Коротко о главном. СОО-Сибирь помогает организовать процедуру без лишних этапов: от проверки исходных материалов до готового комплекта документов для работы бизнеса.
Сертификат ISO/IEC 27001 подтверждает, что в компании внедрена система менеджмента информационной безопасности — не набор разрозненных технических средств, а управляемая система, которая связывает риски, ответственность, процессы, документы и меры защиты. На практике это означает, что организация понимает, какие информационные активы для нее критичны, кто имеет к ним доступ, какие угрозы существуют, как оцениваются последствия инцидентов и какие меры применяются для снижения риска. Поэтому сертификация по ISO/IEC 27001 востребована не только у ИТ-компаний, но и у производителей, торговых организаций, финансового сектора, SaaS-сервисов, дата-центров и бизнеса, который работает с персональными, коммерческими или конфиденциальными данными.
- определяется область системы менеджмента информационной безопасности;
- выявляются информационные активы и владельцы процессов;
- оцениваются угрозы, уязвимости и риски;
- формируется план обработки рисков;
- выбираются и внедряются меры защиты;
- проводятся внутренние аудиты;
- после подготовки организуется внешний сертификационный аудит.
По состоянию на октябрь 2026 года действующей международной редакцией остается ISO/IEC 27001:2022, опубликованная в октябре 2022 года. К ней применяется поправка ISO/IEC 27001:2022/Amd 1:2024 по климатическим изменениям. ISO подтверждает, что именно редакция 2022 года является текущей опубликованной версией стандарта.
В российской практике действует ГОСТ Р ИСО/МЭК 27001-2021, введенный в действие с 1 января 2022 года. Росстандарт указывает, что документ устанавливает требования к созданию, внедрению, поддержке и постоянному улучшению системы менеджмента информационной безопасности, а также к оценке и обработке рисков ИБ. Поэтому выбор между международным ISO/IEC 27001:2022 и национальным ГОСТ Р ИСО/МЭК 27001-2021 должен зависеть от требований заказчика, тендера, рынка и используемой системы сертификации.
Какой стандарт выбрать для сертификации
Главная ошибка при оформлении — считать, что международный ISO/IEC 27001 и российский ГОСТ Р ИСО/МЭК 27001 полностью взаимозаменяемы для любой коммерческой задачи. По смыслу оба документа посвящены системе менеджмента информационной безопасности, однако заказчик может прямо указать требуемое обозначение стандарта. Если компания работает с зарубежным партнером, участвует в международном тендере или хочет подтвердить соответствие глобальной корпоративной политике, чаще требуется сертификат ISO/IEC 27001:2022. Если речь идет о российской закупке или внутреннем требовании контрагента, может быть указан ГОСТ Р ИСО/МЭК 27001-2021.
| Документ | Когда применяется | Что проверить |
|---|---|---|
| ISO/IEC 27001:2022 | Международные проекты, зарубежные партнеры, глобальные требования | Редакцию стандарта, область сертификата, статус органа |
| ISO/IEC 27001:2022/Amd 1:2024 | Применяется вместе с международной редакцией | Учет климатических изменений в контексте организации |
| ГОСТ Р ИСО/МЭК 27001-2021 | Российские проекты, контракты и национальные схемы сертификации | Требования заказчика и применимость национального стандарта |
Например, компания хочет заказать сертификат ISO/IEC 27001 для участия в тендере крупного заказчика. Если документация требует именно ISO/IEC 27001:2022, сертификат только по ГОСТ Р может вызвать дополнительные вопросы. И наоборот, если заказчик прямо ссылается на ГОСТ Р ИСО/МЭК 27001-2021, международный сертификат без согласования не всегда закрывает формальное требование. Поэтому до начала проекта лучше письменно проверить требуемое обозначение документа.
- сверить стандарт и его редакцию;
- проверить формулировку области сертификации;
- уточнить требования к аккредитации органа;
- определить, какие площадки входят в СМИБ;
- проверить, нужен ли международный или национальный документ;
- зафиксировать требования заказчика до аудита.
Важно: сертификат информационной безопасности не является «лицензией ISO/IEC 27001» и сам по себе не заменяет выполнение обязательных требований законодательства или отраслевых норм. Он подтверждает соответствие системы менеджмента выбранному стандарту. Если организация обязана выполнять специальные требования по персональным данным, банковской информации, критической инфраструктуре или иной регулируемой информации, эти обязанности сохраняются независимо от наличия сертификата.
Кому подходит ISO 27001
ISO/IEC 27001 применим к организациям любого типа и размера. ISO отдельно указывает, что стандарт используется компаниями самых разных отраслей — от производства и сельского хозяйства до социальных и цифровых сервисов. Это важно: система не ограничена ИТ-бизнесом и может быть полезна любой организации, где утечка, потеря доступности или нарушение целостности информации способны повлиять на клиентов, контрагентов или непрерывность деятельности.
- ИТ-компании и разработчики ПО;
- SaaS- и облачные сервисы;
- дата-центры;
- банки и финансовые компании;
- производственные предприятия;
- ритейл и e-commerce;
- аутсорсинговые и сервисные организации;
- компании, работающие с конфиденциальными данными клиентов.
Типичный кейс — SaaS-платформа выходит на корпоративных клиентов. У продукта хорошие технические средства защиты, но отсутствует формализованный процесс оценки рисков, не определены владельцы активов и нет единой процедуры управления инцидентами. В такой ситуации внедрение ISO/IEC 27001 помогает превратить техническую безопасность в управляемую бизнес-систему, которую можно подтвердить внешнему заказчику.
ISO 27001 и обязательные требования
Сертификация СМИБ является добровольным механизмом подтверждения системы менеджмента, но не освобождает компанию от выполнения обязательных требований законодательства и договоров. Например, если организация работает с персональными данными, она продолжает выполнять применимые правовые требования независимо от ISO. То же относится к отраслевым нормам банковского, телекоммуникационного или государственного сектора.
Практический риск возникает, когда компания считает сертификат универсальным доказательством полного compliance. На аудите ISO проверяется система менеджмента и заявленная область, а не автоматически все возможные нормативные режимы. Поэтому консультации по ISO/IEC 27001 должны включать разделение требований стандарта и обязательных требований конкретной отрасли.
Требования системы информационной безопасности
ISO/IEC 27001 требует выстроить СМИБ как управляемую систему. Организация определяет контекст, заинтересованные стороны, границы системы, политику ИБ, роли и ответственность, оценивает риски и выбирает меры обработки. После внедрения система регулярно проверяется внутренними аудитами и анализируется руководством. Росстандарт аналогично закрепляет требования к созданию, внедрению, поддержанию и постоянному улучшению СМИБ, а также к оценке и обработке рисков.
- контекст организации и заинтересованные стороны;
- область СМИБ;
- политика информационной безопасности;
- роли и ответственность;
- оценка рисков;
- план обработки рисков;
- выбор мер безопасности;
- мониторинг и измерения;
- внутренние аудиты;
- корректирующие действия.
Ошибка — начинать внедрение с покупки средств защиты. Межсетевой экран, DLP, резервное копирование или MFA могут быть важны, но ISO 27001 требует сначала понять риски и только затем выбирать меры. Если компания покупает дорогое решение, которое не закрывает значимый риск, система становится затратной и формальной. Сертификационный аудит оценивает обоснованность выбранных мер и связь между риском, решением и доказательствами внедрения.
Нюансы: ISO/IEC 27001 не требует внедрять одинаковый набор технических средств во всех компаниях. Два бизнеса могут использовать разные меры и при этом соответствовать стандарту, если выбор обоснован результатами оценки рисков. Главная ошибка — копировать чужой список контролей без учета собственных активов и угроз.
Оценка и обработка рисков ИБ
Оценка рисков — центральная часть СМИБ. Сначала организация определяет информационные активы и процессы: базы данных, информационные системы, облачные сервисы, персонал, подрядчиков, документацию и физическую инфраструктуру. Затем выявляются угрозы и уязвимости, оцениваются вероятность и последствия, после чего риск сравнивается с установленными критериями допустимости.
| Актив | Риск | Пример меры |
|---|---|---|
| CRM с клиентскими данными | Несанкционированный доступ | MFA, разграничение прав, журналирование |
| Облачное хранилище | Потеря данных | Резервирование и проверка восстановления |
| Ноутбуки сотрудников | Утечка при утере устройства | Шифрование и удаленное управление |
| Подрядчик | Компрометация данных через третью сторону | Оценка поставщика и договорные требования |
Например, компания считает главным риском хакерскую атаку и инвестирует в сетевую защиту, но фактические инциденты происходят из-за избыточных прав сотрудников. Если не анализировать реальные сценарии, средства защиты расходуются неэффективно. Правильная оценка связывает бизнес-процессы, активы, угрозы и меры в одну понятную модель.
Документы для сертификации ISO 27001
Документация по ИСО 27001 должна подтверждать, что система реально функционирует. Аудитор ожидает увидеть не только политику и красивые схемы, но и результаты оценки рисков, план обработки, Statement of Applicability, записи внутренних аудитов, работу с инцидентами и доказательства выполнения выбранных мер. Объем документации зависит от масштаба и сложности организации.
- область СМИБ;
- политика информационной безопасности;
- методика оценки рисков;
- реестр рисков;
- план обработки рисков;
- Statement of Applicability;
- процедуры управления доступом;
- порядок реагирования на инциденты;
- внутренние аудиты;
- анализ руководством и CAPA.
Частая ошибка — подготовить все документы непосредственно перед внешним аудитом. Если политика существует давно, а реестр рисков создан неделю назад, система выглядит искусственно. Для сертификации важно показать историю применения: пересмотры рисков, инциденты, изменения доступа, результаты аудитов и корректирующие действия.
Заявление о применимости и меры защиты
Statement of Applicability — один из ключевых документов СМИБ. В нем организация фиксирует применимые меры Annex A, обосновывает их выбор и исключения и отражает статус внедрения. Это не шаблонный список, который можно скопировать у другой компании: SoA должен быть связан с конкретными рисками и областью системы.
- проводится оценка рисков;
- определяются необходимые меры обработки;
- анализируются меры Annex A;
- обосновывается применимость или исключение;
- фиксируется статус внедрения;
- документ актуализируется при изменениях.
Например, организация исключает меру как «неприменимую», но в реальности соответствующий процесс существует в облачной инфраструктуре подрядчика. На аудите такое исключение придется обосновывать. Поэтому работа с SoA требует понимания архитектуры бизнеса, а не только чтения перечня контролей.
Подготовка компании к аудиту
Подготовка к сертификационному аудиту начинается с gap-анализа: специалисты сравнивают действующую систему информационной безопасности с требованиями ISO/IEC 27001 и проверяют, насколько документы соответствуют реальным процессам. На практике слабые места чаще всего обнаруживаются не в самой политике ИБ, а в деталях — избыточных правах доступа, неактуальных учетных записях, отсутствии доказательств тестирования резервного восстановления, слабой оценке подрядчиков или формальном управлении инцидентами. Поэтому качественная подготовка включает не только проверку бумаг, но и выборочную проверку инфраструктуры, процессов и действий сотрудников.
- уточняется область СМИБ и перечень площадок;
- проводится анализ соответствия требованиям стандарта;
- проверяются риски и Statement of Applicability;
- оцениваются фактически внедренные меры защиты;
- проводится внутренний аудит;
- выполняется анализ системы со стороны руководства;
- устраняются выявленные несоответствия.
Частая ошибка — готовить к сертификации только ИТ-отдел. ISO/IEC 27001 затрагивает HR, юридическую службу, закупки, руководство, физическую безопасность и взаимодействие с поставщиками. Например, ИТ-служба может корректно блокировать учетные записи уволенных сотрудников, но если HR не передает информацию своевременно, процесс остается уязвимым. Аудитор оценивает именно сквозной процесс, а не работу одного подразделения.
Пример: у компании была формально настроена двухфакторная аутентификация, но часть сервисных учетных записей и доступов подрядчиков оставалась вне контроля. Во время внутреннего аудита эти исключения выявили, распределили ответственность и внедрили периодическую проверку прав. На внешнем аудите организация смогла показать не только настройку MFA, но и системное управление исключениями.
Что проверяют на аудите
Сертификационный аудит оценивает, насколько СМИБ действительно работает в заявленной области. Аудитор сопоставляет риски с выбранными мерами, проверяет доступы, обработку инцидентов, резервное копирование, взаимодействие с поставщиками, физическую безопасность, обучение персонала и внутренние проверки. Отдельное внимание уделяется тому, насколько руководство участвует в системе и принимает решения на основе результатов мониторинга.
| Объект проверки | Что оценивает аудитор |
|---|---|
| Управление рисками | Актуальность оценки и обоснование выбранных мер |
| Контроль доступа | Выдачу, изменение и отзыв прав |
| Инциденты | Регистрацию, анализ причин и корректирующие действия |
| Резервирование | Наличие копий и проверку восстановления |
| Поставщики | Оценку рисков и договорные требования по ИБ |
| Внутренний аудит | Объективность проверки и закрытие замечаний |
Скрытый риск — показывать аудитору только технические средства защиты и не уметь объяснить, почему они выбраны. Наличие DLP, SIEM или межсетевого экрана не является самоцелью ISO 27001. Важно показать связь: какой риск существует, какая мера его снижает, кто отвечает за контроль и как проверяется результативность.
Этапы получения сертификата ISO 27001
Получение сертификата строится поэтапно: сначала определяется область СМИБ, затем проводится внедрение системы, оценка рисков и подготовка документации. После внутреннего аудита организация подает заявку в выбранный сертификационный орган. Внешняя проверка обычно включает две стадии: первая оценивает готовность системы и документации, вторая — фактическое выполнение требований и результативность процессов.
- Определение области. Фиксируются процессы, подразделения и площадки.
- Gap-анализ. Оценивается текущий уровень соответствия.
- Внедрение. Дорабатываются процессы и меры защиты.
- Оценка рисков. Формируется реестр и план обработки.
- Документация. Готовятся политика, SoA и обязательные записи.
- Внутренний аудит. Проверяется готовность системы.
- Stage 1. Оценивается документация и общая готовность.
- Stage 2. Проверяется фактическое функционирование СМИБ.
- Корректирующие действия. Закрываются замечания.
- Выдача сертификата. Решение принимается после положительной оценки.
Запрос «сертификат ISO/IEC 27001 купить» на практике должен означать заказ полноценной сертификационной услуги, а не приобретение документа без аудита. В сфере информационной безопасности формальный сертификат особенно легко проверяется крупными заказчиками: они могут запросить область действия, статус сертификационного органа и доказательства работы СМИБ. Поэтому экономия на реальном внедрении часто оборачивается риском отклонения в тендере или due diligence.
Совет: до заключения договора на сертификацию согласуйте точную область будущего сертификата. Если она слишком узкая, документ может не покрывать ключевую услугу или площадку; если слишком широкая — аудит станет дороже и сложнее. Оптимальная область должна соответствовать реальной коммерческой задаче и границам управляемой СМИБ.
Надзор и поддержание сертификата
После выдачи документа система должна постоянно поддерживаться. В сертификационном цикле проводятся надзорные аудиты, а организация обязана пересматривать риски, обновлять меры защиты, проводить внутренние проверки и учитывать изменения бизнеса. Новая инфраструктура, облачный сервис, поставщик или удаленный офис могут изменить профиль рисков, поэтому СМИБ должна реагировать на изменения сразу.
- актуализировать реестр рисков;
- обновлять Statement of Applicability;
- проводить внутренние аудиты;
- анализировать инциденты;
- проверять подрядчиков;
- контролировать изменения инфраструктуры;
- готовиться к повторной сертификации.
Типичная ошибка после получения сертификата — воспринимать его как завершенный проект. Через год выясняется, что появились новые SaaS-сервисы, сотрудники используют дополнительные каналы обмена данными, а риски и SoA не обновлялись. На надзорном аудите такая ситуация показывает, что система не развивается вместе с бизнесом.
Интеграция с другими системами
ISO/IEC 27001 удобно интегрируется с ISO 9001, ISO/IEC 20000-1 и другими системами менеджмента. Общими могут быть управление документами, внутренние аудиты, работа с рисками, корректирующие действия и анализ со стороны руководства. Это особенно полезно компаниям, которые уже сертифицированы по нескольким стандартам и хотят снизить количество дублирующих процедур.
- единое управление документированной информацией;
- совместная программа внутренних аудитов;
- общий процесс CAPA;
- единая система управления рисками;
- совместная оценка поставщиков;
- единый анализ со стороны руководства.
Например, ИТ-компания уже работает по ISO 9001 и ISO/IEC 20000-1. При внедрении ISO 27001 нет необходимости создавать новую процедуру внутренних аудитов или отдельный механизм управления документами. Гораздо эффективнее расширить действующие процессы требованиями информационной безопасности и четко распределить ответственность.
Стоимость и сроки сертификации
Стоимость сертификации ISO/IEC 27001 зависит от численности сотрудников, количества площадок, границ СМИБ, сложности ИТ-инфраструктуры и степени готовности системы. Существенно влияет и количество внешних сервисов и подрядчиков: облачная архитектура с десятками поставщиков обычно требует более глубокой оценки рисков, чем локальная инфраструктура небольшой компании. Отдельно рассчитываются консалтинговые услуги, если требуется внедрение системы с нуля.
| Фактор | Влияние на стоимость и сроки |
|---|---|
| Численность сотрудников | Влияет на продолжительность аудита |
| Количество площадок | Увеличивает объем проверки |
| Границы СМИБ | Определяют сложность оценки |
| ИТ-инфраструктура | Влияет на объем технической проверки |
| Количество поставщиков | Увеличивает объем анализа third-party risk |
| Готовность документации | Определяет объем консультационной подготовки |
Поэтому цена сертификата ISO/IEC 27001 не может корректно определяться только по численности компании. Две организации на 50 сотрудников могут иметь принципиально разную сложность: одна использует несколько локальных систем, другая работает с облачной инфраструктурой, международными клиентами и десятками SaaS-платформ. Правильный расчет начинается с короткой анкеты и анализа области сертификации.
- первичная диагностика;
- gap-анализ;
- внедрение процессов;
- подготовка документации;
- внутренний аудит;
- сертификационный аудит;
- сопровождение устранения замечаний.
Сроки сертификации также зависят от зрелости СМИБ. Если риски уже управляются, доступы регулярно пересматриваются, а внутренние проверки работают, подготовка может быть относительно быстрой. Если система создается с нуля, потребуется время на внедрение мер, обучение и накопление доказательств.
Мнение эксперта: при сравнении предложений по ISO 27001 важно смотреть не только на прайс, но и на границы работ. Дешевое предложение может включать только выдачу документа, а полноценный проект — диагностику, риск-анализ, SoA, внутренний аудит и подготовку к внешней проверке. Для серьезного заказчика ценность имеет не сам сертификат, а подтвержденная и работающая СМИБ.
Частые вопросы по ISO 27001
Какая редакция ISO/IEC 27001 действует сейчас?
Действующей международной версией является ISO/IEC 27001:2022 с поправкой 2024 года. В России применяется ГОСТ Р ИСО/МЭК 27001-2021.
Обязательна ли сертификация?
Как правило, сертификация добровольная. Но сертификат может требоваться условиями тендера, договора, корпоративной политики или международного due diligence.
Что такое Statement of Applicability?
Это документ, в котором организация фиксирует применимые меры безопасности, обосновывает их выбор и исключения и указывает статус внедрения.
Нужен ли технический аудит инфраструктуры?
Стандарт не сводится к пентесту или сканированию уязвимостей, но фактическая реализация выбранных технических мер может проверяться в рамках аудита. Объем проверки зависит от рисков и области СМИБ.
Что означает аккредитация сертификационного органа?
Это независимое подтверждение компетентности органа проводить сертификацию по конкретной системе. Если заказчик требует аккредитованный сертификат, статус органа нужно проверить до заключения договора.
Сколько действует сертификат?
Сертификат действует в рамках установленного сертификационного цикла при условии прохождения надзорных аудитов. Конкретный график определяет орган по сертификации.
Можно ли продлить сертификат без повторной проверки?
Нет, поддержание и повторная сертификация предполагают последующие аудиты. Одного формального продления срока недостаточно.
Коротко о главном
ISO/IEC 27001 подтверждает, что компания системно управляет информационными рисками, а не просто использует отдельные средства защиты. Для международных проектов ориентируются на ISO/IEC 27001:2022, для российских — на требования ГОСТ Р ИСО/МЭК 27001-2021, если это соответствует задаче заказчика.
- сначала определите область СМИБ;
- проведите оценку рисков;
- подготовьте Statement of Applicability;
- проверьте фактическое внедрение мер;
- проведите внутренний аудит;
- выберите подходящий сертификационный орган;
- поддерживайте систему после получения документа.
Главный риск — формальное внедрение. Если документы не связаны с реальными процессами и техническими мерами, это проявится при внешнем аудите и снизит ценность сертификата для заказчиков.
Почему выбирают компанию СооСибирь
Компания «СооСибирь» сопровождает проекты по ISO/IEC 27001 от первичной диагностики до подготовки к внешнему аудиту. Работа начинается с определения области СМИБ и оценки текущих процессов, после чего специалисты помогают выстроить риск-ориентированную систему, подготовить документы и устранить выявленные разрывы.
- проводим gap-анализ;
- помогаем определить область СМИБ;
- формируем риск-модель;
- подготавливаем SoA и документацию;
- проводим внутреннюю диагностику;
- готовим персонал к аудиту;
- сопровождаем закрытие несоответствий.
Такой подход особенно полезен компаниям, которым сертификат нужен не только формально, но и для работы с крупными заказчиками, тендерами и международными партнерами. Цель сопровождения — сделать систему понятной сотрудникам, проверяемой аудиторами и полезной для реального управления информационной безопасностью.