Атрымайце сертыфікат ISO/IEC 27001
з міжнароднай акрэдытацыяй

ISO/IEC 27001:2022 — міжнародны стандарт з патрабаваннямі да сістэмы менеджменту інфармацыйнай бяспекі. СТБ ISO/IEC 27001-2024 — яго нацыянальная версія ў Беларусі, а ГОСТ Р ИСО/МЭК 27001-2021 — расійская версія папярэдняй рэдакцыі, ISO/IEC 27001:2013.

У лютым 2024 года да ISO/IEC 27001:2022 выпушчана змяненне Amd 1:2024: кампанія вызначае, ці важнае для яе сістэмы менеджменту змяненне клімату.

Асноўныя патрабаванні ва ўсіх трох стандартаў супастаўныя, але абазначэнне сертыфіката, схема пацвярджэння і вобласць яго прымянення адрозніваюцца. Для працы ў Беларусі або ўдзелу ў закупцы можа спатрэбіцца менавіта СТБ, для расійскага заказчыка — ГОСТ Р, для экспарту — міжнародны ISO/IEC 27001.

Мы правяраем патрабаванні заказчыка або тэндарнай дакументацыі і падбіраем толькі тыя сертыфікаты, якія ў іх указаны.

Сертыфікат выдае незалежны орган па сертыфікацыі. Рашэнне ён прымае па выніках свайго аўдыту.

Мы рыхтуем сістэму менеджменту інфармацыйнай бяспекі (СМІБ) і дакументы, падбіраем орган пад вашу задачу і суправаджаем кампанію на сертыфікацыйным аўдыце.

Не, ISO/IEC 27001 не абавязковы паводле заканадаўства Беларусі.

Але сістэма менеджменту па ISO/IEC 27001 дапамагае выканаць патрабаванні закона аб абароне персанальных даных да арганізацыйных і тэхнічных мер, а сертыфікат паказвае заказчыку, што сістэму праверыў незалежны орган.

Часцей за ўсё арганізацыі атрымліваюць яго па патрабаванні заказчыка або тэндару, для экспарту або для ўключэння ў спісы пастаўшчыкоў буйных кампаній.

Склад дакументаў залежыць ад сферы дзейнасці, памеру арганізацыі, колькасці пляцовак і таго, як ужо наладжаны працэсы.

Звычайна патрэбныя:

• палітыка інфармацыйнай бяспекі;
• вобласць прымянення СМІБ;
• ацэнка рызык інфармацыйнай бяспекі і Палажэнне аб прымянімасці (SoA);
• працэдуры кіравання доступам, інцыдэнтамі і бесперапыннасцю;
• размеркаванне адказнасці;
• кіраванне дакументамі і запісамі;
• запісы пра ўнутраны аўдыт і аналіз з боку кіраўніцтва.

Мы распрацоўваем або адаптуем камплект пад вашу кампанію, навучаем адказных супрацоўнікаў і рыхтуем яе да сертыфікацыйнага аўдыту.

Звычайна сертыфікацыя займае ад 45 да 90 працоўных дзён. Тэрмін залежыць ад колькасці супрацоўнікаў, філіялаў і пляцовак, гатоўнасці дакументацыі і раскладу аўдытараў.

Спачатку мы ацэньваем бягучы стан абароны інфармацыі, затым распрацоўваем дакументы СМІБ: палітыку, ацэнку рызык, Палажэнне аб прымянімасці і меры Дадатку A. Пасля гэтага навучаем адказных супрацоўнікаў, праводзім унутраны аўдыт і суправаджаем кампанію на сертыфікацыйным аўдыце ў два этапы. Для буйных кампаній тэрмін лічым асобна, а выніковы план фіксуем да пачатку праекта.

Міжнародны ISO/IEC 27001 для кампаніі да 25 супрацоўнікаў каштуе ад $4 700 разам з падрыхтоўкай і сертыфікацыйным аўдытам. Выніковы кошт залежыць ад штату, колькасці пляцовак, вобласці прымянення СМІБ, гатоўнасці працэсаў абароны інфармацыі, абранага органа і ад таго, які патрэбны сертыфікат: нацыянальны СТБ або міжнародны ISO/IEC 27001.

Прыблізны кошт у беларускіх рублях і доларах пакажа калькулятар на гэтай старонцы. Пасля званка-знаёмства на 15 хвілін мы дасылаем КП з дакладным коштам і фіксуем яго ў дагаворы. Аплата часткамі: 50/50 або 25/50/25, апошні плацёж — пасля атрымання сертыфіката.

Для экспарту мы выбіраем орган, чыя акрэдытацыя ўваходзіць у міжнародную сістэму ўзаемнага прызнання. Замежнаму заказчыку, банку, маркетплэйсу або ўдзельніку ланцужка паставак прасцей прыняць такі сертыфікат.

Але аўтаматычнага прызнання для любой здзелкі няма: канкрэтны кліент або тэндар можа ўсталяваць уласныя патрабаванні да стандарта, органа і акрэдытацыі. Перад пачаткам праекта мы правяраем гэтыя ўмовы. Апастыль і пераклад дакументаў пры неабходнасці афармляем асобнай паслугай.

У сертыфіката ёсць унікальны нумар. Спачатку знайдзіце яго ў рэестры органа па сертыфікацыі. Там сертыфікат павінен быць дзейным, а найменне арганізацыі, адрас, стандарт, вобласць сертыфікацыі і дата выдачы — супадаць з самім сертыфікатам.

Для акрэдытаванага сертыфіката дадаткова праверце сам орган і вобласць яго акрэдытацыі. Міжнародныя сертыфікаты таксама бачныя ў IAF CertSearch, калі орган па сертыфікацыі перадаў туды звесткі. Калі орган выдасць сертыфікат, дашлём інструкцыю і спасылку для праверкі.

Гэта вызначаецца дакументацыяй канкрэтнай закупкі. У адным выпадку дастаткова ISO/IEC 27001:2022, у іншым заказчык патрабуе менавіта СТБ ISO/IEC 27001-2024 або ГОСТ Р ИСО/МЭК 27001-2021, пэўную акрэдытацыю альбо дадатковыя меры абароны даных.

Дашліце нам пункт тэндарнай дакументацыі з патрабаваннем да сертыфіката. Мы разбяром фармулёўку і прапануем мінімальны набор сертыфікатаў, якога дастаткова для гэтага пункта.

Наймаць асобнага штатнага спецыяліста звычайна не абавязкова. Кампанія прызначае аднаго або некалькіх адказных супрацоўнікаў, якія ведаюць працэсы і могуць падтрымліваць сістэму пасля сертыфікацыі.

Мы распрацоўваем дакументацыю, размяркоўваем ролі, навучаем адказных супрацоўнікаў і суправаджаем каманду на сертыфікацыйным аўдыце. У выніку СМІБ застаецца кіраванай унутры кампаніі, а супрацоўнікі разумеюць, што і калі трэба весці.

Пасля першаснага аўдыту орган па сертыфікацыі праводзіць штогадовы інспекцыйны кантроль. Кампанія працягвае весці запісы, актуалізаваць дакументы, праводзіць унутраныя аўдыты, аналіз з боку кіраўніцтва і ўхіляць выяўленыя неадпаведнасці.

Перад заканчэннем трохгадовага цыкла орган праводзіць рэсертыфікацыю. Мы загадзя нагадваем пра кантрольныя даты. Штогадовы інспекцыйны кантроль — асобная платная паслуга органа, у кошт праекта першаснай сертыфікацыі не ўваходзіць.

Так, калі сертыфікат дзейны і выдадзены органам з міжнароднай акрэдытацыяй (Global ACI MRA, раней IAF MLA). Звычайна гэта патрэбна, калі ранейшы орган больш не працуе з кампаніяй або тэрмін сертыфіката падыходзіць да канца.

Мы правяраем статус сертыфіката, яго вобласць і пройдзены інспекцыйны кантроль, а потым ацэньваем, ці магчымы перанос. Калі не — плануем першасную сертыфікацыю ў новым органе і ўзгадняем даты, каб сертыфікат не перапыняўся для кантрактаў і тэндараў.