Украинские компании все чаще получают запросы на сертификат ISO/IEC 27001 от иностранных клиентов, банков и заказчиков в тендерах. При этом многие начинают подготовку слишком поздно и узнают о требованиях стандарта уже после того, как контракт под угрозой. Ниже коротко о том, как устроен процесс и где компании чаще всего ошибаются.

Что подтверждает сертификат

ISO/IEC 27001 устанавливает требования к системе управления информационной безопасностью. Сертификат подтверждает, что компания определила границы системы, оценила риски, внедрила меры защиты и регулярно проверяет их работу. Действующая редакция стандарта 2022 года, сертификаты по редакции 2013 года больше не действуют с 31 октября 2025 года.

Этапы

Сначала компания готовит систему: оценка рисков, Декларация о применимости, политики и процедуры, обучение персонала. Затем система должна поработать несколько месяцев, чтобы появились записи. Перед внешним аудитом обязательно проводятся внутренний аудит и анализ со стороны руководства. Сертификационный аудит состоит из двух этапов: проверка документации и готовности, затем оценка работы системы на практике.

Сроки

Компания с нуля обычно проходит путь до сертификата за четыре-восемь месяцев. Если базовые процессы безопасности уже работают, подготовка занимает меньше. Сам сертификационный аудит после готовности занимает один-два месяца вместе с закрытием замечаний.

Частые ошибки

Слишком широкие границы системы на старте. Оценка рисков, сделанная один раз и забытая. Политики, скопированные из шаблона и не совпадающие с реальной практикой. Доступы уволенных сотрудников, которые не отзываются вовремя. Облачные поставщики, которых никто не оценивал. Все это видно уже на первом этапе аудита.

Как выбрать орган сертификации

Проверьте, кем аккредитован орган и является ли аккредитационный орган участником соглашения IAF MLA. Уточните, вносится ли сертификат в публичный реестр. Попросите указать количество аудиторских дней по каждому этапу, чтобы честно сравнить предложения.

Что получает компания кроме сертификата

Упорядоченные доступы, проверенные резервные копии, понятный порядок действий при инциденте и контроль над поставщиками. Это снижает риск утечки данных и простоя, а также сокращает время ответа на анкеты безопасности клиентов. Многие компании отмечают, что после внедрения стандарта переговоры с иностранными заказчиками проходят заметно быстрее, потому что вопросы о защите данных закрываются одним документом.

Подробнее об этапах, подготовке и том, как проходит сертификация ISO 27001, рассказывает аудиторская компания BALTUM. Вопросы можно отправить на [email protected].