ISO/IEC 27001 в Казахстане: зачем компаниям сертификация и как к ней подготовиться

Казахстанские компании все чаще сталкиваются с вопросами информационной безопасности не только со стороны регуляторов, но и со стороны клиентов. Банки проверяют поставщиков, иностранные партнеры присылают анкеты по защите данных, а в тендерах появляются требования к системе управления информационной безопасностью. Международный стандарт ISO/IEC 27001 позволяет ответить на эти вопросы одним документом.

Что такое ISO/IEC 27001

Стандарт описывает требования к системе управления информационной безопасностью. Компания определяет область действия системы, оценивает риски, выбирает меры защиты из приложения A и регулярно проверяет их работу. Независимый аудит подтверждает соответствие, после чего выдается сертификат сроком на три года с ежегодными надзорными аудитами.

Кому это нужно в первую очередь

Финтех и платежные компании, которые работают с банками и обрабатывают данные клиентов. IT-компании, которые экспортируют услуги в Европу и США. Операторы персональных данных, телеком, логистика и медицина. Поставщики государственных информационных систем.

Как проходит сертификация

Сначала компания проводит оценку текущего состояния и определяет пробелы. Затем внедряет недостающие процессы: оценку рисков, политики, управление доступом, реагирование на инциденты, резервное копирование, работу с поставщиками. Система должна поработать несколько месяцев, чтобы появились записи. Перед внешним аудитом проводятся внутренний аудит и анализ со стороны руководства. Сертификационный аудит состоит из двух этапов: проверка документации и проверка работы системы на практике.

Типичные ошибки

Покупка готового пакета документов без адаптации к реальным процессам. Слишком широкая область на старте. Оценка рисков, сделанная один раз и забытая. Попытка собрать доказательства за неделю до аудита. Все это аудитор видит уже на первом этапе.

С чего начать

Назначьте ответственного, определите, какие услуги и системы важны для клиентов, и проведите честную оценку готовности. Это займет немного времени, но покажет реальный объем работы и сроки.

Сколько людей нужно

Для компании до ста сотрудников обычно достаточно одного ответственного, который координирует работу, и поддержки руководителей подразделений. Каждый сотрудник должен знать правила, которые его касаются, и пройти короткое обучение по информационной безопасности.

Подробнее о процессе и подготовке можно прочитать на странице сертификация ISO/IEC 27001 в Казахстане аудиторской компании BALTUM. Вопросы принимаются на info@baltum.org.