Сертификация по ISO/IEC 27001 (СУСИ) за управление на сигурността на информацията

ISO 27001 е международният стандарт за системи за управление, който определя изискванията за система за управление на сигурността на информацията (СУСИ). Стандартът предоставя рамка с най-добри практики за идентифициране, анализ и контрол на внедряването с цел управление и ограничаване на рисковете, с което се намалява вероятността от нарушение на сигурността на информацията.
Всяка организация – независимо от размера и сектора – може да използва изискванията и контролите в рамките на ISO 27001, за да внедри ефективна ISMS, която може да бъде сертифицирана самостоятелно.

Акредитираната сертификация по ISO 27001, предоставена от уважаван и независим сертифициращ орган, демонстрира ангажираност към информационната сигурност и предоставя обективен поглед към устойчивостта и ефективността на Вашата СУСИ. Това помага за изпълнение на договорните задължения, а в много случаи изпълнява ролята на лиценз за търговия.

Защитете данните и репутацията си

Сертификацията по ISO 27001 показва, че сте установили систематичен подход, основан на риска, към сигурността на информацията, който предлага най-добрите практики за: 

• разпознаване на рисковете за информационната и кибер сигурността;
• анализиране на рисковете въз основа на въздействието и вероятността;
• оценка на рисковете и приоритизиране на мерките спрямо тях въз основа на фактори, свързани с Вашия бизнес;
• избор на опции за справяне с риска.

Демонстрирайте съответствие със законите, разпоредбите и договорните изисквания

Сертифицирането по ISO 27001 изисква да посочите приложимо законодателство, например ОРЗД на ЕС или HIPAA. Това ще окаже положително въздействие върху управлението на риска и корпоративното управление, ще Ви помогне да демонстрирате съответствие и да изпълнявате договорните си задължения.

Конкурентно предимство

Сертифицирането от LRQA дава на клиентите и заинтересованите страни увереност, че спрямо рисковете за сигурността – които могат да се отнасят до ИТ, хората, физическата среда и непрекъсваемостта на бизнеса – са предприети адекватни мерки, чиято цел е да се защити информацията.

Сертификацията по ISO 27001 дава ясен израз на възможностите Ви и демонстрира, че работите в съответствие с международно признати най-добри практики – това Ви помага да разраствате бизнеса си.

Одитите по ISO 27001 следват същия подход като другите системи за управление, основани на Анекс SL. Можете да започнете с обучение и анализ на пропуските, но официалният процес включва одит на дизайна на СУСИ (етап 1) и одит на функционирането на тази система (етап 2). Резултатите от тези одити се преглеждат технически от квалифицирано, независимо лице в LRQA, за да се осигури съгласуваност и съответствие с нашия ангажимент за най-добри практики, определени от акредитиращите органи.

След като бъде одобрен, сертификатът Ви по ISO 27001 ще бъде издаден и ще започнете тригодишен цикъл на одити за надзор, който ще доведе до одит за подновяване за следващите три години. Надзорът позволява на LRQA и на Вашата организация да управляват промените и да гарантират, че одитите са подходящи за текущите нужди на отрасъла.

След като бъде одобрена, сертификацията е с валидност три години при ефективна поддръжка на системата, демонстрирана чрез програмата за надзорни визити.

Типичният обхват на сертификата за СУСИ включва дейности, свързани с доставката на продукти и услуги. Не е необходимо да се включват вътрешни дейности или процеси на СУСИ. Целта е да се гарантира на потребителя, че информацията, предоставена при получаване на продукта или услугата, е защитена.

Декларацията за приложимост се отнася за списъка с избрани контроли. Тя не предоставя подробности за тези контроли, а проследима препратка, използвана като основа на последния одит по ISO 27001. Понякога организациите имат публична версия, която може да се споделя и посочва избраните от Приложение А за ISO 27001 контроли, но това не е задължително изискване.

Разходите се базират на броя на дните на одит, които са свързани с броя служители в обхвата на СУСИ. Броят на дните за одит е публикуван в акредитационния стандарт ISO 27006, който е достъпен за всички. Ангажирането на акредитиран сертифициращ орган, като LRQA, гарантира, че ще получите предложена продължителност на одита, която е въз основа на най-добрите отраслови практики и е сравнима с всички други акредитирани сертифициращи органи.

Например организация със 100 служители на пълно работно време трябва да очаква първоначална продължителност на одита (етап 1 + етап 2) между 8 и 12 дни в зависимост от съответния сектор, колко сложна е работната среда, дали се занимава с разработване на софтуер, или има нужда от изграждане на сигурност в продукта. Последващата програма за надзорни визити би била 3 – 4 дни/година, а подновяването 6 – 8 дни.

Да – както ISO 9001, така и ISO 27001 се базират на общия модел на най-добрите практики за системи за управление – Анекс SL – основните процеси на управление могат да бъдат оптимизирани, за да отговарят на изискванията и за двата стандарта. Всъщност разработването на система и за двата стандарта подобрява ефективността на организационното управление. Например бизнес цели като растеж често изискват разработване на нови продукти, където сигурността обикновено се възприема като стандарт за качество в съответствие с очакванията на пазара. Интеграцията може също така да сведе до минимум дублирането, което може да доведе до намаляване на времето за одит, предоставяйки рентабилна опция.

Пътят, по който Вашата организация поема за постигане на сертификация по ISO 27001, често зависи от нивото на зрялост на бизнеса Ви по отношение на информационната сигурност и по-широкото управление на риска, наред с други фактори. Но обичайният процес за сертификация по ISO 27001 включва 3 основни стъпки.

• Одит на етап 1 – преглед на документация и планиране: Вашият одитор ще прегледа структурата и документацията на Вашата система за управление – в повечето случаи това се извършва дистанционно.
• Одит на етап 2 – оценка на внедряването: Вашият одитор ще оцени внедряването и ефективността на Вашата СУСИ в съответствие с изискванията на ISO 27001. Ако няма несъответствия, ще получите Вашата сертификация. Този етап може да бъде извършен дистанционно или на място.
• Промотирайте сертификацията си по ISO 27001: Вашата сертификация демонстрира ангажимент към международно признати най-добри практики и непрекъснато подобрение – това Ви помага да разширявате бизнеса си и да отговаряте на изискванията на клиентите.

Публикуването на ISO 27002:2022 предоставя актуализация на списъка с контроли, налични в ISO 27001, който е от 2013 г. Преработените контроли отразяват развитието по отношение както на заплахите, така и на най-добрите практики в момента, а широкият обхват на ISO 27002 осигурява широко и ефективно приложение на мерките за управление на риска. Организациите могат да използват пълния списък с контроли, за да се справят с идентифицираните рискове или да откриват потенциални пропуски – това им помага да бъдат една крачка пред сложната и постоянно развиваща се среда на заплахите пред бизнесите днес.

На 25 октомври 2022 г. беше публикувана нова версия на ISO 27001. С помощта на новите контроли, посочени в ISO 27002:22, организациите ще трябва да преразгледат оценката си на риска и да определят дали трябва да се прилагат нови процедури за третирането му.