Annex A — та часть ISO/IEC 27001, которую большинство представляет, когда слышит «ISO 27001», — перечень мер безопасности. В версии 2022 года в нём 93 меры, сгруппированные в четыре темы. Вот что это значит на практике.
Четыре группы мер
| Группа | Кол-во | Что охватывает |
|---|---|---|
| A.5 Организационные | 37 | Политики, роли, поставщики, инциденты, соответствие |
| A.6 Персонал | 8 | Приём, обучение, увольнение, удалённая работа |
| A.7 Физические | 14 | Помещения, оборудование, носители, кабели |
| A.8 Технологические | 34 | Доступ, бэкапы, логирование, шифрование, разработка |
A.5 — Организационные (37)
Это каркас системы: политика информационной безопасности (5.1), роли и ответственность, классификация информации, управление доступом, отношения с поставщиками, управление инцидентами (5.24–5.28), законодательные и договорные требования. Здесь же новые меры по анализу угроз (5.7), безопасности при использовании облачных сервисов (5.23) и готовности ИКТ к обеспечению непрерывности бизнеса (5.30).
A.6 — Персонал (8)
Проверка кандидатов (6.1), условия трудового договора (6.2), осведомлённость, образование и обучение (6.3), дисциплинарный процесс (6.4), обязанности после увольнения (6.5), соглашения о конфиденциальности (6.6), удалённая работа (6.7) и сообщение о событиях (6.8). Мер немного — но именно здесь происходит большинство утечек.
A.7 — Физические (14)
Периметры и физический доступ, мониторинг физической безопасности (7.4 — новая мера), чистый стол и чистый экран (7.7), защита оборудования, носители информации, кабельные системы и безопасная утилизация (7.14).
A.8 — Технологические (34)
Самая большая группа для ИТ-команды: конечные устройства (8.1), привилегированный доступ (8.2), аутентификация (8.5), защита от вредоносного ПО (8.7), управление уязвимостями (8.8), резервное копирование (8.13), логирование (8.15), криптография (8.24) и безопасная разработка.
Какие 11 мер появились в 2022 году?
- 5.7 Анализ угроз
- 5.23 Информационная безопасность при использовании облачных сервисов
- 5.30 Готовность ИКТ к обеспечению непрерывности бизнеса
- 7.4 Мониторинг физической безопасности
- 8.9 Управление конфигурациями
- 8.10 Удаление информации
- 8.11 Маскирование данных
- 8.12 Предотвращение утечки данных
- 8.16 Мониторинг активности
- 8.23 Веб-фильтрация
- 8.28 Безопасное программирование
Переходный период с версии 2013 года завершился 31 октября 2025 года — сегодня все сертификаты выдаются по ISO/IEC 27001:2022.
Все 93 меры обязательны?
Нет. Это самое частое заблуждение. Стандарт требует оценки рисков, и на её основе вы решаете, какие меры применяются. Решение фиксируется в Положении о применимости (SoA) — по каждой из 93 мер вы указываете, применяется ли она, почему, а если нет — почему нет.
Например, компания без собственной разработки может обоснованно исключить часть мер по безопасному программированию. Компания без физического офиса применит физические меры значительно уже.
Обязательны разделы 4–10 стандарта — контекст, лидерство, планирование, обеспечение, деятельность, оценка результатов и улучшение. Annex A — каталог, из которого вы выбираете на основе своих рисков.
С чего начать?
- Gap-анализ — где вы находитесь сегодня относительно стандарта.
- Реестр активов и оценка рисков — что вы защищаете и от чего.
- SoA — какие меры вы применяете.
- Внедрение — начните с мер с наибольшим эффектом: MFA, бэкапы, управление доступом, обучение.
Самая частая ошибка — начинать с документов. Начните с рисков — документы появятся следом.