Консультация
ISO/IEC 27001 — Система менеджмента информационной безопасности
Безопасность и устойчивость

ISO/IEC 27001:2022 Система менеджмента информационной безопасности

Международный стандарт, который доказывает клиентам, партнёрам и регуляторам, что вы управляете информационными рисками системно — от политик до серверов.

Бесплатная консультация Тест готовности
меры в Annex A
93
группы мер
4
обязательных разделов (4–10)
7
срок действия сертификата
3 г.
01 · Что это

Что такое ISO 27001

ISO/IEC 27001 устанавливает требования к системе менеджмента информационной безопасности (СМИБ). Она защищает три ключевых свойства информации — конфиденциальность, целостность и доступность — через управление рисками, а не через список продуктов.

Стандарт издаётся совместно ISO и IEC. Актуальная версия — 2022 года; переходный период с версии 2013 года завершился 31 октября 2025 года.

Сертификацию проводит аккредитованный орган; сертификат действует 3 года с ежегодными надзорными аудитами.

02 · Структура

Структура стандарта

Разделы 4–10 обязательны и повторяют общую структуру стандартов систем менеджмента ISO — поэтому 27001 легко интегрируется с ISO 9001.

PDCA · Планируй

Раздел 4 — Контекст организации

Внутренние и внешние факторы, заинтересованные стороны и их требования, область применения системы.

PDCA · Планируй

Раздел 5 — Лидерство

Обязательства руководства, политика информационной безопасности, роли и ответственность.

PDCA · Планируй

Раздел 6 — Планирование

Оценка и обработка рисков, Положение о применимости, цели безопасности, планирование изменений.

PDCA · Делай

Раздел 7 — Обеспечение

Ресурсы, компетентность, осведомлённость, коммуникации и документированная информация.

PDCA · Делай

Раздел 8 — Деятельность

Оперативное планирование и контроль, проведение оценки и обработки рисков.

PDCA · Проверяй

Раздел 9 — Оценка результатов

Мониторинг и измерение, внутренний аудит и анализ со стороны руководства.

PDCA · Действуй

Раздел 10 — Улучшение

Несоответствия, корректирующие действия и постоянное улучшение.

03 · Annex A

Annex A: 93 меры в 4 группах

Какие меры применять, решает оценка рисков, а фиксирует Положение о применимости (SoA). В редакции 2022 года появилось 11 новых мер.

A.5 37

Организационные

Политики, роли, поставщики, инциденты, облачные сервисы.

40% от всех мер
A.6 8

Персонал

Проверка, обучение, удалённая работа.

9% от всех мер
A.7 14

Физические

Физический доступ, оборудование, носители, утилизация.

15% от всех мер
A.8 34

Технологические

Доступ, резервное копирование, логирование, криптография, безопасная разработка.

37% от всех мер
2022 11 новых мер в редакции 2022 5.7 · 5.23 · 5.30 · 7.4 · 8.9 · 8.10 · 8.11 · 8.12 · 8.16 · 8.23 · 8.28
Annex A · ISO/IEC 27001:2022

Карта всех 93 мер

Все меры, распределённые по четырём темам стандарта. Наведите на точку щита или выберите тему, чтобы увидеть, что защищает каждая мера.

93 мер
  1. 5.1 Политики информационной безопасности
  2. 5.2 Роли и ответственность в области ИБ
  3. 5.3 Разделение обязанностей
  4. 5.4 Обязанности руководства
  5. 5.5 Взаимодействие с органами власти
  6. 5.6 Взаимодействие с профессиональными сообществами
  7. 5.7 Анализ угроз Новая
  8. 5.8 ИБ в управлении проектами
  9. 5.9 Реестр информации и связанных активов
  10. 5.10 Допустимое использование информации и активов
  11. 5.11 Возврат активов
  12. 5.12 Классификация информации
  13. 5.13 Маркировка информации
  14. 5.14 Передача информации
  15. 5.15 Управление доступом
  16. 5.16 Управление идентификацией
  17. 5.17 Аутентификационная информация
  18. 5.18 Права доступа
  19. 5.19 ИБ во взаимоотношениях с поставщиками
  20. 5.20 ИБ в договорах с поставщиками
  21. 5.21 ИБ в цепочке поставок ИКТ
  22. 5.22 Мониторинг и изменения услуг поставщиков
  23. 5.23 ИБ при использовании облачных сервисов Новая
  24. 5.24 Планирование и подготовка к управлению инцидентами
  25. 5.25 Оценка событий ИБ и принятие решений
  26. 5.26 Реагирование на инциденты ИБ
  27. 5.27 Извлечение уроков из инцидентов
  28. 5.28 Сбор доказательств
  29. 5.29 ИБ при нарушении деятельности
  30. 5.30 Готовность ИКТ к обеспечению непрерывности Новая
  31. 5.31 Правовые, регуляторные и договорные требования
  32. 5.32 Права интеллектуальной собственности
  33. 5.33 Защита записей
  34. 5.34 Конфиденциальность и защита персональных данных
  35. 5.35 Независимый анализ ИБ
  36. 5.36 Соответствие политикам, правилам и стандартам
  37. 5.37 Документированные рабочие процедуры
  1. 6.1 Проверка кандидатов
  2. 6.2 Условия трудового договора
  3. 6.3 Осведомлённость, образование и обучение
  4. 6.4 Дисциплинарный процесс
  5. 6.5 Обязанности после увольнения или перевода
  6. 6.6 Соглашения о конфиденциальности
  7. 6.7 Удалённая работа
  8. 6.8 Сообщение о событиях ИБ
  1. 7.1 Периметры физической безопасности
  2. 7.2 Физический доступ
  3. 7.3 Защита офисов, помещений и объектов
  4. 7.4 Мониторинг физической безопасности Новая
  5. 7.5 Защита от физических и природных угроз
  6. 7.6 Работа в защищённых зонах
  7. 7.7 Чистый стол и чистый экран
  8. 7.8 Размещение и защита оборудования
  9. 7.9 Безопасность активов вне территории
  10. 7.10 Носители информации
  11. 7.11 Вспомогательные системы
  12. 7.12 Безопасность кабельной сети
  13. 7.13 Обслуживание оборудования
  14. 7.14 Безопасная утилизация или повторное использование оборудования
  1. 8.1 Конечные устройства пользователей
  2. 8.2 Привилегированные права доступа
  3. 8.3 Ограничение доступа к информации
  4. 8.4 Доступ к исходному коду
  5. 8.5 Безопасная аутентификация
  6. 8.6 Управление мощностями
  7. 8.7 Защита от вредоносного ПО
  8. 8.8 Управление техническими уязвимостями
  9. 8.9 Управление конфигурациями Новая
  10. 8.10 Удаление информации Новая
  11. 8.11 Маскирование данных Новая
  12. 8.12 Предотвращение утечки данных Новая
  13. 8.13 Резервное копирование
  14. 8.14 Резервирование средств обработки информации
  15. 8.15 Журналирование
  16. 8.16 Мониторинг Новая
  17. 8.17 Синхронизация часов
  18. 8.18 Использование привилегированных утилит
  19. 8.19 Установка ПО в рабочих системах
  20. 8.20 Безопасность сетей
  21. 8.21 Безопасность сетевых сервисов
  22. 8.22 Сегментация сетей
  23. 8.23 Веб-фильтрация Новая
  24. 8.24 Использование криптографии
  25. 8.25 Безопасный жизненный цикл разработки
  26. 8.26 Требования безопасности к приложениям
  27. 8.27 Принципы безопасной архитектуры
  28. 8.28 Безопасное программирование Новая
  29. 8.29 Тестирование безопасности при разработке и приёмке
  30. 8.30 Аутсорсинг разработки
  31. 8.31 Разделение сред разработки, тестирования и эксплуатации
  32. 8.32 Управление изменениями
  33. 8.33 Тестовые данные
  34. 8.34 Защита систем при аудиторском тестировании

11 новых мер в редакции 2022

04 · Польза

Что вы получаете

Доверие и новые клиенты

Корпоративные и зарубежные клиенты всё чаще спрашивают о нём уже в первом запросе.

Основа для NIS2

Покрывает большую часть мер директивы по управлению киберрисками.

Меньше инцидентов

Риски выявляются и обрабатываются до того, как превратятся в убытки.

Порядок в доступах

Ясно, кто к чему имеет доступ, кто отвечает и что делать при инциденте.

Преимущество в тендерах

Сертификат — критерий во многих государственных и частных тендерах.

Поддержка GDPR

Технические и организационные меры доказывают и защиту персональных данных.

05 · Процесс

Путь к сертификату

Шесть этапов с понятным результатом на каждом.

Об услуге
  1. 01

    Gap-анализ

    Где вы находитесь и с чего начать.

    1–2 нед.
  2. 02

    Область и риски

    Реестр активов, оценка рисков и план обработки.

    2–3 нед.
  3. 03

    Документация и SoA

    Политики, процедуры и Положение о применимости.

    3–4 нед.
  4. 04

    Внедрение и обучение

    Технические меры, записи и обучение персонала.

    4–8 нед.
  5. 05

    Внутренний аудит

    Проверка, анализ руководством, корректирующие действия.

    1–2 нед.
  6. 06

    Сертификационный аудит

    Этап 1 и Этап 2 аккредитованным органом.

    Этап 1 + 2
06 · Сроки и цена

Сроки и стоимость — от чего зависят

У ISO 27001 нет «стандартной цены». Вот факторы, которые её определяют, — плюс ориентировочный калькулятор срока.

01

Сотрудники и площадки

Определяют объём работ и аудиторские дни органа (по ISO/IEC 27006).

02

Область применения

Вся компания или конкретная услуга, продукт или офис.

03

Текущая зрелость

Какие политики, процессы и технические меры уже есть.

04

ИТ-среда

Облако, собственные серверы, разработка, число критичных систем.

05

Поставщики

Сколько критичных поставщиков и облачных сервисов нужно оценить.

06

Оплата сертификации

Оплачивается отдельно органу по сертификации.

Ориентировочный срок
Текущий уровень безопасности
Площадки
4–5 мес. до готовности к сертификационному аудиту

Ориентировочно. Точный план и предложение — после бесплатного анализа.

Бесплатная консультация
01 Все 93 меры обязательны?

Нет. Обязательны разделы 4–10. Меры Annex A выбираются по результатам оценки рисков, а выбор и обоснование фиксируются в Положении о применимости (SoA).

02 Чем ISO 27001 отличается от ISO 27002?

ISO 27001 содержит требования и сертифицируется. ISO 27002 — руководство по внедрению каждой меры, он не сертифицируется.

03 Может ли сертификат охватывать только часть компании?

Да. Вы определяете область — например, конкретную услугу, продукт или офис. Она должна быть чётко описана и обоснована перед аудитором.

04 Что происходит на надзорном аудите?

Раз в год орган проверяет выбранные части системы и то, что она продолжает работать и улучшаться. На третий год проводится ресертификация.

05 Покрывает ли ISO 27001 требования NIS2?

Большую часть мер статьи 21 — да, но у NIS2 есть и собственные требования: сроки уведомления об инцидентах и ответственность руководства. Мы закрываем и то, и другое.

06 Сколько это длится?

Для компании до 50 человек — обычно от 3 до 6 месяцев до готовности к сертификационному аудиту. Ориентируйтесь по калькулятору.

Читайте также
ISO 27001 — информационная безопасностьОценка рисков, Положение о применимости и внедрение мер из Annex A. ISO 27001:2022 — 93 меры Annex A простыми словами Блог ISO 9001:2026Система менеджмента качества

Первая консультация — бесплатно

Расскажите о компании и вашей цели. Вы получите чёткий план и предложение в течение одного рабочего дня.

Записаться на консультацию