Об ИСО 27001
Содержание
ПереключатьСтандарт ISO/IEC 27001 представляет собой модель создания, внедрения, эксплуатации, мониторинга, анализа, обслуживания и совершенствования системы управления информационной безопасностью (СУИБ). Разработка и внедрение СУИБ определяются потребностями и целями организации, требованиями безопасности, используемыми процессами, а также её размером и структурой. Предполагается, что СУИБ и её поддерживающие системы будут со временем меняться, и масштаб внедрения будет зависеть от потребностей организации. Например, для простой ситуации требуется простое решение СУИБ.
Преимущества
Преимущества сертификации ISO 27001 можно обобщить следующим образом:
- Независимая проверка соответствия СУИБ вашей организации требованиям международно признанного и принятого стандарта информационной безопасности ISO 27001
- Удовлетворяйте требования ваших клиентов, которым требуется подтверждение вашего соответствия стандартам практики ISO 27001.
- Достигайте экономии средств за счет использования централизованно управляемой сертифицированной по стандарту ISO 27001 системы ISMS, которая может стать основой для различных мероприятий по обеспечению соответствия, включая NIST 800-53, HIPAA, EUCS, SOC 2, Sarbanes-Oxley и другие.
- Определите риски для информации вашей корпорации и минимизируйте их
- Улучшить репутацию и доверие заинтересованных сторон
- Повышение осведомленности в области информационной безопасности
- Сокращение количества нарушений информационной безопасности, связанных с персоналом
- Будьте в курсе событий и соблюдайте соответствующее законодательство
Область действия СУИБ
Стандарт ISO 27001 не определяет конкретную область применения СМИБ; однако определение области проверки является важнейшим компонентом процесса сертификации. Область применения СМИБ определяется самой организацией и может включать конкретное приложение или услугу организации, либо организацию в целом.
Требования стандарта, включая рассмотрение контрольных мероприятий, включенных в стандарт ISO 27001, должны применяться только к области действия рассматриваемой СУИБ после ее определения. При выдаче официальной сертификации в ней будет конкретно указано, какова область действия СУИБ.
Для получения более подробной информации свяжитесь с нами
Процесс сертификации ISO 27001
Если вы ранее не были сертифицированы по стандарту ISO 27001, то первоначальный процесс аудита, сертификации и поддержания соответствия будет состоять из нескольких этапов:
- Первичный обзор сертификации - этап 1
Первоначальный сертификационный аудит состоит из двух этапов. Первый этап, часто выполняемый на месте у клиента, состоит из обзора политики и процесса для определения готовности вашей структуры СУИБ к прохождению полного аудита на этапе 2 сертификационного обзора. Этот обзор будет включать проверку всех документов клиента, требуемых стандартом.
- Первичный обзор сертификации - этап 2
Второй этап первоначального сертификационного аудита включает углубленное тестирование для определения надлежащего внедрения системы СМИБ, а также её мониторинга и поддержки в соответствии с требованиями стандарта ISO 27001, а также внутренними политиками и процедурами. Этот этап проводится на территории клиента или в нескольких местах, если это требуется в соответствии с областью применения СМИБ. По завершении второго этапа Lazarus Alliance принимает решение о выдаче клиенту сертификата ISO 27001. Также могут быть выявлены пробелы, которые необходимо устранить перед выдачей сертификата.
- Стадия надзорного аудита
Сертификация ISO 27001 действительна в течение трёх лет, в течение которых надзорные аудиты должны проводиться не реже одного раза в год. В ходе надзорных аудитов Lazarus Alliance проведёт краткую проверку на месте, чтобы определить, были ли внесены какие-либо существенные или значимые изменения в СМИБ, а также проведёт ограниченное тестирование, чтобы подтвердить, что организация продолжает следовать принципам и средствам контроля, указанным в первоначальной сертификации СМИБ.
- Этап повторной сертификации
До истечения первоначального трехлетнего срока сертификации и в последующих циклах Lazarus Alliance проведет полные повторные сертификационные аудиты, чтобы обеспечить непрерывность вашей сертификации. Объем этого обзора и аудита будет зависеть от результатов надзорных аудитов и информации, определенной на этапе 1 повторного сертификационного обзора.
- Сроки аудита
Время, необходимое для всего процесса сертификации, во многом зависит от того, насколько система менеджмента организации соответствует требованиям стандарта ISO 27001. Некоторые организации могут получить сертификацию в течение нескольких месяцев с момента начала сертификационного обзора, тогда как другим, более сложным организациям и системам может потребоваться до года для получения сертификации.
Услуги сертификации Lazarus Alliance
Будучи аккредитованным органом по сертификации (ОС), Lazarus Alliance не может предоставлять профессиональные консультационные услуги по разработке, выбору или внедрению средств контроля для соответствия требованиям ISO 27001. Однако в дополнение к полному аудиту и сертификации мы можем предложить следующие услуги:
Предварительная оценка сертификации ISO 27001
Формальная оценка готовности не является обязательным требованием для сертификации по стандарту ISO/IEC 27001, но она может быть полезна для оказания помощи организациям в процессе надлежащей подготовки к первоначальной сертификации. Цель оценки — сэкономить время и деньги организации за счет выявления недостатков в ее системе управления информационной безопасностью (СУИБ) до подачи заявки на сертификацию по стандарту ISO/IEC 27001.
Многие организации считают это важным шагом в процессе подготовки организации к официальному сертификационному аудиту.
В ходе предварительной оценки Lazarus Alliance проведёт комплексный анализ предполагаемой области применения, политик, процедур и процессов контроля, чтобы выявить пробелы в соответствии вашей предлагаемой СМИБ стандарту ISO/IEC 27001. Оценка позволит сравнить все требования стандарта с процессами, процедурами и средствами контроля, используемыми для проектирования, внедрения, эксплуатации и обслуживания вашей СМИБ. Результатом станет отчёт, содержащий чёткое описание недостатков, которые необходимо устранить до проведения официального сертификационного аудита.
Следующие шаги
Организациям, рассматривающим возможность сертификации по стандарту ISO 27001, следует рассмотреть следующие шаги:
- Пожалуйста, свяжитесь с нами, чтобы лучше понять требования и процесс сертификации.
- Приобретите все применимые стандарты серии ISO 27701, которые наилучшим образом соответствуют целям и потребностям организации, или используйте авторитетное отраслевое решение GRC, например Континуум GRC SaaS, который является первым и единственным в мире решением по оценке, одобренным FedRAMP.
- Проводите анализ пробелов либо собственными силами, либо с использованием наших услуг, описанных выше.
- Разработать план по устранению, внедрению и сертификации.
Кроме того, для получения дополнительной информации о Lazarus Alliance, пожалуйста, ознакомьтесь с нашим стандартом ISO 27001. страница деловой политики.
Похожие статьи