осведомленности;
• обучение;
• дисциплинарный процесс;
• изменение роли;
• увольнение;
• обязательства конфиденциальности;
• удаленную работу;
• сообщение о событиях информационной безопасности.

Работник рассматривается не только как потенциальный источник ошибки, но и как активный участник системы защиты.

Физическая безопасность сохраняет значение даже при использовании облачных систем.

К ней относятся:

• физические периметры;
• контроль доступа в помещения;
• защита офисов и объектов;
• физический мониторинг;
• защита оборудования;
• работа вне помещений;
• носители;
• инженерная инфраструктура;
• кабельные системы;
• техническое обслуживание;
• безопасное уничтожение или повторное использование оборудования.

При использовании внешнего ЦОД или облачного провайдера соответствующие зависимости включаются в управление поставщиками и рисками.

Технологическая группа включает средства и процессы, непосредственно связанные с ИТ и цифровой инфраструктурой.

Она охватывает:

• пользовательские устройства;
• привилегированный доступ;
• ограничение доступа;
• исходный код;
• аутентификацию;
• управление производительностью;
• защиту от вредоносного ПО;
• уязвимости;
• управление конфигурациями;
• удаление информации;
• маскирование данных;
• предотвращение утечек;
• резервное копирование;
• резервирование;
• журналирование;
• мониторинг;
• синхронизацию времени;
• криптографию;
• сетевую безопасность;
• веб-фильтрацию;
• безопасную разработку;
• тестирование безопасности;
• управление изменениями.

Набор реализуемых мер определяется рисками, а не формальным стремлением установить все возможные средства защиты.

Контекст организации

Определяются факторы, влияющие на информационную безопасность, заинтересованные стороны и область СМИБ.

Лидерство

Высшее руководство несет ответственность за интеграцию СМИБ в деятельность компании, утверждает политику и обеспечивает ресурсы.

Планирование

Организация оценивает риски и возможности, определяет цели информационной безопасности и планирует их достижение.

Обеспечение

Устанавливаются ресурсы, компетентность, осведомленность, коммуникации и управление документированной информацией.

Операционная деятельность

Выполняются процессы оценки и обработки рисков, реализуются предусмотренные системой мероприятия.

Оценка результативности

Проводятся мониторинг, измерение, внутренние аудиты и анализ СМИБ со стороны руководства.

Улучшение

Выявленные несоответствия анализируются, выполняются корректирующие действия и постоянно повышается результативность системы.

Для первичного расчета предоставляются сведения:

1. о юридическом лице;
2. деятельности;
3. численности работников;
4. площадках;
5. ИТ-инфраструктуре;
6. сервисах и продуктах;
7. предполагаемой области сертификации;
8. существующей системе информационной безопасности.

В функционирующей СМИБ используются:

• область СМИБ;
• политика информационной безопасности;
• методика оценки рисков;
• результаты оценки рисков;
• план обработки рисков;
• Statement of Applicability;
• цели информационной безопасности;
• распределение ролей и ответственности;
• документы по управлению активами;
• правила контроля доступа;
• процедуры работы с инцидентами;
• документы по поставщикам;
• требования к облачным сервисам;
• процедуры резервирования;
• планы непрерывности в применимой части;
• правила безопасной разработки;
• документы по управлению уязвимостями;
• результаты мониторинга;
• внутренние аудиты;
• анализ со стороны руководства;
• несоответствия и корректирующие действия.

Фактический комплект определяется областью, рисками и выбранными мерами.

Аудиторы оценивают не только документы, но и фактическую работу СМИБ.

Проверяются:

• область системы;
• контекст;
• заинтересованные стороны;
• политика;
• роли;
• информационные активы;
• методика оценки рисков;
• результаты оценки;
• план обработки;
• Statement of Applicability;
• фактическое внедрение мер;
• компетентность сотрудников;
• управление доступом;
• управление поставщиками;
• реагирование на инциденты;
• мониторинг;
• внутренний аудит;
• анализ со стороны руководства;
• корректирующие действия;
• постоянное улучшение.

Аудитор использует интервью, документы, записи, настройки процессов и выборочные свидетельства работы системы.

1. Определение цели

Фиксируется, какой сертификат требуется организации и для какой задачи.

2. Определение области

Устанавливаются процессы, сервисы, площадки и подразделения, входящие в СМИБ.

3. Заявка

Орган получает сведения, необходимые для расчета трудоемкости и формирования аудиторской группы.

4. Первый этап аудита

Оценивается готовность СМИБ к основному аудиту.

Анализируется область, ключевая документация, оценка рисков, внутренний аудит и состояние системы.

5. Второй этап аудита

Проверяется фактическое функционирование СМИБ.

Аудиторы получают свидетельства того, что процессы и меры действительно работают.

6. Работа с несоответствиями

Организация анализирует причины и выполняет корректирующие действия.

7. Проверка корректирующих действий

Орган по сертификации оценивает предоставленные подтверждения.

8. Решение

Материалы проходят независимое рассмотрение.

9. Выдача сертификата

При положительном решении оформляется сертификат на заявленную область.

10. Надзор и ресертификация

В течение сертификационного цикла проводятся надзорные аудиты, а перед его завершением — повторная сертификация.

Первоначальная сертификация включает два этапа.

Первый этап оценивает готовность организации.

Проверяются границы СМИБ, документация, оценка рисков, Statement of Applicability, внутренние процессы и готовность к основной проверке.

Второй этап направлен на оценку фактической работы системы.

Аудиторы проверяют, как требования реализуются в повседневных процессах и насколько выбранные меры соответствуют заявленным рискам.

До сертификации организация проводит внутренний аудит.

Он определяет:

• выполняются ли собственные требования СМИБ;
• соблюдаются ли требования стандарта;
• работают ли установленные процессы;
• реализованы ли меры;
• достигаются ли цели;
• выявляются ли несоответствия.

Результаты внутреннего аудита рассматриваются руководством.

Сертификационный аудит отличается тем, что проводится независимой стороной и используется для принятия решения о сертификации.

Цена определяется после анализа организации и области СМИБ.

Трудоемкость существенно различается для небольшой ИТ-команды с одним облачным сервисом и крупной компании с филиалами, собственной разработкой, несколькими ЦОД и сложной инфраструктурой.

Продолжительность зависит от готовности СМИБ.

На срок влияют:

• масштаб организации;
• область сертификации;
• количество площадок;
• сложность ИТ;
• готовность оценки рисков;
• состояние документации;
• внедрение выбранных мер;
• результаты внутреннего аудита;
• результаты первого и второго этапов;
• выявленные несоответствия.

Сам сертификационный аудит является только частью проекта.

Для организации без работающей СМИБ основной период приходится на внедрение процессов и получение фактических свидетельств их функционирования.

Для аккредитованной сертификации систем менеджмента применяется трехлетний сертификационный цикл.

После первоначального аудита проводятся надзорные проверки.

Перед окончанием цикла выполняется ресертификация.

Действительность сертификата определяется не только датой на бланке, но и сохранением сертификации по результатам надзорных аудитов.

ISO и IEC разрабатывают стандарт, но сами не сертифицируют организации.

Сертификат выдается независимым органом по сертификации систем менеджмента.

Для международной сертификации профильные требования к таким органам устанавливает ISO/IEC 27006-1:2024, который дополняет общие требования ISO/IEC 17021-1.

На международном уровне ISO/IEC 27006:2015 отозван и заменен ISO/IEC 27006-1:2024.

В российском фонде продолжает действовать ГОСТ Р ИСО/МЭК 27006-2020, устанавливающий требования к органам, осуществляющим аудит и сертификацию СМИБ.

При проверке анализируются:

1. владелец сертификата;
2. точное обозначение стандарта;
3. редакция;
4. область сертификации;
5. площадки;
6. регистрационный номер;
7. дата выдачи;
8. срок действия;
9. орган по сертификации;
10. данные аккредитации;
11. сведения в применимом реестре.

Эти стандарты связаны, но выполняют разные функции.

ISO/IEC 27001:2022 устанавливает требования к системе менеджмента и является стандартом, по которому проводится сертификация.

ISO/IEC 27002:2022 содержит практические рекомендации по мерам информационной безопасности.

ISO/IEC 27002 самостоятельно не является стандартом сертификации СМИБ.

Он помогает выбирать, понимать и реализовывать меры управления.

ISO/IEC 27005:2022 содержит руководство по менеджменту рисков информационной безопасности.

Он поддерживает реализацию риск-ориентированного подхода ISO/IEC 27001.

Организация может использовать его при построении методологии оценки и обработки рисков.

При этом ISO/IEC 27001 не обязывает использовать только одну конкретную методику риска.

Для разработчиков программного обеспечения значительную роль играют:

• исходный код;
• репозитории;
• учетные записи;
• облачная инфраструктура;
• CI/CD;
• тестовые среды;
• секреты и ключи;
• управление изменениями;
• уязвимости;
• зависимости;
• работа разработчиков;
• подрядчики;
• резервное копирование;
• журналирование;
• реагирование на инциденты.

СМИБ связывает технические меры с процессами управления и ответственностью.

Сертификация особенно востребована у B2B-разработчиков, SaaS-компаний и поставщиков, работающих с крупными корпоративными заказчиками.

Использование облачной инфраструктуры не препятствует сертификации.

В область СМИБ включаются отношения с облачным провайдером и распределение ответственности.

Организация оценивает:

• требования к поставщику;
• договоры;
• размещение данных;
• доступ;
• резервирование;
• непрерывность;
• мониторинг;
• реагирование на инциденты;
• изменение услуг;
• прекращение использования сервиса.

Для оператора персональных данных СМИБ позволяет систематизировать процессы защиты информации.

В систему включаются ответственность, учет активов, управление доступом, работа с сотрудниками, инциденты, поставщики и техническая инфраструктура.

ISO/IEC 27001 использует гармонизированную структуру стандартов систем менеджмента.

Это позволяет интегрировать СМИБ с другими системами.

Частые сочетания:

• ISO 9001 + ISO/IEC 27001;
• ISO/IEC 27001 + ISO 22301;
• ISO 9001 + ISO/IEC 27001 + ISO 22301;
• ISO/IEC 27001 + система управления персональными данными и приватностью.

Общими могут быть:

• контекст;
• политика;
• цели;
• управление рисками;
• компетентность;
• документированная информация;
• внутренние аудиты;
• анализ со стороны руководства;
• корректирующие действия.

Проект начинается с определения результата, который нужен организации.

Специалист уточняет:

• международный или российский стандарт;
• требования заказчика;
• область СМИБ;
• виды деятельности;
• численность;
• площадки;
• информационные сервисы;
• ИТ-инфраструктуру;
• используемые облачные решения;
• законодательные требования;
• наличие оценки рисков;
• готовность Statement of Applicability;
• состояние внутреннего аудита.

После анализа определяется состав проекта, этапы, сроки и стоимость.

Для организации с действующей СМИБ проводится оценка готовности к сертификационному аудиту.

Если система создается впервые, формируются ее область, риск-ориентированные процессы и необходимая документированная информация.

Решение о выдаче сертификата принимается органом по сертификации на основании результатов независимого аудита.