Система інформаційної безпеки за стандартом ISO 27001

Тема “інформаційної безпеки” стає все більш важливою для компаній в умовах цифрової трансформації. Без належних заходів безпеки існує ризик втрати та крадіжки даних хакерами, перебоїв у роботі через веб-атаки або неправомірного використання даних. Альтернативою для структурованого підходу є система управління інформаційною безпекою (СУІБ) відповідно до стандарту ISO 27001.

Що таке ISO 27001?

ISO/IEC 27001 є провідним міжнародним стандартом для впровадження цілісної системи управління інформаційною безпекою. Він зосереджений на ідентифікації, оцінці та управлінні ризиками для процесів управління інформацією. Безпека конфіденційної інформації підкреслюється як життєво важливий стратегічний фактор. Інформація оточує нас скрізь і є частиною кожного процесу. Іноді вона може бути тривіальною, але дуже часто вона є критично важливою і конфіденційною. Щоб зробити цю важливу для вашої організації відмінність, необхідно класифікувати інформацію. Це пов’язано з тим, що захисні заходи в системі управління інформаційною безпекою (СУІБ) відповідно до стандарту ISO/IEC 27001 ґрунтуються на цій класифікації. СУІБ створює основу для захисту бізнес-даних та їх конфіденційності. У той же час, всесвітньо визнаний стандарт забезпечує доступність ІТ-систем, задіяних у процесах компанії. У цьому контексті сертифікація ISO 27001 посилає потужний сигнал ринку: а саме, незалежну зовнішню оцінку і підтвердження ефективності вашої СУІБ. З EN ISO/IEC 27001:2017-06 була опублікована версія, узгоджена Європейським комітетом зі стандартизації (CEN). Він об’єднує два виправлення (corrigenda) Cor 1:2014 і Cor 2:2015. Зміни, пов’язані з виправленням, стосуються лише покращеного опису відповідних вимог, але не містять нових додаткових вимог. Таким чином, сертифікати відповідно до версії ISO/IEC 27001:2013 зберігають свою чинність.

Для кого підходить сертифікація ISO 27001?

Стандарт ISO 27001 застосовується в усьому світі. Він надає компаніям усіх розмірів і галузей промисловості основу для планування, впровадження та моніторингу інформаційної безпеки. Вимоги застосовні та обов’язкові для приватних і державних компаній, а також некомерційних організацій. Наприклад, у Німеччині компанії, що належать до сектору критичної інфраструктури (KRITIS) і перевищують порогове значення, повинні продемонструвати, як вони забезпечують свою інформаційну безпеку. До секторів KRITIS належать енергетика, водопостачання, охорона здоров’я, фінанси та страхування, харчова промисловість, транспорт і дорожній рух, інформаційні технології та телекомунікації. Відповідні докази впровадження можуть бути надані за допомогою аудиту безпеки, тестування або сертифікації. Для цього в якості основи для аудиту можна використовувати або визнані стандарти, такі як ISO 27001, або галузеві стандарти безпеки, визнані Федеральним відомством з інформаційної безпеки Німеччини (BSI).

Чим стандарт ISO 27001 корисний для моєї компанії?

Впровадження СУІБ відповідно до ISO/IEC 27001 є стратегічним рішенням для вашої компанії. Відповідність навмисним загальним вимогам стандарту повинна відображати конкретну ситуацію компанії. Впровадження в компанії залежить від потреб і цілей, вимог безпеки та організаційних процесів, а також розміру і структури компанії. Особливо цінним для практики є впровадження заходів, наведених у Додатку А до стандарту. На додаток до частини вимог, орієнтованих на систему менеджменту (глави 4-10), стандарт ISO містить вичерпний перелік з 35 цілей контролю з 114 конкретними заходами для різних аспектів безпеки в 14 розділах Додатку А. Заходи повинні бути реалізовані в рамках системи менеджменту. Ці заходи повинні бути впроваджені як частина системи менеджменту в тій мірі, в якій вони є актуальними для вашої компанії. Доведено, що послідовне приведення процесів компанії у відповідність до ISO 27001 призводить до кількох переваг:

• Постійне підвищення рівня безпеки.
• Зниження існуючих ризиків.
• Відповідність вимогам комплаєнсу.
• Підвищення обізнаності серед співробітників.
• Підвищення рівня задоволеності клієнтів.

Внутрішній аудит та управлінські огляди за участю топ-менеджменту є внутрішніми важелями для досягнення цього. До інших позитивних аспектів можна віднести те, що зацікавлені сторони, такі як регуляторні органи, страхові компанії, банки та компанії-партнери, починають більше довіряти вашій компанії. Це відбувається тому, що сертифікована система менеджменту сигналізує про те, що ваша організація управляє ризиками в структурований спосіб і прагне до постійного вдосконалення (CIP), що робить її більш стійкою до небажаних впливів. Міжнародний стандарт ISO/IEC 27001 можна впроваджувати, використовувати та сертифікувати незалежно від інших систем менеджменту, таких як ISO 9001 (управління якістю) або ISO 14001 (екологічний менеджмент).