ISO 27001

Що це означає

ISO 27001 - міжнародний стандарт системи управління інформаційною безпекою. Він не приписує конкретних програм, а визначає спосіб, як фірмі систематично захищати конфіденційність, цілісність і доступність інформації: виявляти ризики, обирати заходи, впроваджувати їх і регулярно перевіряти, чи вони працюють.

Основа - аналіз ризиків. Фірма з’ясовує, яку інформацію має, що буде в разі її витоку чи втрати і які загрози реальні. Відповідно обирає заходи з додатка стандарту, наприклад управління доступом, резервне копіювання, шифрування, безпеку постачальників чи реагування на інциденти.

Фірма може використовувати стандарт просто як посібник або пройти сертифікацію в незалежного органу. Сертифікат діє кілька років, а тим часом проводять наглядові аудити. Стандарт споріднений з ISO 9001, і обидва можна впровадити як одну інтегровану систему.

Як це працює на практиці

Сертифікат ISO 27001 дедалі частіше вимагають великі замовники, банки і держзамовники від своїх постачальників IT, бухгалтерських послуг і обробки даних. Для фірм, що підпадають під NIS2, стандарт - практичний шлях підтвердити обов’язкові заходи безпеки.

Впровадження залежно від розміру фірми зазвичай займає місяці. До нього входять документи, наприклад політика безпеки і регламенти, але головне - зміна практики: хто до чого має доступ, як працюють із паролями, як повідомляють про інциденти і як перевіряють постачальників.

Витрати на впровадження і сертифікацію, тобто консультації, аудит, навчання і технічні заходи, є податковою витратою. За великих вкладень у програми й обладнання оцінюють, чи не є це майном для амортизації.

На що звернути увагу

Найчастіша помилка - сприймати ISO 27001 як паперову задачу. Фірма має регламенти, які ніхто не читає, і сертифікат, який не захищає. Під час інциденту з’ясовується, що на практиці порядок не дотримувався, і сертифікат не допомагає ні зі страхуванням, ні з відповідальністю.

Другий ризик - неправильно окреслена сфера. Сертифікат поширюється лише на частину фірми, зазначену у сфері застосування. Якщо замовник думає, що він покриває всю фірму, а інцидент станеться поза сферою, виникає спір про довіру.