Сертификация ИСО — процедура оценки соответствия системы менеджмента качества (СМК) или иных процессов компании международным стандартам, утвержденным Международной организацией по стандартизации.
Что такое стандарт ISO/IEC 27001
ISO 27001 — международный стандарт, в который включены требования к системе управления информационной безопасностью (СМИБ) для защиты конфиденциальности, целостности и доступности данных в компании.
На сегодня информационная безопасность играет большую роль для организаций. Сертификация ИСО 27001 - востребованная процедура, так как дает возможность официально подтвердить внедрение и результативность СМИБ.
Основные принципы и цели ISO/IEC 27001
Принципы норматива заключены в следующем:
1. Оценка рисков: организация должна систематически выявлять угрозы, уязвимости и потенциальные последствия для инфо активов, чтобы определить стратегии управления рисками.
2. Процессный подход: стандарт основывается на цикле PDCA (Plan-Do-Check-Act), что ведет к результативному управлению и непрерывному совершенствованию процессов инфобезопасности.
3. Лидерство и вовлеченность руководства: руководитель демонстрирует приверженность информационной безопасности, создает нужные ресурсы и поддерживает корректную работу СМИБ.
4. Организация берет во внимание потребности и ожидания заинтересованных сторон (клиентов, партнеров и регуляторов) при подготовке и внедрении СМИБ.
5. Документированная информация: нужно поддерживать и контролировать документацию, которая подтверждает соответствие правилам норматива и обеспечивающую эффективное функционирование СМИБ.
Цели стандарта:
- Гарантия секретности, целостности и доступности данных, иных характеристик (достоверности и невозможности отрицания авторства).
- Обнаружение угроз, которые связаны с информационными активами, их идентификация и оценка, принятие мер по их сокращению.
- Обеспечение соответствия законодательным и договорным правилам в сфере инфобезопасности.
- Непрерывное совершенствование СМИБ для повышения результативности и адаптации к меняющимся условиям.
- Повышение доверия: демонстрация заинтересованным сторонам, что компания привержена к соблюдению инфобезопасности.
Внедрение ИСО/IEC 27001 усиливает инфобезопасность, повышает лояльность заинтересованных сторон и имидж организации.
Структура и требования стандарта ISO/IEC 27001
Стандарт ГОСТ Р ИСО/МЭК 27001-2021 - аналог международного норматива ISO/IEC 27001:2013 и описывает требования к СМИБ. Согласно настоящему стандарту, СМИБ должна охватывать несколько аспектов:
1. Обмен сведениями: включение процедур для обеспечения безопасного и эффективного обмена сведениями в пределах компании и с внешними сторонами.
2. Определение конкретных критериев и норм для контроля безопасного уровня, защищенности сведений.
3. Анализ предполагаемых угроз и уязвимостей, контроль воздействия рисков на работу и результаты компании.
4. Постоянный мониторинг структуры для идентификации проблем и осуществление корректирующих мероприятий для ликвидации несоответствий и совершенствования безопасности.
5. Ведение нужной документации, которая удостоверяет соответствие утвержденным нормам и помогает в дальнейшем управлять процедурами инфобезопасности.
Чтобы получить сертификат ИСО 27001, организация должна разработать, внедрить и обеспечить работу СМИБ.
Этапы сертификации по ISO/IEC 27001
Сертификация на соответствие стандартам ИСО - добровольная процедура, регулируемая Федеральным законом № 184.
Такой сертификат выдается в системе добровольной сертификации (СДС), зарегистрированной Росстандартом под номером EAC Audit (рег. № РОСС RU.З2028.04ЕАС1).
Сертификат может быть выдан на срок до 3 лет и доступен юрлицам и ИП, действует на территории РФ. Процедуру проводят эксперты аккредитованных сертификационных органов, у которых есть соответствующие полномочия.
Сертификат актуален для компаний различных секторов экономики:
- Производственные предприятия
- Торговые структуры
- Оказание услуг
- Страховые компании
- Финансовые
Если система менеджмента на предприятии соответствует положениям нескольких стандартов ИСО, возможно объединить оценку реализации требований разных стандарт в один процесс, что позволит оформить сертификат интегрированной системы менеджмента.
- Обращение в сертификационный центр.
- Предварительный аудит, при котором проводится проверка условий и документации компании, чтобы оценить ее готовность к оценке.
- Разработка необходимой недостающей документации и обучение персонала, если требуется.
- Оценка внедренной системы менеджмента. Процесс оценки включает 2 части: проверка документации и выездная проверка для оценки функционирования системы на месте.
- После проверки компания получает сертификат, а сведения вносятся в реестр СДС.
Для поддержания действия сертификата необходимо проходить инспекционный контроль. Он представляет собой процедуру, в ходе которой сертификационный орган проверяет, соответствует ли система менеджмента компании требованиям норматива. Проводится ежегодно и подтверждает, что все процессы системы выполняются соответствующим образом.
Что проверяется в процессе инспекционного контроля:
- Политика и цели компании.
- Актуальность и полнота документации.
- Обеспечение необходимыми ресурсами, чтобы поддерживать систему (руководство, персонал, оборудование, финансирование и другие).
- Вероятность появления рисков и способы совершенствования работы.
- Реализация процедур по регуляции рисков и угроз инфобезопасности, которые связаны с дистанционной работой и применением мобильных устройств, с персоналом (при приеме, трудовой деятельности и увольнении), с носителями информации и порядком открытия доступа, а также физическую безопасность и защиту от внешних факторов.
Необходимые документы для сертификации ISO/IEC 27001
Для сертификации системы менеджмента (СМ) потребуется подготовить ряд документов, перечень которых зависит от особенностей компании.
- Приказы и распоряжения руководства.
- Политика, руководство по качеству, внутренние положения.
- Документированные процедуры, включая внутренний аудит, управление документацией и записями, учет компетентности персонала, обработка несоответствий и анализ со стороны руководства.
- Технологические регламенты для процессов, матрица ответственности, должностные инструкции.
- Блок-схемы, карты процессов и инструкции по технологии.
- Чек-листы, планы контроля, журналы учета и другие подобные документы.
Центр сертификации “МОС РСТ” поможет разработать нужные документы.
Преимущества ISO/IEC 27001 для организаций
Внедрение СМИБ дает следующие преимущества:
- Совершенствование защиты данных.
- Уменьшение опасности утечек и кибератак.
- Повышение лояльности клиентов и партнеров.
- Соблюдение требований законодательных нормативов.
- Оптимизация управления рисками и внутренними процессами.
Различия между ISO/IEC 27001:2013 и ISO/IEC 27001:2022
ISO/IEC 27001:2022 вносит несколько ключевых корректировок по сравнению с версией 2013 года. ключены уточнения в разделы норматива, касающиеся планирования, контроля и анализа требований заинтересованных сторон. Новая версия адаптирована к гармонизированной структуре (High-Level Structure), что облегчает объединение с иными стандартами ИСО, такими как ИСО 9001 и ИСО 14001. Эти изменения делают его более гибким и актуальным для современных требований инфобезопасности.
Центр сертификации “МОС РСТ” готов предоставить поддержку на каждом этапе сертификации, начиная от консультаций и разработки документации до проведения аудита и получения сертификата iso 27001.
