ISO/IEC 27001 - информационна сигурност

Какво е ISO/IEC 27001?

ISO/IEC 27001 определя изискванията, на които трябва да отговаря системата за управление на сигурността на информацията - политиките, процесите, отговорностите и контролите, с които организацията управлява рисковете за данните си.

Съответствието със стандарта означава, че организацията е въвела система за управление на рисковете, свързани със сигурността на данните, които притежава или обработва, и че тази система следва принципите и добрите практики, заложени в стандарта. Действащото издание е ISO/IEC 27001:2022. Какво се промени спрямо версията от 2013 г. ще намерите в статията ISO/IEC 27001:2013 има нова версия - ISO/IEC 27001:2022.

Стандартът е приложим за организации от всякакъв размер и отрасъл - от ИТ компании и доставчици на облачни услуги до производители, търговци, финансови институции и публични организации.

Какво защитава системата за информационна сигурност?

Системата защитава три основни свойства на информацията - поверителност, цялостност и наличност.

• ПоверителностИнформацията е достъпна само за лицата и процесите, които имат право на достъп до нея.
• ЦялостностИнформацията е точна и пълна и не се променя без разрешение.
• НаличностИнформацията и системите са достъпни, когато са необходими на оправомощените потребители.
• Цялата информацияЗащитата обхваща данни в електронен вид, на хартия, в облачни услуги и знанията на хората.

Как работи оценката на риска?

Оценката на риска е ядрото на ISO/IEC 27001: организацията установява какво може да застраши информацията ѝ, оценява вероятността и последствията и решава как да третира всеки риск.

1. 1Обхват и контекст

   Определяте кои дейности, обекти, системи и информация попадат в системата.

2. 2Идентифициране на рисковете

   Установявате заплахите и уязвимостите за информацията в обхвата.

3. 3Анализ и оценка

   Оценявате вероятността и въздействието и определяте кои рискове изискват действие.

4. 4Третиране на риска

   Избирате контроли, с които да намалите, избегнете, прехвърлите или приемете риска.

5. 5Декларация за приложимост

   Документирате кои контроли от Приложение А прилагате и защо изключвате останалите.

Основната част на стандарта следва общата структура на ISO стандартите за системи за управление - контекст, лидерство, планиране, осигуряване, дейности, оценяване на резултатите и подобряване. Затова ISO/IEC 27001 лесно се интегрира с ISO 9001 и ISO/IEC 20000-1.

Какво съдържа Приложение А на версия 2022?

Приложение А на ISO/IEC 27001:2022 съдържа 93 контрола, групирани в четири теми.

Не всеки контрол е задължителен. Организацията прилага контролите, които отговарят на рисковете ѝ, и обосновава изключенията в Декларацията за приложимост.

От какво зависи цената на сертификацията?

Цената на сертификацията по ISO/IEC 27001 зависи преди всичко от броя на локациите на организацията и от броя на механизмите за контрол, които системата управлява.

Тя обикновено е по-висока от тази при останалите ISO стандарти, защото ISO/IEC 27001 е по-взискателен и разглежда много повече аспекти на информационната сигурност. Изискванията към сигурността се повишават и с Директивата NIS 2 - вижте статията NIS 2 и връзката ѝ с ISO/IEC 27001. Общите фактори за цената са описани в Колко струва сертифицирането по ISO.

• брой локации в обхвата;
• брой контроли, които системата управлява;
• брой служители, чиято работа попада в обхвата;
• сложност на информационните системи и дейностите.

Одитът се провежда на два етапа - преглед на документацията и готовността, след това проверка на внедряването на място. Сертификатът е валиден 3 години, с надзорни одити през втората и третата година. Сертификатите се издават от CERTIND S.A., акредитиран от RENAR за ISO/IEC 27001.