Підготовка до сертифікації ISO/IEC 27001

ISO/IEC 27001 — міжнародний стандарт системи управління інформаційною безпекою (СУІБ). Ми готуємо компанію до сертифікаційного аудиту: вибудовуємо СУІБ, пишемо документи, проводимо внутрішній аудит і самі закриваємо технічні прогалини. Сертифікат видає незалежний акредитований орган із сертифікації.

Кому і навіщо потрібен ISO 27001

• Великий клієнт або банк надсилає анкету безпеки й питає про сертифікат.
• Компанія бере участь у тендерах, де ISO/IEC 27001 зазначено у вимогах.
• Ви працюєте з персональними чи фінансовими даними клієнтів із ЄС, США або Канади.
• Потрібно навести лад: хто за що відповідає, де дані, що робити під час інциденту.

Що вимагає стандарт

Обов’язкова частина стандарту (розділи 4–10) описує систему управління: межі СУІБ, політику, оцінку й обробку ризиків, цілі, компетенції, документи, моніторинг, внутрішній аудит, аналіз з боку керівництва і постійне поліпшення.

Додаток A версії 2022 року містить 93 заходи захисту в чотирьох групах: організаційні, пов’язані з персоналом, фізичні й технологічні. Компанія обирає застосовні заходи за результатами оцінки ризиків і обґрунтовує вибір у Положенні про застосовність (SoA).

Що робимо ми

1. Діагностика. Порівнюємо поточний стан із вимогами стандарту і складаємо перелік прогалин.
2. Межі й ризики. Визначаємо сферу СУІБ, проводимо оцінку ризиків, складаємо план обробки ризиків.
3. Документи. Політики й процедури під вашу компанію, реєстр ризиків, SoA.
4. Технічні заходи. Закриваємо прогалини самі або з вашим IT-підрядником: доступи, MFA, резервні копії з перевіркою відновлення, журнали, оновлення.
5. Внутрішній аудит. Перевіряємо систему за стандартом і фіксуємо, що залишилося до сертифікаційного аудиту.

Як проходить сертифікація

Сертифікаційний аудит проводить незалежний акредитований орган із сертифікації у два етапи: спочатку перевірка документів і готовності, потім перевірка того, як система працює на практиці. Сертифікат діє три роки, у цей період проходять щорічні наглядові аудити.

Ми готуємо вас до обох етапів і допомагаємо закрити зауваження аудитора.

Що ви отримуєте на руки

• Комплект документів СУІБ: політики, процедури, реєстр ризиків, план обробки ризиків, SoA.
• Впроваджені технічні заходи з позначками про виконання.
• Звіт внутрішнього аудиту і перелік того, що залишилося до сертифікаційного аудиту.

Вартість

Фіксований кошторис після погодження меж СУІБ: розміру компанії, кількості майданчиків і систем, поточного рівня зрілості.

Хто виконує роботи

Роботи з кібербезпеки виконує INNOVA CONSULT LTD., Corporation Number 1522612, Оттава, Онтаріо (Corporations Canada). Команда спирається на власний досвід і потужні інструменти, зокрема моделі Claude, щоб знаходити проблеми швидше. Кожну знахідку перевіряє людина до того, як вона потрапить у звіт. INNOVA CONSULT LTD пройшла верифікацію в програмі Anthropic Cyber Verification Program (CVP) і використовує моделі Claude для захисних завдань кібербезпеки.

Часті запитання про ISO 27001

Ви видаєте сертифікат ISO 27001?

Ні. Сертифікат видає незалежний акредитований орган із сертифікації за підсумками аудиту. Ми готуємо компанію до цього аудиту.

Що таке СУІБ?

Система управління інформаційною безпекою: правила, ролі, процеси й заходи захисту, за допомогою яких компанія керує ризиками для своєї інформації.

Що таке Положення про застосовність (SoA)?

Документ, де перелічено заходи захисту з Додатка A стандарту, зазначено, які застосовуються і чому, а які виключено і на якій підставі.

Скільки заходів захисту в ISO/IEC 27001:2022?

93 заходи в чотирьох групах: організаційні, пов’язані з персоналом, фізичні й технологічні.

Чи діє ще сертифікат за ISO/IEC 27001:2013?

Перехідний період закінчився 31 жовтня 2025 року, сертифікати за версією 2013 року після цієї дати недійсні. Сертифікація йде за версією 2022 року.

Скільки коштує підготовка?

Фіксований кошторис після погодження меж СУІБ: розміру компанії, кількості майданчиків і систем, поточного рівня зрілості.

Суміжні послуги

• Аудит кібербезпеки сайту і сервера
• Пентест сайтів і вебзастосунків
• IT-консалтинг для бізнесу
• Побудова IT-інфраструктури у компанії

Розкажіть про компанію і про те, хто вимагає сертифікат. Ми погодимо межі й надішлемо фіксований кошторис.