ISO 27001 як система менеджменту: що насправді змінюється в роботі компанії

ISO/IEC 27001 часто сприймають як «стандарт для айтішників»: паролі, антивіруси, резервні копії. Насправді це стандарт системи менеджменту, побудований за тією самою структурою, що й ISO 9001. Технічні заходи в ньому є, але головне в ньому управлінське: хто приймає рішення про ризики, як їх перевіряють і як компанія вчиться на власних помилках.

Керівництво, а не ІТ-відділ

Стандарт вимагає, щоб керівництво затвердило політику інформаційної безпеки, визначило цілі, виділило ресурси і регулярно аналізувало, як працює система. На сертифікаційному аудиті аудитор обов’язково говорить з директором або власником. Якщо система тримається лише на системному адміністраторі, це видно за десять хвилин розмови.

Ризики замість чекліста

Центральним елементом стандарту є оцінка ризиків. Компанія сама визначає, яка інформація для неї цінна, що їй загрожує і які заходи доречні. Додаток А містить 93 заходи контролю, але жоден з них не обов’язковий автоматично: кожне рішення «застосовуємо» або «не застосовуємо» треба обґрунтувати в заяві про застосовність. Саме тому дві компанії однакового розміру можуть мати зовсім різні системи, і обидві будуть відповідати стандарту.

Що змінюється в щоденній роботі

• З’являються власники активів: конкретні люди відповідають за конкретні системи й дані.
• Доступи видаються і забираються за процедурою, а не «за проханням у месенджері».
• Інциденти реєструються і розбираються, навіть дрібні.
• Постачальники проходять перевірку перед тим, як отримати доступ до даних.
• Раз на рік проводиться внутрішній аудит і аналіз з боку керівництва.

Для менеджера це схоже на впровадження будь-якої системи якості: спочатку здається, що з’явилось багато паперу, а через пів року процеси стають передбачуванішими, і нові працівники входять у роботу швидше.

Як проходить сертифікація

Сертифікаційний аудит має два етапи. На першому аудитор перевіряє документацію і готовність, на другому дивиться, як система працює насправді: опитує людей, перевіряє записи, вибірково дивиться налаштування. Після сертифікації щороку проходить наглядовий аудит, а через три роки ресертифікація. Покроково етапи описані на сторінці етапи сертифікації ISO 27001.

Скільки людей потрібно

Окремого відділу безпеки для сертифікації не потрібно. У невеликій компанії достатньо однієї відповідальної особи, яка координує систему, і підтримки керівництва. Решта працівників виконує вимоги в межах своїх звичних обов’язків: HR відповідає за прийом і звільнення, ІТ за доступи і резервні копії, юрист за договори з постачальниками.

Поєднання з іншими системами

Якщо в компанії вже є ISO 9001, впровадження ISO 27001 йде помітно легше: управління документами, внутрішні аудити, коригувальні дії і аналіз керівництвом уже налагоджені. Інтегрована система з одним набором процедур і спільним аудитом зазвичай дешевша в підтримці, ніж дві окремі. Базові поняття стандарту коротко пояснено в матеріалі що таке ISO 27001.