Стандарт ISO 27001 - система менеджмента информационной безопасности

Современный бизнес невозможно представить без использования информационных технологий и больших объемов всевозможной информации: внутренней критичной информации, информации клиентов и партнеров. Степень защищенности подобной информации напрямую влияет на конкурентные преимущества компании и получение запланированной прибыли.

Международный стандарт ISO/IEC 27001:2013 (далее сокращенно – ISO 27001) определяет требования и системный подход к управлению информационной безопасностью (далее - ИБ). Актуальность и необходимость внедрения системы менеджмента информационной безопасности сложно переоценить в настоящее время.

Международный стандарт ISO 27001 предоставляет ряд внутренних и внешних преимуществ:

Сертификация ISO 27001 – для кого?

Сертификат ISO 270001 важен для компаний:

• оказывающих услуги и предоставляющих услуги своим клиентам, связанные с обработкой критичной клиентской информации. К этой группе, например, относятся сервис-провайдеры, страховые компании, банки, телекоммуникационные компании, ИТ-компании и т.д.
• активно взаимодействующие с крупными партнерами (в том числе, международными);
• работающих на высококонкурентном рынке, где сертификат ISO 27001 добавляет дополнительное маркетинговое преимущество;
• планирующих выходить на международные рынки;
• планирующих выходить на IPO и уже публичных компаний.

Требования ISO 27001

Международный стандарт ISO 27001 основывается на риск-ориентированном процессной подходе.  Основная идея стандарта – обеспечить эффективную взаимосвязь всех уровней управления организацией: стратегического, тактического и операционного.

Ядром системы менеджмента информационной безопасности (ИБ) является процесс управления рисками ИБ.  Этот процесс направлен на прогнозирование реализации угроз информационной безопасности, планирование и внедрение по результатам такого прогноза мер обеспечения информационной безопасности. Тем самым повышается общий уровень информационной безопасности, и снижаются риски ИБ.

Безусловно, все риски невозможно спрогнозировать или нивелировать, поэтому еще одним немаловажным процессом, дополняющим управление рисками ИБ, является управление инцидентами ИБ. За счет внедрения этого процесса появляется возможность своевременно реагировать на ситуации, связанные с нарушением ИБ. Отлаженная работа по выявлению, анализу и разрешению инцидентов ИБ позволяет снижать ущерб для компании от реализации рисков ИБ.

Но не стоит забывать и о «привычных» системообразующих процессах, которые включает в себя сертификация ISO 27001:

• внутреннем аудит
• оценке эффективности
• анализ системы менеджмента со стороны руководства
• управление изменениями
• учет ИБ при выполнении проектов и внедрении изменений, информационных систем и новых технологий.

Международный стандарт ISO 27001 и его основные участники

Основными участниками системы являются бизнес-подразделения, участвующие в выполнении бизнес-процесса или процессов, попадающих в границы области действия. Сертификация ISO 27001 охватывает и дополнительных участников и деятельность системы менеджмента ИБ: ИБ и ИТ подразделения, кадры, юридические подразделения, подразделения физической безопасности.

Когда возможна сертификация ISO 27001?

Сертификация систем менеджмента информационной безопасности проводится, когда международный стандарт ISO 27001 внедрен полностью. Это означает, что в организации разработана система управления, в рамках которой:

• ведется необходимая документация по системе менеджмента ИБ, регламентирующая и подтверждающая соответствие ISO 27001,
• выполнена программа внутренних аудитов,
• проведен анализ со стороны руководства, планируются и реализуются корректирующие мероприятия
• внедрены процессы управления и обеспечения ИБ,
• формируются необходимые свидетельства выполнения процессов управления и обеспечения ИБ
• персонал обучение и его осведомленность в области ИБ повышается на регулярной основе.

Где купить международный стандарт ISO 27001?

Международный стандарт ISO/IEC 27001 можно приобрести у правообладателя на сайте Международной Организации по Стандартизации (ISO).

Сертификация ISO 27001

Сертификация ISO 27001- это оценка способности организаций управлять процессами и деятельностью с целью повышения защищенности компании в части информационной безопасности .

Как получить сертификат ISO 27001?

1. Пройти обучение по теме Требования ISO/IEC 27001:2013. Внутренний аудит
2. Внедрить требования международного стандарта ISO 27001
3. Обратиться в ТМС РУС, чтобы получить сертификат  ISO 27001

Сертификация ISO 27001 проводится в 2 стадии: ступень 1 и ступень 2 сертификационного аудита. Сертификат ISO 27001 выдается на 3 года, в течение этого срока на ежегодной основе проводятся наблюдательные аудиты (то есть, через 12 и 24 месяцев после сертификационного аудита), целю которых является подтверждение того, что система менеджмента ИБ поддерживается и соответствует требованиям ISO 27001.

Мы будем рады

• получить от вас заявку на сертификацию;
• пригласить вас на наши платные и бесплатные обучающие мероприятия;
• рассказать вам о нашем опыте; 

Департамент Менеджмент Сервис (Сертификация систем менеджмента)