Програмне забезпечення для відповідності ISO 27001

Що таке ISO 27001

ISO 27001 - це міжнародний стандарт для системи управління інформаційною безпекою (ISMS), тобто систематичний підхід до захисту конфіденційності, цілісності та доступності інформації через оцінку ризиків і застосування засобів контролю. Це визнаний орієнтир для твердження «ця організація серйозно ставиться до безпеки і може це підтвердити», а для постачальників у сфері оборони, технологій та подвійного призначення це дедалі частіше договірна вимога, а не перевага.

ISMS - це не фаєрвол і не антивірусний продукт. Це система управління навколо вашої безпеки: політики, рішення щодо ризиків, засоби контролю та докази того, що вони дійсно працюють. ISO 27001 визначає, що ця система повинна містити; технологію, якою ви це забезпечуєте, ви обираєте самі.

Навіщо існує ISO 27001

Інциденти безпеки рідко виникають через брак інструментів - вони виникають через некерований ризик: система без патчів, за яку ніхто не відповідав, постачальник, якого ніхто не оцінив, право доступу, яке ніхто не відкликав. ISO 27001 існує для того, щоб безпека стала керованою дисципліною з доказовою базою, а не набором добрих намірів. Сертифікат каже клієнту, що незалежний аудитор перевірив не лише наявність засобів контролю, а й те, що ви розумієте свої ризики та керуєте ними за визначеним циклом.

Кому потрібен ISO 27001

Будь-якій організації, яка зберігає інформацію, важливу для інших людей: дані клієнтів, інтелектуальну власність, контрольовану технічну інформацію. На практиці це зумовлюється:

• Вимогами клієнтів і договорів: корпоративні та державні замовники дедалі частіше вимагають цього перед тим, як передати дані чи надати роботу, а оборонні контракти можуть встановлювати це як обов'язкову умову для роботи з контрольованою інформацією.
• Регулюванням і суміжними вимогами: це основа, на яку спираються такі рамки, як ISO 27018 (приватність у хмарі), директива ЄС NIS2 та багато програм GDPR.
• Самим ризиком: для компанії, чий продукт чи репутація залежать від довіри, керована ISMS - це просто спосіб уникнути інциденту, який завершує розмову.

Як побудований стандарт

ISO 27001:2022 складається з двох частин. Пункти системи управління (4–10) відповідають ISO 9001 - контекст, лідерство, планування, підтримка, робота, оцінювання, покращення - тож обидва стандарти природно поєднуються. Стандартом інформаційної безпеки його роблять процес роботи з ризиками та Додаток A:

• Процес оцінки та обробки ризиків: визначте свої ризики інформаційної безпеки, вирішіть, як обробляти кожен з них, і зафіксуйте рішення.
• Додаток A: каталог із 93 засобів контролю у редакції 2022 року, згрупованих за організаційною, кадровою, фізичною та технологічною темами, з якого можна вибирати під час обробки ризику.
• Декларація про застосовність (SoA): документ, який визначає, які засоби контролю з Додатка A ви застосовуєте, які - ні, і чому. Це основа всієї сертифікації.

Сертифікацію надає акредитований орган після двоетапного аудиту, з щорічним наглядом і повторною сертифікацією раз на три роки, так само як і для ISO 9001.

Поширені хибні уявлення

• Це не проєкт ІТ-відділу. Інформаційна безпека охоплює HR (прийняття та звільнення), закупівлі (ризик постачальників), господарське забезпечення (фізичний доступ) та керівництво (готовність до ризику) - стандарт це прямо зазначає.
• Це не «купити засоби контролю». Додаток A - це меню, а не контрольний список: ви застосовуєте ті засоби контролю, які виправдані вашою оцінкою ризиків, і повинні вміти пояснити ті, які пропускаєте.
• Це не робиться раз і назавжди. Сертифікат втрачає чинність без постійних переглядів ризиків, внутрішніх аудитів і аналізів з боку керівництва, які підтримують систему живою.