ISO 27001

Что это значит

ISO 27001 - международный стандарт системы управления информационной безопасностью. Он не предписывает конкретные программы, а задаёт способ, как фирме систематически защищать конфиденциальность, целостность и доступность информации: выявлять риски, выбирать меры, внедрять их и регулярно проверять, работают ли они.

Основа - анализ рисков. Фирма выясняет, какая у неё есть информация, что будет при её утечке или потере и какие угрозы реальны. По этому выбирает меры из приложения стандарта, например управление доступом, резервное копирование, шифрование, безопасность поставщиков или реагирование на инциденты.

Фирма может использовать стандарт просто как руководство или пройти сертификацию у независимого органа. Сертификат действует несколько лет, а между тем проводят надзорные аудиты. Стандарт родственен ISO 9001, и оба можно внедрить как одну интегрированную систему.

Как это работает на практике

Сертификат ISO 27001 всё чаще требуют крупные заказчики, банки и госзаказчики от своих поставщиков IT, бухгалтерских услуг и обработки данных. Для фирм, подпадающих под NIS2, стандарт - практичный путь подтвердить обязательные меры безопасности.

Внедрение в зависимости от размера фирмы обычно занимает месяцы. В него входят документы, например политика безопасности и регламенты, но главное - изменение практики: кто к чему имеет доступ, как работают с паролями, как сообщают об инцидентах и как проверяют поставщиков.

Расходы на внедрение и сертификацию, то есть консультации, аудит, обучение и технические меры, являются налоговым расходом. При крупных вложениях в программы и оборудование оценивают, не является ли это имуществом для амортизации.

На что обратить внимание

Самая частая ошибка - воспринимать ISO 27001 как бумажную задачу. У фирмы есть регламенты, которые никто не читает, и сертификат, который не защищает. При инциденте выясняется, что на практике порядок не соблюдался, и сертификат не помогает ни со страховкой, ни с ответственностью.

Второй риск - неправильно очерченная область. Сертификат распространяется только на часть фирмы, указанную в области применения. Если заказчик думает, что он покрывает всю фирму, а инцидент случится вне области, возникает спор о доверии.