Ещё пять лет назад вопрос о сертификате ISO 27001 в Караганде звучал редко. Сегодня его задают промышленные компании, которые выходят на тендеры крупных недропользователей, IT-команды, работающие на зарубежных заказчиков, и логистические операторы, через которых проходят данные клиентов. Разберём, что стоит за этим стандартом и как к нему подойти без лишних затрат.
Что такое ISO 27001 простыми словами
ISO/IEC 27001 описывает, как компания должна управлять информационной безопасностью. Речь не о конкретных программах или оборудовании, а о системе: кто за что отвечает, какие риски признаны существенными, как контролируется доступ к данным, что делать при инциденте и как всё это проверяется.
Действующая редакция стандарта вышла в 2022 году. В ней 93 меры защиты, сгруппированные в четыре блока: организационные, кадровые, физические и технологические. Компания сама решает, какие из них применимы к её деятельности, и обосновывает выбор.
Почему спрос появился именно сейчас
Три причины встречаются чаще других.
Первая: требования заказчиков. Крупные компании Казахстана и иностранные клиенты всё чаще включают наличие ISO 27001 в условия договора или тендерной документации. Это касается не только IT, но и подрядчиков, которые получают доступ к внутренним системам заказчика, например сервисных и инжиниринговых компаний.
Вторая: закон. Закон Республики Казахстан «О персональных данных и их защите» обязывает операторов обеспечивать защиту данных, а проверяющие органы интересуются, как именно это сделано. Сертифицированная система управления даёт готовый ответ на такие вопросы.
Третья: экспорт услуг. Резиденты Astana Hub и другие IT-компании, работающие с Европой и США, сталкиваются с анкетами безопасности от клиентов. Сертификат закрывает большую часть этих анкет одним документом.
Что получает компания кроме сертификата
Порядок в доступах. При внедрении выясняется, у кого остались права уволенных сотрудников, кто делит общий пароль и какие данные лежат на личных ноутбуках.
Понятный план на случай инцидента. Утечка, вирус-шифровальщик или потеря сервера перестают быть катастрофой, потому что есть процедура и резервные копии, которые кто-то проверял.
Аргумент в переговорах. Международный сертификат, выданный органом по сертификации с признанной аккредитацией, понятен заказчику в любой стране.
С чего начать
Первый шаг не покупка оборудования и не написание сотни документов. Начинают с определения области: какие процессы, подразделения и системы попадут под сертификацию. Для небольшой компании это может быть вся организация, для промышленного холдинга чаще одно направление, например обслуживание заказчиков или разработка.
Затем проводится оценка текущего состояния по требованиям стандарта. Она показывает, что уже работает, а что придётся выстроить. Обычно у компаний, которые работают давно, половина требований уже выполняется, просто это не зафиксировано.
Дальше внедрение, внутренний аудит и анализ системы руководством. Только после этого приглашается орган по сертификации. Подробно этапы описаны на странице сертификация ISO 27001 в Казахстане: как проходит аудит, сколько он занимает и чем международный сертификат отличается от национального.
Сколько это занимает
Для компании до ста сотрудников с одной площадкой подготовка занимает от трёх до шести месяцев. Сертификационный аудит проходит в два этапа: проверка документов и проверка работы системы на практике. Большую часть аудита можно провести дистанционно, выезд требуется, если в области сертификации есть серверная или производственная площадка.
Сертификат действует три года. Каждый год проводится надзорный аудит, на четвёртый год ресертификация.
Типичные ошибки
Делать систему «для аудитора». Документы, которые никто не читает, аудитор видит сразу, а компания не получает никакой пользы.
Брать слишком широкую область. Чем больше процессов включено, тем дольше подготовка и дороже аудит. Начать с ключевого направления и расширить область на следующем цикле обычно разумнее.
Откладывать обучение сотрудников. Большинство инцидентов начинается с письма, которое кто-то открыл. Без обучения техническая защита работает вполсилы.
Если вы рассматриваете ISO 27001 для своей компании, начните с оценки текущего состояния. Это позволит понять реальный объём работ до того, как принимать решение о бюджете.
