О переходе на iso

Сертификация по ISO 27001: зачем это нужно?

В 2013 году была опубликована последняя версия международного стандарта ISO 27001. Разработкой занималась Международная организация по стандартизации, стандарт излагает модель управления информационной безопасностью в компаниях.

Почему стоит обратиться в Стандарт качества

Сотрудничество с нами выгодно следующим:

• Свяжитесь с нашими экспертами — мы оформим для вас полный перечень документов, который позволит организовать законный и, главное, прибыльный бизнес!

ISO 27001 – это ведущий мировой стандарт информационной безопасности, который включает в себя требования для создания системы менеджмента информационной безопасности (СМИБ). В конце 2022 года Международная организация по стандартизации опубликовала новую версию стандарта ISO/IEC 27001:2022. Основная часть изменений заключается в том, что пункты приложения А были сгруппированы иначе, либо переименованы. Также добавились и новые элементы.

Основные этапы сертификации ISO 27001

Внедрение СМИБ и получение сертификата проходит в следующие шаги:

• Внедрив систему информационной безопасности, вы значительно повысите имидж своей компании, снизите риски и затраты, получите возможность заключения более выгодных контрактов и выхода на международный рынок.

Кому необходимо внедрение стандарта ISO 27001

Сертификация ISO 27001 проводится в отношении организаций, заниманных в любой сфере деятельности, заинтересованных в значительном снижении информационных рисков. Это энергетические предприятия, НИИ, финансовые учреждения, страховые компании, промышленные предприятия, учреждения здравоохранения, IT-компании.

Основной целью внедрения СМИБ является выбор и последующее применение мер управления информационной безопасностью, что гарантирует доверие со стороны контрагентов и потребителей, а также снижает опасность финансовых потерь, которые присутствуют при утечке информации. Система менеджмента определяет:

Цели внедрения системы по стандарту

Внедрение стандарта ISO 27001: эффективность и важность

Однако чаще всего компании уже имеют у себя все необходимые меры, к примеру, программное обеспечение. Используют они их недостаточно корректным образом, поэтому превалирующая часть внедрений ISO 27001 будет связана с постановкой внутренних регламентов и правил (написанием документов), которые помогут устранить нарушения в системе безопасности.

Такое внедрение потребует управления массой тактик, практик, персонала, и т. д., поэтому в ISO 27001 указано, как объединить все эти составляющие в СМИБ.

Защитные меры, которые должны формироваться и укрепляться, как правило, выступают в форме политик, методики и технического внедрения (к примеру, программного обеспечения и оборудования).

Основная философская нацеленность ISO 27001 ― предотвратить появление эксцессов, связанных с отклонениями в безопасности, поскольку любой инцидент стоит денег. Пресекая их, ваша компания сэкономит колоссальные суммы. Весьма важным и интересным является то, что инвестиции в ISO 27001 гораздо меньше ожидаемых, а экономическая выгода, которую вы приобретете в ходе работы с данной системой, вас приятно удивит.

Подтверждение соответствия стандарту

Наша компания в очередной раз подтвердила соответствие Системы менеджмента информационной безопасности требованиям СТБ ISO/IEC 27001-2016. Сертификат соответствия № BY/112 05.09.003.01.00097 выдан Органом по сертификации систем менеджмента Республиканского унитарного предприятия Белорусский государственный институт метрологии (БелГИМ).

ISO/IEC 27001-2016 – международный стандарт, в котором собраны описания лучших мировых практик в области управления информационной безопасностью. Стандарт устанавливает требования к системе менеджмента информационной безопасности для демонстрации способности организации защищать свои информационные ресурсы.

Значение сертификата

Соответствие стандарту означает, что SoftClub внедрил систему управления рисками, связанными с безопасностью данных, принадлежащих компании или обрабатываемых ею. В этой системе соблюдены все лучшие практики и принципы, закрепленные международным стандартом.

Получение сертификата дает возможность SoftClub продолжать качественно выполнять обязательства по действующим договорам, а также способствует участию в новых тендерах и заключению новых контрактов. Таким образом, наша компания подчеркивает важность управления информацией надежно и безопасно.

Внедрение СМИБ в соответствии со стандартом СТБ ISO/IEC 27001 основывается на PDCA модели

Этапы работ

Информационная безопасность: Внедрение и разработка системы менеджмента ISO/IEC 27001:2022

Введение

Курс предназначен для менеджеров по информационной безопасности, руководителей подразделений защиты информации, а также IT-аудиторов и ответственных за разработку и внедрение системы менеджмента информационной безопасности (СМИБ). В курсе рассматривается проект по разработке и внедрению СМИБ в соответствии требованиями ISO/IEC 27001:2022.

Тренер курса

Вячеслав Аксёнов, IT Security Architect.

Опыт работы в сфере информационной безопасности более 15 лет. Преподаватель авторских курсов по информационной безопасности.

Программа курса

Основные изменения в ISO/IEC 27001

Изменения в пунктах 4-10 затрагивают планирование, определение критериев процесса и мониторинг.

• Пункт 4.2. Понимание потребностей и ожиданий заинтересованных сторон: появился новый подпункт, требующий анализа требований заинтересованных сторон, удовлетворяемых СМИБ.
• Пункт 4.4. Система управления информационной безопасностью: добавлена новая формулировка для включения в СМИБ процессов, лежащих в основе стандарта.
• Пункт 6.2. Цели информационной безопасности и планирование их достижения: дополнительные рекомендации по целям информационной безопасности.
• Пункт 6.3. Планирование изменений: установлен стандарт планирования изменений в СМИБ.
• Пункт 8.1. Оперативное планирование и контроль: дополнительное руководство по оперативному планированию и контролю.

Дополнительные изменения включают в себя:

• Пункт 5.3. Организационные роли, обязанности и полномочия: информация о ролях, связанных с информационной безопасностью, должна сообщаться внутри организации.
• Пункт 7.4. Коммуникация: упрощены и объединены подпункты D и E.
• Пункт 9.2. Внутренний аудит: объединение существующих пунктов в один раздел.

Пункт 9.3: Анализ со стороны руководства

Добавлен новый пункт, поясняющий, что анализ со стороны руководства организации должен включать рассмотрение любых изменений в потребностях и ожиданиях заинтересованных сторон.

Пункт 10: Улучшение

Здесь произошли только структурные изменения: постоянное улучшение перечисляют первым (10.1), а несоответствие и корректирующие действия – вторым (10.2).

Изменения в структуре управления Приложения А

В ISO 27001:2022 помимо прочего внесены структурные изменения в элементы управления Приложения А.

В новом обновлении элементы управления размещены в четырех темах:

Новые средства контроля в Приложении A

1. A.5.7 Аналитика угроз – этот элемент управления требует от организаций сбора и анализа информации об угрозах, чтобы они могли принять меры для снижения риска.

2. A.5.23 Информационная безопасность для использования облачных служб – элемент подчеркивает необходимость повышения информационной безопасности в облаке и требует установления стандартов безопасности для облачных служб.

3. A.5.30 Готовность ИКТ к непрерывности бизнеса – этот элемент требует обеспечения возможности восстановления/использования информационных и коммуникационных технологий в случае сбоев.

4. A.7.4 Мониторинг физической безопасности – здесь говорится о необходимости контроля чувствительных физических областей для обеспечения доступа только авторизованным лицам.

5. A.8.9 Управление конфигурацией – элемент о том, чтобы организация управляла конфигурацией своей технологии для обеспечения безопасности и избежания несанкционированных изменений.

6. A.8.10 Удаление информации – требуется удаление данных, когда они больше не требуются, для избежания утечки конфиденциальной информации.

7. A.8.11 Маскирование данных – элемент управления требует использования маскирование данных для защиты конфиденциальной информации.

8. A.8.12 Предотвращение утечки данных – требует реализации мер по предотвращению утечки данных и раскрытия конфиденциальной информации.

9. A.8.16 Мониторинг действий – здесь речь идет о мониторинге систем и внедрении процедур реагирования на инциденты.

10. A.8.23 Веб-фильтрация – требует управления доступом пользователей к веб-сайтам для защиты IT-систем.

11. A.8.28 Безопасное кодирование – принципы безопасного кодирования должны быть установлены в рамках процесса разработки ПО.

Краткая история стандарта ISO 27001

Первый раз стандарт опубликовали в 2005 г., основывается он на стандарте Британского института стандартов BS 7799-2. British Standards Institution (BSI) — Британский институт стандартов. Группа BSI ведет деятельность с 1901 г. На сегодняшний день это крупнейший провайдер стандартов, который покрывает все аспекты экономики современного мира по защите интеллектуальной собственности до спецификаций технических систем индивидуальной защиты. Центральный офис BSI расположен в Лондоне. Он имеет обширные связи с институтами стандартизации по всему миру.

Группа компаний «Стандарт Качества» поможет вам получить сертификат ISO/IEC 27001:2013, выданный именно в BSI.

Стандарт ISO 27001 может использоваться самостоятельно или объединяться с другими стандартами ISO. Внедрение системы менеджмента информационной безопасности (СМИБ) и ее сертификация по стандарту ISO 27001 на базе уже внедренной СМК по ISO 9001 несут за собой снижение расходов на внедрение и сертификацию СМИБ.

О ПЕРЕХОДЕ НА ISO/IEC 27001

Орган по сертификации систем менеджмента ООО «Норм Тест» уведомляет, что 31 октября 2022 года был опубликован международный стандарт ISO/IEC 27001:2022, заменяющий предыдущую версию стандарта ISO/IEC 27001:2013.Согласно Политике по переходу на ISO/IEC 27001:2022 (утв. приказом Государственного предприятия «БГЦА» от 31.03.2023 № 47/1) переход с СТБ ISO/IEC 27001-2016 на ISO/IEC 27001:2022 возможен до утверждения и введения в действие государственного стандарта (взамен СТБ ISO/IEC 27001-2016).

Переход с СТБ ISO/IEC 27001-2016 на новою версию государственного стандарта Республики Беларусь возможен после его утверждения.С появлением нового стандарта, в течение трёх лет с даты опубликования международного стандарта, установлен срок переходного периода – до 31.10.2025.До конца переходного периода все сертификаты соответствия, выданные на соответствие требованиям с СТБ ISO/IEC 27001-2016, ISO/IEC 27001:2013 продолжают действовать.

Для перехода на ISO/IEC 27001:2022 доступны следующие варианты:- Переход в рамках ежегодной периодической оценки с дополнительной минимальной трудоемкостью в размере 1,0 аудито/дня или- Переход в рамках повторного аудита с дополнительной минимальной трудоемкостью в размере 0,5 аудито/дня или – Переход в рамках внеплановой периодической оценки перехода с учетом требуемой дополнительной трудоемкостью.

При переходе на требования ISO/IEC 27001:2022 по результатам периодической оценки сохраняется трехлетний период действия сертификатов соответствия, по результатам повторной сертификации, сертификаты соответствия выдаются сроком на три года.

Сертификаты соответствия, выданные на соответствие требованиям СТБ ISO/IEC 27001-2016, ISO/IEC 27001:2013, с 31 октября 2025 года, являются недействительными.

С целью своевременного планирования проведения аудитов по переходу на соответствие требованиям ISO/IEC 27001:2022 необходимо проинформировать орган по сертификации систем менеджмента о планируемом сроке перехода на ISO/IEC 27001:2022 с указанием месяца, года, а также указать желаемый вид аудита (плановая/внеплановая периодическая оценка, повторная сертификация).

Обращаем внимание на то, что работы по переходу на ISO/IEC 27001:2022 должны быть начаты не позднее 01.09.2025. Надеемся на дальнейшее плодотворное сотрудничество!

СМИБ нужно внедрять, если

Построение надёжной системы обеспечения информационной безопасности:

Получение конкурентного преимущества: обеспечение доверия инвесторов, создание новых возможностей для бизнеса

Повышение лояльности клиентов, обеспечение требований заказчиков, клиентов и партнёров

Соблюдение договорных и правовых требований

Система информационной безопасности по стандарту для предприятий

То, что компания способна соответствовать требованиям стандарта информационной безопасности, можно подтверждать в ходе процедуры сертификации и получения официального документа — сертификата как от международных, так и национальных органов, компетентных и уполномоченных.

Благодаря увязанности с остальными стандартами группы ISO он позволяет гармонично вписать регулирование информационной безопасностью во все бизнес-процессы, не утесняя ни возможности сотрудников отдела информационной безопасности, ни права пользователей.

стандарта ISO 27001 осуществляется путем выявления потенциальных проблем с информацией, а затем дифференциацией шагов, необходимых для предупреждения подобных проблем (т. е. снижения или обработки рисков), а также неотрывности от защиты конфиденциальности, сохранности, а также доступности информации в организации. Поэтому основное звено философии ISO 27001 опирается на управление рисками: выявить, где находятся риски, а затем методично обрабатывать их.

Нормативные документы

По опубликованным в 2016 г. данным аналитического центра InfoWatch, было зарегистрировано 1556 случаев (только обнародованных в СМИ) утечки конфиденциальной информации. По сравнению с предшествующим годом число утечек поднялось на 3,4%.

Основные стандарта информационной безопасности 27001:

Стандарт ISO/IEC 27001 можно внедрить в любой компании, и мы окажем вам содействие в решении ряда проблем, с которыми сталкиваются бизнес-предприятия.

Разработка, внедрение и сопровождение сертификации систем менеджмента информационной безопасности (СМИБ)

Сертификация по ISO/IEC 27001 — международный стандарт по Системе менеджмента информационной безопасности (СМИБ) помогает компаниям различных отраслей обеспечивать конфиденциальность, целостность и доступность информации за счет применения процесса менеджмента рисков и придает уверенности потенциальным клиентам, что риски адекватно оцениваются и управляются. Сертификация – это доказательство защищённости вашей информации и информации клиентов.

Команда IT Experts поможет подготовить вашу компанию к прохождению процедуры сертификации по стандарту ISO/IEC 27001.

Что делать с ISO/IEC 27001

Подводя итоги, можно сказать, что изменения в основной части стандарта небольшие и могут быть воспроизведены достаточно быстро. Изменения в Приложении А – умеренные, и их, в целом, можно устранить, добавив новые средства управления в уже существующую документацию.

Сертификация по ISO 27001:2013 всё ещё разрешена до 30 апреля 2024 года. Однако, любая компания, сертифицированная в настоящее время по стандарту, должна будет перейти на новую версию до 31 октября 2025 года.

Обеспечьте надёжную информационную безопасность своей компании вместе с Изи Штандарт. Мы поможем на всех этапах получения сертификата. Вкладывайте в будущее уже сейчас!

Стоимость и способы оплаты

Рассчитывается индивидуально в зависимости от трудоемкости работ

Преимущества работы с нами

В результате прохождения процедуры сертификации СМИБ по стандарту ISO/IEC 27001 компания может показать партнерам и всем заинтересованным сторонам, что она обеспечивает конфиденциальность, целостность и безопасный доступ к своим информационным данным, руководствуясь при этом лучшими мировыми практиками.

Наличие международного сертификата ISO/IEC 27001 позволит участвовать или станет дополнительным преимуществом перед другими участниками тендерных закупок, поможет привлечь внимание инвесторов.