Подготовка к сертификации ISO/IEC 27001

ISO/IEC 27001 — международный стандарт системы управления информационной безопасностью (СУИБ). Мы готовим компанию к сертификационному аудиту: выстраиваем СУИБ, пишем документы, проводим внутренний аудит и сами закрываем технические пробелы. Сертификат выдаёт независимый аккредитованный орган по сертификации.

Кому и зачем нужен ISO 27001

• Крупный клиент или банк присылает анкету безопасности и спрашивает о сертификате.
• Компания участвует в тендерах, где ISO/IEC 27001 указан в требованиях.
• Вы работаете с персональными или финансовыми данными клиентов из ЕС, США или Канады.
• Нужно навести порядок: кто за что отвечает, где данные, что делать при инциденте.

Что требует стандарт

Обязательная часть стандарта (разделы 4–10) описывает систему управления: границы СУИБ, политику, оценку и обработку рисков, цели, компетенции, документы, мониторинг, внутренний аудит, анализ со стороны руководства и постоянное улучшение.

Приложение A версии 2022 года содержит 93 меры защиты в четырёх группах: организационные, связанные с персоналом, физические и технологические. Компания выбирает применимые меры по результатам оценки рисков и обосновывает выбор в Положении о применимости (SoA).

Что делаем мы

1. Диагностика. Сравниваем текущее состояние с требованиями стандарта и составляем список пробелов.
2. Границы и риски. Определяем область СУИБ, проводим оценку рисков, составляем план обработки рисков.
3. Документы. Политики и процедуры под вашу компанию, реестр рисков, SoA.
4. Технические меры. Закрываем пробелы сами или с вашим IT-подрядчиком: доступы, MFA, резервные копии с проверкой восстановления, журналы, обновления.
5. Внутренний аудит. Проверяем систему по стандарту и фиксируем, что осталось до сертификационного аудита.

Как проходит сертификация

Сертификационный аудит проводит независимый аккредитованный орган по сертификации в два этапа: сначала проверка документов и готовности, затем проверка того, как система работает на практике. Сертификат действует три года, в этот период проходят ежегодные надзорные аудиты.

Мы готовим вас к обоим этапам и помогаем закрыть замечания аудитора.

Что вы получаете на руки

• Комплект документов СУИБ: политики, процедуры, реестр рисков, план обработки рисков, SoA.
• Внедрённые технические меры с отметками о выполнении.
• Отчёт внутреннего аудита и список того, что осталось до сертификационного аудита.

Стоимость

Фиксированная смета после согласования границ СУИБ: размера компании, числа площадок и систем, текущего уровня зрелости.

Кто выполняет работы

Работы по кибербезопасности выполняет INNOVA CONSULT LTD., Corporation Number 1522612, Оттава, Онтарио (Corporations Canada). Команда опирается на собственный опыт и сильные инструменты, в том числе модели Claude, чтобы находить проблемы быстрее. Каждую находку проверяет человек до того, как она попадёт в отчёт. INNOVA CONSULT LTD прошла верификацию в программе Anthropic Cyber Verification Program (CVP) и использует модели Claude для защитных задач кибербезопасности.

Частые вопросы об ISO 27001

Вы выдаёте сертификат ISO 27001?

Нет. Сертификат выдаёт независимый аккредитованный орган по сертификации по итогам аудита. Мы готовим компанию к этому аудиту.

Что такое СУИБ?

Система управления информационной безопасностью: правила, роли, процессы и меры защиты, с помощью которых компания управляет рисками для своей информации.

Что такое Положение о применимости (SoA)?

Документ, где перечислены меры защиты из Приложения A стандарта, отмечено, какие применяются и почему, а какие исключены и на каком основании.

Сколько мер защиты в ISO/IEC 27001:2022?

93 меры в четырёх группах: организационные, связанные с персоналом, физические и технологические.

Действует ли ещё сертификат по ISO/IEC 27001:2013?

Переходный период закончился 31 октября 2025 года, сертификаты по версии 2013 года после этой даты недействительны. Сертификация идёт по версии 2022 года.

Сколько стоит подготовка?

Фиксированная смета после согласования границ СУИБ: размера компании, числа площадок и систем, текущего уровня зрелости.

Связанные услуги

• Аудит кибербезопасности сайта и сервера
• Пентест сайтов и веб-приложений
• IT-консалтинг для бизнеса
• IT-инфраструктура компании

Расскажите о компании и о том, кто требует сертификат. Мы согласуем границы и пришлём фиксированную смету.