Получите сертификат ISO/IEC 27001 с международной аккредитацией

ISO/IEC 27001:2022 — международный стандарт с требованиями к системе менеджмента информационной безопасности. СТБ ISO/IEC 27001-2024 — его национальная версия в Беларуси, а ГОСТ Р ИСО/МЭК 27001-2021 — российская версия предыдущей редакции, ISO/IEC 27001:2013.

В феврале 2024 года к ISO/IEC 27001:2022 вышло изменение Amd 1:2024: компания определяет, важно ли для её системы менеджмента изменение климата.

Основные требования у всех трёх стандартов сопоставимы, но обозначение сертификата, схема подтверждения и область его применения отличаются. Для работы в Беларуси или участия в закупке может потребоваться именно СТБ, для российского заказчика — ГОСТ Р, для экспорта — международный ISO/IEC 27001.

Мы проверяем требования заказчика или тендерной документации и подбираем только те сертификаты, которые в них указаны.

Сертификат выдаёт независимый орган по сертификации. Решение он принимает по итогам своего аудита.

Мы готовим систему менеджмента информационной безопасности (СМИБ) и документы, подбираем орган под вашу задачу и сопровождаем компанию на сертификационном аудите.

Нет, ISO/IEC 27001 не обязателен по законодательству Беларуси.

Но система менеджмента по ISO/IEC 27001 помогает выполнить требования закона о защите персональных данных к организационным и техническим мерам, а сертификат показывает заказчику, что систему проверил независимый орган.

Чаще всего организации получают его по требованию заказчика или тендера, для экспорта или для включения в списки поставщиков крупных компаний.

Состав документов зависит от сферы деятельности, размера организации, количества площадок и того, как уже устроены процессы.

Обычно нужны:

• политика информационной безопасности;
• область применения СМИБ;
• оценка рисков информационной безопасности и Положение о применимости (SoA);
• процедуры управления доступом, инцидентами и непрерывностью;
• распределение ответственности;
• управление документами и записями;
• записи о внутреннем аудите и анализе со стороны руководства.

Мы разрабатываем или адаптируем комплект под вашу компанию, обучаем ответственных сотрудников и готовим её к сертификационному аудиту.

Обычно сертификация занимает от 45 до 90 рабочих дней. Срок зависит от численности сотрудников, количества филиалов и площадок, готовности документации и расписания аудиторов.

Сначала мы оцениваем текущее состояние защиты информации, затем разрабатываем документы СМИБ: политику, оценку рисков, Положение о применимости и меры Приложения A. После этого обучаем ответственных сотрудников, проводим внутренний аудит и сопровождаем компанию на сертификационном аудите в два этапа. Для крупных компаний срок считаем отдельно, а итоговый план фиксируем до начала проекта.

Международный ISO/IEC 27001 для компании до 25 сотрудников стоит от $4 700 вместе с подготовкой и сертификационным аудитом. Итоговая стоимость зависит от штата, количества площадок, области применения СМИБ, готовности процессов защиты информации, выбранного органа и от того, какой нужен сертификат: национальный СТБ или международный ISO/IEC 27001.

Примерную стоимость в белорусских рублях и долларах покажет калькулятор на этой странице. После звонка-знакомства на 15 минут мы присылаем КП с точной стоимостью и фиксируем её в договоре. Оплата частями: 50/50 или 25/50/25, последний платёж — после получения сертификата.

Для экспорта мы выбираем орган, чья аккредитация входит в международную систему взаимного признания. Зарубежному заказчику, банку, маркетплейсу или участнику цепочки поставок проще принять такой сертификат.

Но автоматического признания для любой сделки нет: конкретный клиент или тендер может установить собственные требования к стандарту, органу и аккредитации. Перед началом проекта мы проверяем эти условия. Апостиль и перевод документов при необходимости оформляем отдельной услугой.

У сертификата есть уникальный номер. Сначала найдите его в реестре органа по сертификации. Там сертификат должен быть действующим, а наименование организации, адрес, стандарт, область сертификации и дата выдачи — совпадать с самим сертификатом.

Для аккредитованного сертификата дополнительно проверьте сам орган и область его аккредитации. Международные сертификаты также видны в IAF CertSearch, если орган по сертификации передал туда данные. Когда орган выдаст сертификат, пришлём инструкцию и ссылку для проверки.

Это определяется документацией конкретной закупки. В одном случае достаточно ISO/IEC 27001:2022, в другом заказчик требует именно СТБ ISO/IEC 27001-2024 или ГОСТ Р ИСО/МЭК 27001-2021, определённую аккредитацию либо дополнительные меры защиты данных.

Пришлите нам пункт тендерной документации с требованием к сертификату. Мы разберём формулировку и предложим минимальный набор сертификатов, которого достаточно для этого пункта.

Нанимать отдельного штатного специалиста обычно не обязательно. Компания назначает одного или нескольких ответственных сотрудников, которые знают процессы и могут поддерживать систему после сертификации.

Мы разрабатываем документацию, распределяем роли, обучаем ответственных сотрудников и сопровождаем команду на сертификационном аудите. В результате СМИБ остаётся управляемой внутри компании, а сотрудники понимают, что и когда нужно вести.

После первичного аудита орган по сертификации проводит ежегодный инспекционный контроль. Компания продолжает вести записи, актуализировать документы, проводить внутренние аудиты, анализ со стороны руководства и устранять выявленные несоответствия.

Перед окончанием трёхлетнего цикла орган проводит ресертификацию. Мы заранее напоминаем о контрольных датах. Ежегодный инспекционный контроль — отдельная платная услуга органа, в стоимость проекта первичной сертификации не входит.

Да, если сертификат действующий и выдан органом с международной аккредитацией (Global ACI MRA, ранее IAF MLA). Обычно это нужно, когда прежний орган больше не работает с компанией или срок сертификата подходит к концу.

Мы проверяем статус сертификата, его область и пройденный инспекционный контроль, а затем оцениваем, возможен ли перенос. Если нет — планируем первичную сертификацию в новом органе и согласуем даты, чтобы сертификат не прерывался для контрактов и тендеров.