Назад
Services

Сертификация ISO 27001

Профессиональное сопровождение и подготовка к сертификации по стандарту информационной безопасности.

Подготовка к сертификации по ISO 27001

CyberVision помогает организациям выстраивать надёжные Системы менеджмента информационной безопасности (СМИБ) в соответствии с международным стандартом ISO/IEC 27001. Мы сопровождаем вас на всём пути — от первичного gap-анализа до успешной сертификации и далее, обеспечивая эффективность СМИБ, готовность к аудиту и соответствие изменяющимся бизнес-рискам.

Что такое СМИБ?

Система менеджмента информационной безопасности (СМИБ) — это структурированная, основанная на рисках система управления конфиденциальной информацией организации. ISO/IEC 27001 требует непрерывного применения цикла «Планирование–Выполнение–Проверка–Действие» (PDCA), а также выбора и внедрения релевантных мер из Приложения А — 93 меры контроля, сгруппированные по четырём темам: организационные, кадровые, физические и технологические. Сертификация демонстрирует клиентам, регуляторам и партнёрам, что ваша организация управляет риском информационной безопасности системно, а не хаотично.

Жизненный цикл внедрения СМИБ

Мы сопровождаем вас на каждом этапе построения и сертификации СМИБ:

1. Gap-анализ и определение области действия

  • Оцениваем текущее состояние безопасности относительно требований ISO/IEC 27001
  • Определяем область действия СМИБ — бизнес-подразделения, локации, системы и информационные активы
  • Выявляем отсутствующие политики, меры контроля и документацию
  • Предоставляем приоритизированную дорожную карту с оценкой трудозатрат и сроков до сертификации

2. Оценка рисков и обработка рисков

  • Выявляем и оцениваем риски информационной безопасности по активам, процессам и третьим сторонам
  • Формируем и ведём реестр рисков с вероятностью, воздействием и владельцами рисков
  • Определяем варианты обработки риска (снижение, передача, избегание, принятие) для каждого выявленного риска
  • Готовим Положение о применимости (Statement of Applicability, SoA), обосновывающее, какие меры из Приложения А применимы к вашей организации

3. Разработка политик и документации

  • Разрабатываем обязательную документацию ISO 27001: политику информационной безопасности, методологию оценки рисков, SoA, заявление об области действия СМИБ
  • Разрабатываем сопутствующие политики и процедуры (управление доступом, управление инцидентами, непрерывность бизнеса, безопасность поставщиков и др.)
  • Согласовываем документацию с действующими регуляторными требованиями (например, CBAR № 14/2, PCI DSS, GDPR при применимости)

4. Внедрение мер контроля

  • Внедряем выбранные меры Приложения А в технической, организационной и физической областях
  • Поддерживаем технологические и процессные изменения, необходимые для устранения выявленных пробелов
  • Настраиваем постоянный мониторинг мер контроля и сбор свидетельств для аудита

5. Обучение и повышение осведомлённости сотрудников

  • Проводим обучение по осведомлённости о СМИБ для всех сотрудников
  • Предоставляем ролевое обучение для владельцев мер контроля, внутренних аудиторов и руководства
  • Формируем культуру информационной безопасности, поддерживающую СМИБ после сертификации

6. Внутренний аудит

  • Проводим полный внутренний аудит СМИБ на соответствие требованиям ISO/IEC 27001
  • Выявляем несоответствия и возможности для улучшения до внешнего аудита
  • Поддерживаем планирование корректирующих действий и устранение недостатков в свидетельствах

7. Анализ со стороны руководства

  • Организуем формальный анализ со стороны руководства, требуемый ISO/IEC 27001
  • Представляем руководству результаты работы СМИБ, итоги аудитов, статус рисков и возможности для улучшения
  • Документируем решения и ресурсные обязательства, необходимые для устранения оставшихся пробелов

8. Поддержка сертификационного аудита

  • Готовим организацию к Этапу 1 (проверка документации) и Этапу 2 (основной сертификационный аудит) органа по сертификации
  • Координируем предоставление свидетельств, интервью и визиты на объекты с органом по сертификации
  • Поддерживаем своевременное закрытие замечаний аудита и незначительных несоответствий

9. Поддержание и постоянное улучшение

  • Поддерживаем прохождение ежегодных надзорных аудитов для сохранения сертификации
  • Поддерживаем актуальность реестра рисков, SoA и документации по мере изменения бизнеса
  • Готовим организацию к ресертификационному аудиту по окончании трёхлетнего цикла сертификации
  • Обеспечиваем постоянное улучшение через метрики, внутренние аудиты и анализ инцидентов

Этапы сертификационного аудита

  • Этап 1 – Проверка документации: орган по сертификации анализирует документацию СМИБ, область действия и готовность организации, выявляя области, требующие внимания перед Этапом 2.
  • Этап 2 – Сертификационный аудит: аудиторы оценивают, эффективно ли внедрена и функционирует ли СМИБ в соответствии с документацией, через интервью, проверку свидетельств и визиты на объекты.
  • Решение о сертификации: после успешного прохождения Этапа 2 орган по сертификации выдаёт сертификат ISO/IEC 27001 сроком на три года.
  • Надзорные аудиты: проводятся ежегодно (как правило, на первом и втором году) для подтверждения эффективности и соответствия СМИБ.
  • Ресертификационный аудит: полный аудит, проводимый до истечения трёхлетнего сертификата, для продления сертификации на новый цикл.

Кому подходит эта услуга?

  • Организациям, впервые проходящим сертификацию по ISO/IEC 27001
  • Компаниям с уже действующей СМИБ, которым нужна поддержка в подготовке к аудиту
  • Сертифицированным организациям, готовящимся к надзорному или ресертификационному аудиту
  • Регулируемым организациям, которым необходимо соответствие ISO/IEC 27001 наряду с требованиями CBAR № 14/2 или PCI DSS
Подготовиться к сертификации
Консультация Услуги