ISO/IEC 27001 дегеніміз не?
ISO/IEC 27001 — ақпараттық қауіпсіздікті басқару жүйелеріне (АҚБЖ) арналған жетекші халықаралық стандарт, Халықаралық стандарттау ұйымы (ISO) жариялаған. 2022 жылғы редакция (ISO 27001:2022) ISO 27002:2022-мен сәйкестендірілген А қосымшасындағы жаңартылған бақылау шараларын енгізіп, олардың санын 114-тен 93-ке дейін 4 тақырыптық топ бойынша қысқартты.
Сертификаттау ұйымның ақпараттық қауіпсіздік тәуекелдерін бағалағанын және тәуелсіз үшінші тарап аудитінен өткен жүйелік басқару құрылымы шеңберінде тиісті бақылау шараларын енгізгенін растайды.
Кімге қажет ISO 27001?
- Корпоративтік B2B-клиенттері бар технологиялық және SaaS-компанияларға
- Қаржы қызметтері, банк ісі және төлем жүйелері саласындағы ұйымдарға
- Пациенттер деректерін өңдейтін денсаулық сақтау саласындағы компаниялар мен MedTech-ке
- Мемлекеттік мекемелер мен мемлекеттік сектор мердігерлеріне
- Деректер орталықтарына, бұлттық провайдерлер мен басқарылатын қызметтер жеткізушілеріне
- Клиенттердің сұрауларына немесе қауіпсіздік бойынша сатып алу сауалнамаларына жауап беретін кез келген ұйымға
ISO 27001:2022 — 2013 нұсқасымен салыстырғанда негізгі өзгерістер
ISO 27001:2013 бойынша сертификатталған ұйымдар 2022 нұсқасына көшуге міндетті. Негізгі өзгерістер:
- А қосымшасы 4 тақырыпқа қайта құрылымдалды: Ұйымдастырушылық, Кадрлық, Физикалық, Технологиялық
- Қауіп-қатерді талдау, бұлттық қауіпсіздік және деректерді маскалау сияқты 11 жаңа бақылау шарасы қосылды
- Бақылау шараларының жалпы саны 114-тен 93-ке дейін қысқартылды (бір бөлігі біріктірілді)
- ISO басқару жүйелерінің басқа стандарттарымен үйлесімділігі арттырылды (Жоғары деңгейдегі бірыңғай құрылым)
ISO 27001 сертификаттау қолдану аясы
Қолдану аясын анықтау — сертификаттау процесінің аса маңызды кезеңі. Қолдану аясы АҚБЖ шекараларына қандай ақпараттық активтер, процестер, орналасу орындары мен бөлімшелер кіретінін анықтайды. GAP-талдау кезеңінде BALTUM қолдану аясын анықтау бойынша егжей-тегжейлі ұсыныстар береді, ол мүдделі тараптар үшін маңызды және мақсатты мерзімдер шеңберінде қол жеткізілетін болуы үшін.
BALTUM-мен жұмыс: кезең-кезеңмен
- 1-кезең — GAP-талдау және қолдану аясын анықтау: ISO 27001:2022 талаптарына қатысты ағымдағы жағдайды бағалау. Сәйкессіздіктер тізілімі. Қолдану аясы құжаты. Жоба жол картасы.
- 2-кезең — АҚБЖ құжаттамасы: Ақпараттық қауіпсіздік саясаты, тәуекелдерді бағалау әдістемесі және тәуекелді өңдеу, Қолданылу туралы мәлімдеме, бақылау шараларының рәсімдері мен құжаттамасы.
- 3-кезең — Енгізуді қолдау: Бақылау шараларын енгізу бойынша нұсқаулық, ішкі аудит және басшылық тарапынан талдау жүргізуге жәрдемдесу.
- 4-кезең — Сертификаттау аудиті: 1-кезең — құжаттамалық тексеру және 2-кезең — аккредиттелген сертификаттау органы тарапынан орнында / қашықтықтан аудит.
- 5-кезең — Қадағалау: Жыл сайынғы қадағалау аудиттері және әр үш жылда қайта сертификаттауды жоспарлау.
Типтік мерзімдер
Орташа ұйым үшін (50–500 қызметкер) алғашқы сертификаттау кезінде: бастаудан сертификат алуға дейін 3–6 ай. Мерзімдер ұйымның көлеміне, ағымдағы жетілу деңгейіне және ішкі ресурстардың қолжетімділігіне байланысты. BALTUM әр жобаның басында бақылау нүктелері бар жоба жоспарын ұсынады.
Басқа стандарттармен интеграция
ISO 27001 көбінесе толықтырушы стандарттармен бірге енгізіледі. BALTUM ортақ құжаттама, бақылау шаралары және аудиторлық іс-шаралары бар біріктірілген бағдарламаларды ұсынады:
- ISO 27001 + ISO 27701 (ақпарат құпиялылығын басқару)
- ISO 27001 + ISO 22301 (бизнестің үздіксіздігі)
- ISO 27001 + ISO 42001 (AI басқару жүйесі)
- ISO 27001 + SOC 2 (бірыңғай дәлелдемелер базасы жүйесі)
- ISO 27001 + PCI DSS (қаржы секторы)