Информационная безопасность · IAF MLA

ISO 27001 — информационная безопасность

Оказываем услуги по ISO/IEC 27001: оцениваем риски, сопровождаем подготовку документации и внутренний аудит СМИБ. Согласуем границы проекта, необходимые работы и стоимость.

Заказать подготовку к сертификации Состав услуги

93 меры обеспечения ИБ в Приложении A

178 стран признают сертификат

21 год опыта в сертификации

О стандарте

Международный стандарт защиты информации

ISO/IEC 27001:2022 — ведущий международный стандарт системы менеджмента информационной безопасности (СМИБ). Он помогает защитить конфиденциальность, целостность и доступность информации: данных клиентов, коммерческой тайны, персональных и финансовых данных.

В основе стандарта — оценка и обработка рисков ИБ. Организация выявляет информационные активы, угрозы и уязвимости, выбирает меры защиты из Приложения A (93 меры в 4 темах) и фиксирует решения в Положении о применимости (SoA). Система работает по циклу PDCA: её регулярно проверяют и улучшают, а не создают один раз для галочки.

Подготовка к сертификации по ISO/IEC 27001 начинается с определения границ системы управления информационной безопасностью и информационных активов. Специалисты помогают разработать оценку рисков, план их обработки и Положение о применимости. При внедрении проверяем распределение ответственности, наличие записей и результаты внутреннего аудита, чтобы команда могла подтвердить работу СМИБ на практике.

Сертификационный аудит и решение о выдаче сертификата выполняет орган по сертификации. До начала работ уточняем требования заказчика к сертификату и области аккредитации органа.

Триада CIA Конфиденциальность, целостность, доступность

Управление рисками Защита там, где реально есть угроза

Реагирование на инциденты Быстрое обнаружение и устранение

Мировое признание 178 стран, ИТ-контракты, экспорт

21 год
практики

Партнёр по сертификации:

G-CERTi IAF · Корея

Состав услуги

Внедрение системы менеджмента информационной безопасности

Услуги по ISO/IEC 27001 включают оценку процессов, рисков и применяемых мер защиты информации. Определяем область системы, значимые информационные активы и требования заинтересованных сторон. Объём проекта зависит от технологий, структуры предприятия и существующих корпоративных процедур.

Риски, документы и меры защиты

Помогаем определить методику оценки рисков, план обработки и Положение о применимости. Учитываем используемые сервисы, отношения с поставщиками и поддержку непрерывности деятельности. При внедрении важно проверить, как установленные меры выполняются на практике и какие записи подтверждают их эффективность.

Проверка перед сертификацией

Внутренняя проверка охватывает документы, работу сотрудников и выполнение корректирующих действий. Результаты анализа руководством и внутренних аудитов служат свидетельствами функционирования системы. Получение сертификата — отдельный этап независимой оценки; положительное решение не заменяет постоянной работы по информационной безопасности.

Что подтверждает сертификат ISO 27001?

Он подтверждает соответствие системы менеджмента требованиям стандарта в установленной области. Сертификат не гарантирует отсутствие инцидентов и не является аттестацией каждого приложения или оборудования. Для клиента важно проверить область, действительность документа и признание органа.

Как соотносятся ISO/IEC 27001 и ИСО/МЭК 27001?

«ИСО/МЭК» — русское обозначение ISO/IEC. В договоре нужно указывать конкретный международный или национальный документ и его редакцию. Выбор зависит от требований заказчика; сходное название не означает автоматическую взаимозаменяемость сертификатов. При необходимости подготовка учитывает и действующую систему менеджмента качества.

Структура стандарта

Ключевые требования ISO/IEC 27001:2022

Нормативные требования к СМИБ изложены в разделах 4–10, а Приложение A содержит перечень мер обеспечения ИБ. Вот что критически важно при подготовке к сертификации.

Контекст, лидерство и планирование

Context of the organization, Leadership, Planning

Раздел 4: организация определяет контекст, заинтересованные стороны и область применения СМИБ. Раздел 5 требует участия руководства, политики ИБ и распределения ролей. Раздел 6 описывает методику оценки и обработки рисков ИБ, Положение о применимости (SoA) и измеримые цели ИБ.

Политика ИБОценка рисковSoAОбласть применения

93меры в Приложении A

178стран признают

Обеспечение

Ресурсы, компетентность и осведомлённость персонала, внутренние и внешние коммуникации, управление документированной информацией. Сотрудники должны понимать политику ИБ и свою роль в защите данных.

Обучение ИБОсведомлённостьДокументация

Задайте вопросы →

Функционирование

Регулярная оценка рисков ИБ через запланированные интервалы и при существенных изменениях, выполнение плана обработки рисков, контроль изменений и процессов, переданных внешним поставщикам.

План обработки рисковИзмененияАутсорсинг

Задайте вопросы →

Оценка результативности

Мониторинг и измерение эффективности мер защиты, внутренние аудиты СМИБ и анализ со стороны руководства. Организация доказывает, что меры защиты действительно работают, а не просто описаны в документах.

Внутренние аудитыМетрики ИБАнализ руководством

Задайте вопросы →

Улучшение

Устранение несоответствий, корректирующие действия и постоянное совершенствование СМИБ. Каждый инцидент и каждая находка аудита становятся поводом укрепить защиту и не допустить повторения.

Корректирующие действияУроки инцидентовПостоянное улучшение

Задайте вопросы →

93 меры обеспечения ИБ

В версии 2022 года меры сгруппированы в 4 темы: организационные (37), связанные с персоналом (8), физические (14) и технологические (34). Появились 11 новых мер, в том числе анализ угроз (threat intelligence), безопасность облачных сервисов, предотвращение утечек данных и безопасное программирование.

Threat IntelligenceОблакаDLP

Задайте вопросы →

Сертификация ISO/IEC 27001 — защита информации

4 темы организационные, кадровые, физические и технологические меры: защита по всем направлениям

11 новых мер в версии 2022 года: облака, анализ угроз, DLP, безопасная разработка

Область применения

Кому нужен ISO/IEC 27001

Стандарт подходит любой организации, которая хранит и обрабатывает ценную информацию. Для некоторых категорий сертификат фактически стал пропуском на рынок.

IT-компании и SaaS

Разработчики ПО, облачные и хостинг-провайдеры, ЦОД и интеграторы: сертификат подтверждает клиентам, что их данные в безопасности

Банки и финансовые организации

Банки, финтех, страховые и платёжные сервисы работают с финансовыми и персональными данными, где требования к защите максимальны

Наиболее востребовано

Работа с иностранными заказчиками

Крупные зарубежные клиенты часто требуют ISO 27001 от подрядчиков и поставщиков ИТ-услуг ещё на этапе отбора, без него в контракт не пускают

Операторы персональных данных

Медицина, телеком, ритейл, логистика, аутсорсинг и колл-центры: все, кто хранит конфиденциальные данные клиентов и сотрудников

Узнать стоимость сертификации

Как мы работаем

Как проходит сертификация по ISO/IEC 27001

Четыре этапа, прозрачный процесс и постоянная обратная связь с менеджером и аудитором на каждом шаге.

Сроки2–6 месяцев

Срок сертификата3 года + надзор

Признание178 стран IAF MLA

Подача заявки и GAP-анализ

Оставьте заявку. Менеджер свяжется с вами, подготовит коммерческое предложение и назначит GAP-анализ. Эксперт сравнит текущие меры защиты с требованиями ISO/IEC 27001:2022, поможет определить область применения СМИБ и составит реалистичный план подготовки.

Подготовка к аудиту

При необходимости сопровождаем разработку документации СМИБ: политики ИБ, реестра активов, методики и отчёта об оценке рисков, плана обработки рисков, Положения о применимости (SoA) и процедуры реагирования на инциденты. Проводим внутренний аудит и готовим вас к аудиту 1-й стадии.

Аудит (стадия 1 + стадия 2)

На 1-й стадии аудитор проверяет документацию СМИБ, область применения и готовность к основному аудиту. На 2-й стадии он оценивает, как меры защиты работают на практике: интервьюирует сотрудников, проверяет записи, настройки и физическую безопасность. По итогам формируется отчёт с выводами.

Выпуск сертификата

Когда соответствие подтверждено, орган по сертификации выпускает международный сертификат ISO/IEC 27001:2022. Он действует 3 года, в течение которых ежегодно проводятся надзорные аудиты. Сертификат признаётся в 178 странах и подтверждает надёжность вашей компании для клиентов и партнёров.

Частые вопросы

Вопросы об ISO/IEC 27001

Здесь собраны ответы на самые частые вопросы о сертификации по ISO/IEC 27001. Если не нашли свой, задайте его эксперту.

«Многие технические меры защиты у компаний уже есть. Чаще всего не хватает системы: оценки рисков, ролей и регулярного контроля. Её мы и помогаем выстроить»

— Эксперт Haensch Group

От чего зависит стоимость внедрения и сертификации?

Стоимость проекта зависит от области применения СМИБ, числа площадок и сотрудников, сложности инфраструктуры и готовности действующих средств защиты. Сначала оцениваем объём работ по внедрению и подготовке. Отдельно согласуем условия сертификационного аудита и последующего надзора. Для расчёта цены направьте сведения о компании и требования заказчика через форму заявки.

Какие документы подготовить для начала работ?

Подготовьте описание деятельности и IT-инфраструктуры, перечень активов, политики безопасности, результаты оценки рисков, Положение о применимости и записи о проверках. Если части документов нет, сообщите об этом при обращении. По результатам анализа определим, что нужно разработать или обновить, и согласуем план подготовки к сертификации.

Что даёт сертификат ISO/IEC 27001 на практике?

Сертификат подтверждает клиентам и партнёрам, что их данные под надёжной защитой. Он часто обязателен при работе с крупными и иностранными заказчиками и сокращает проверки поставщиков. Внутри компании СМИБ снижает риск утечек и простоев, ускоряет реагирование на инциденты и делает затраты на ИБ обоснованными.

Чем версия 2022 отличается от ISO/IEC 27001:2013?

Приложение A переработано: вместо 114 мер в 14 разделах теперь 93 меры в 4 темах, из них 11 новых (анализ угроз, облачная безопасность, предотвращение утечек, безопасная разработка и другие). Переходный период завершился 31 октября 2025 года, поэтому сертификаты по версии 2013 года больше не действуют. Если у вас сертификат старой версии, поможем пройти сертификацию по актуальной.

Заменяет ли ISO 27001 требования 152-ФЗ и ФСТЭК?

Нет. ISO/IEC 27001 — добровольный международный стандарт, а требования российского законодательства обязательны сами по себе. Но СМИБ хорошо их дополняет: законодательные требования учитываются при оценке рисков и выборе мер, и соблюдать их становится проще и системнее.

Можно совместить ISO 27001 с ISO 9001 и другими стандартами?

Да. ISO/IEC 27001 построен по единой высокоуровневой структуре (Annex SL), как ISO 9001, 14001 и 45001. Поэтому стандарты легко объединить в интегрированную систему менеджмента: у вас будет общая документация, совмещённые аудиты и меньше затрат. Для IT-компаний управление информационной безопасностью можно объединить с системой качества ISO 9001. Другой вариант — интеграция с менеджментом IT-услуг по ISO/IEC 20000-1.

Сколько времени занимает подготовка к сертификации?

Если базовые меры ИБ уже работают и нужно оформить систему, обычно хватает 2–3 месяцев. Если СМИБ создаётся с нуля, на это уходит 4–6 месяцев. Срок зависит от размера компании, области применения и количества площадок и систем. После GAP-анализа мы составим план с конкретными сроками.

Чем Haensch Group лучше «серых» схем?

Мы работаем через аккредитованного партнёра G-CERTi (IAF, Южная Корея). Орган входит в систему MLA IAF: сертификаты MLA IAF признаются в 178 странах мира и принимаются при тендерных закупках по всему миру. Подлинность сертификата можно проверить по реквизитам выдавшего органа.

Задать вопрос эксперту

Бесплатная консультация

Получите расчёт стоимости сертификации по ISO/IEC 27001

Расскажите об отрасли, ИТ-инфраструктуре и целях компании. Мы определим область применения СМИБ и дадим предварительную оценку сроков и стоимости. Ответим в течение 1 рабочего дня.

Бесплатный звонок по России

Оставить заявку

Ответим в течение 2 часов (Пн – Пт, 09:00 – 18:00 МСК)

Ваше имя *

Компания *

Телефон *

Электронная почта

Интересующий рынок

Интересует

Дополнительная информация