Безплатна консултация
ISO/IEC 27001 — Система за управление на информационната сигурност
Сигурност и устойчивост

ISO/IEC 27001:2022 Система за управление на информационната сигурност

Международният стандарт, който доказва пред клиенти, партньори и регулатори, че управлявате риска за информацията систематично — от политиките до сървърите.

Безплатна консултация Тест за готовност
контрола в Annex A
93
теми на контролите
4
задължителни клаузи (4–10)
7
валидност на сертификата
3 г.
01 · Какво е

Какво е ISO 27001

ISO/IEC 27001 определя изискванията към система за управление на информационната сигурност (СУИС). Тя защитава трите основни свойства на информацията — поверителност, цялостност и наличност — чрез управление на риска, а не чрез списък от продукти.

Стандартът се издава съвместно от ISO и IEC. Текущата версия е от 2022 г.; преходният период от версията от 2013 г. приключи на 31 октомври 2025 г.

Сертификацията се извършва от акредитиран сертифициращ орган и е валидна 3 години, с надзорни одити всяка година.

02 · Структура

Структурата на стандарта

Клаузи 4–10 са задължителни и следват общата структура на ISO стандартите за системи за управление — затова 27001 лесно се интегрира с ISO 9001.

PDCA · Планирай

Клауза 4 — Контекст на организацията

Вътрешни и външни фактори, заинтересовани страни и техните изисквания, обхват на системата.

PDCA · Планирай

Клауза 5 — Лидерство

Ангажираност на ръководството, политика за информационна сигурност, роли и отговорности.

PDCA · Планирай

Клауза 6 — Планиране

Оценка и третиране на риска, Декларация за приложимост, цели за сигурността, планиране на промени.

PDCA · Изпълни

Клауза 7 — Поддръжка

Ресурси, компетентност, осведоменост, комуникация и документирана информация.

PDCA · Изпълни

Клауза 8 — Дейност

Оперативно планиране и контрол, извършване на оценката и третирането на риска.

PDCA · Провери

Клауза 9 — Оценяване на изпълнението

Наблюдение и измерване, вътрешен одит и преглед от ръководството.

PDCA · Действай

Клауза 10 — Подобряване

Несъответствия, коригиращи действия и непрекъснато подобрение.

03 · Annex A

Annex A: 93 контрола в 4 теми

Кои контроли прилагате се решава от оценката на риска и се записва в Декларацията за приложимост (SoA). В изданието от 2022 г. има 11 нови контрола.

A.5 37

Организационни

Политики, роли, доставчици, инциденти, облачни услуги.

40% от всички контроли
A.6 8

Свързани с хората

Проверка при наемане, обучение, работа от разстояние.

9% от всички контроли
A.7 14

Физически

Достъп до помещения, оборудване, носители, бракуване.

15% от всички контроли
A.8 34

Технологични

Достъп, архиви, логове, криптиране, сигурна разработка.

37% от всички контроли
2022 11 нови контрола в изданието 2022 5.7 · 5.23 · 5.30 · 7.4 · 8.9 · 8.10 · 8.11 · 8.12 · 8.16 · 8.23 · 8.28
Annex A · ISO/IEC 27001:2022

Картата на 93-те контрола

Всички контроли, разпределени в четирите теми на стандарта. Посочете точка от щита или изберете тема, за да видите какво защитава всеки контрол.

93 контрола
  1. 5.1 Политики за информационна сигурност
  2. 5.2 Роли и отговорности за информационната сигурност
  3. 5.3 Разделение на задълженията
  4. 5.4 Отговорности на ръководството
  5. 5.5 Контакт с органите
  6. 5.6 Контакт със специализирани групи
  7. 5.7 Разузнаване на заплахи Нов
  8. 5.8 Информационна сигурност при управление на проекти
  9. 5.9 Опис на информацията и свързаните активи
  10. 5.10 Приемлива употреба на информацията и активите
  11. 5.11 Връщане на активи
  12. 5.12 Класификация на информацията
  13. 5.13 Етикетиране на информацията
  14. 5.14 Пренос на информация
  15. 5.15 Контрол на достъпа
  16. 5.16 Управление на идентичности
  17. 5.17 Информация за удостоверяване
  18. 5.18 Права на достъп
  19. 5.19 Информационна сигурност във взаимоотношенията с доставчици
  20. 5.20 Сигурност в договорите с доставчици
  21. 5.21 Сигурност във веригата на доставки на ИКТ
  22. 5.22 Наблюдение и промени в услугите на доставчици
  23. 5.23 Сигурност при използване на облачни услуги Нов
  24. 5.24 Планиране и подготовка за управление на инциденти
  25. 5.25 Оценка и решение за събития
  26. 5.26 Реакция при инциденти
  27. 5.27 Поуки от инциденти
  28. 5.28 Събиране на доказателства
  29. 5.29 Информационна сигурност при прекъсване
  30. 5.30 Готовност на ИКТ за непрекъсваемост на бизнеса Нов
  31. 5.31 Законови, регулаторни и договорни изисквания
  32. 5.32 Права на интелектуална собственост
  33. 5.33 Защита на записите
  34. 5.34 Неприкосновеност и защита на личните данни
  35. 5.35 Независим преглед на информационната сигурност
  36. 5.36 Съответствие с политики, правила и стандарти
  37. 5.37 Документирани работни процедури
  1. 6.1 Проверка на кандидати
  2. 6.2 Условия на трудовия договор
  3. 6.3 Осведоменост, обучение и квалификация
  4. 6.4 Дисциплинарен процес
  5. 6.5 Отговорности след прекратяване или промяна на заетостта
  6. 6.6 Споразумения за поверителност
  7. 6.7 Дистанционна работа
  8. 6.8 Докладване на събития
  1. 7.1 Физически периметри за сигурност
  2. 7.2 Физически достъп
  3. 7.3 Защита на офиси, помещения и съоръжения
  4. 7.4 Наблюдение на физическата сигурност Нов
  5. 7.5 Защита от физически и екологични заплахи
  6. 7.6 Работа в защитени зони
  7. 7.7 Чисто бюро и чист екран
  8. 7.8 Разположение и защита на оборудването
  9. 7.9 Сигурност на активи извън обекта
  10. 7.10 Носители на информация
  11. 7.11 Спомагателни съоръжения
  12. 7.12 Сигурност на кабелите
  13. 7.13 Поддръжка на оборудването
  14. 7.14 Сигурно унищожаване или повторна употреба на оборудване
  1. 8.1 Крайни устройства на потребителите
  2. 8.2 Привилегировани права на достъп
  3. 8.3 Ограничаване на достъпа до информация
  4. 8.4 Достъп до изходния код
  5. 8.5 Сигурно удостоверяване
  6. 8.6 Управление на капацитета
  7. 8.7 Защита от зловреден софтуер
  8. 8.8 Управление на техническите уязвимости
  9. 8.9 Управление на конфигурациите Нов
  10. 8.10 Изтриване на информация Нов
  11. 8.11 Маскиране на данни Нов
  12. 8.12 Предотвратяване на изтичане на данни Нов
  13. 8.13 Архивиране на информацията
  14. 8.14 Резервираност на съоръженията
  15. 8.15 Регистриране на събития (логове)
  16. 8.16 Дейности по наблюдение Нов
  17. 8.17 Синхронизация на часовниците
  18. 8.18 Използване на привилегировани помощни програми
  19. 8.19 Инсталиране на софтуер в работни системи
  20. 8.20 Сигурност на мрежите
  21. 8.21 Сигурност на мрежовите услуги
  22. 8.22 Сегментиране на мрежите
  23. 8.23 Уеб филтриране Нов
  24. 8.24 Използване на криптография
  25. 8.25 Сигурен жизнен цикъл на разработката
  26. 8.26 Изисквания за сигурност на приложенията
  27. 8.27 Принципи за сигурна архитектура
  28. 8.28 Сигурно програмиране Нов
  29. 8.29 Тестване на сигурността при разработка и приемане
  30. 8.30 Възложена разработка
  31. 8.31 Разделяне на среди за разработка, тест и продукция
  32. 8.32 Управление на промените
  33. 8.33 Тестова информация
  34. 8.34 Защита на системите при одитно тестване

11 нови контрола в изданието 2022

04 · Ползи

Какво печелите

Доверие и нови клиенти

Корпоративни и чуждестранни клиенти все по-често го изискват още в запитването.

Основа за NIS2

Покрива голяма част от мерките за управление на киберрисковете по директивата.

По-малко инциденти

Рисковете се идентифицират и третират, преди да се превърнат в загуби.

Ред в достъпите

Ясно кой до какво има достъп, кой отговаря и какво се прави при инцидент.

Предимство в търгове

Сертификатът е критерий в много обществени и частни поръчки.

Подкрепа за GDPR

Техническите и организационни мерки са и доказателство за защита на личните данни.

05 · Процес

Пътят до сертификата

Шест етапа, ясни срокове и резултат на всеки етап.

Вижте услугата
  1. 01

    Gap анализ

    Къде сте спрямо стандарта и какво да направите първо.

    1–2 седм.
  2. 02

    Обхват и риск

    Регистър на активите, оценка и план за третиране на риска.

    2–3 седм.
  3. 03

    Документация и SoA

    Политики, процедури и Декларация за приложимост.

    3–4 седм.
  4. 04

    Внедряване и обучение

    Технически мерки, записи и обучение на хората.

    4–8 седм.
  5. 05

    Вътрешен одит

    Проверка, преглед от ръководството, коригиращи действия.

    1–2 седм.
  6. 06

    Сертификационен одит

    Етап 1 и Етап 2 от акредитиран сертифициращ орган.

    Етап 1 + 2
06 · Срок и цена

Срок и цена — от какво зависят

Няма „стандартна цена“ за ISO 27001. Ето кои фактори я определят — и ориентировъчен калкулатор на срока.

01

Служители и локации

Определят обема на работа и одиторските дни на сертифициращия орган (по ISO/IEC 27006).

02

Обхват

Цялата фирма или конкретна услуга, продукт или офис.

03

Текуща зрялост

Какви политики, процеси и технически мерки вече съществуват.

04

ИТ средата

Облак, собствени сървъри, разработка, брой критични системи.

05

Доставчици

Колко критични доставчици и облачни услуги трябва да се оценят.

06

Такса за сертификация

Плаща се отделно на сертифициращия орган.

Ориентировъчен срок
Текущо ниво на сигурност
Локации
4–5 месеца до готовност за сертификационния одит

Ориентировъчно. Точен план и оферта — след безплатния gap анализ.

Безплатна консултация
01 Задължителни ли са всички 93 контрола?

Не. Задължителни са клаузите 4–10. Контролите от Annex A се избират според оценката на риска, а изборът и обосновката се документират в Декларацията за приложимост (SoA).

02 Каква е разликата между ISO 27001 и ISO 27002?

ISO 27001 съдържа изискванията и е сертифицируем. ISO 27002 е ръководство с подробни насоки за прилагане на всеки контрол — не се сертифицира.

03 Може ли сертификатът да обхваща само част от фирмата?

Да. Обхватът се определя от вас — например конкретна услуга, продукт или офис. Той трябва да е ясно описан и защитим пред одитора.

04 Какво се случва при надзорния одит?

Веднъж годишно сертифициращият орган проверява избрани части от системата и дали тя продължава да работи и да се подобрява. На третата година се прави ресертификация.

05 ISO 27001 изпълнява ли изискванията на NIS2?

Покрива голяма част от мерките по чл. 21, но NIS2 има и собствени изисквания — сроковете за докладване на инциденти и отговорността на ръководството. Покриваме и двете.

06 Колко време отнема?

За фирма до 50 души обикновено 3 до 6 месеца до готовност за сертификационния одит. Използвайте калкулатора за ориентир.

Още по темата
ISO 27001 — информационна сигурностОценка на риска, Декларация за приложимост и внедряване на контролите от Annex A. ISO 27001:2022 — 93-те контрола от Annex A, обяснени просто Блог ISO 9001:2026Система за управление на качеството

Първата консултация е безплатна

Разкажете ни за фирмата и целта си. Ще получите ясен план и оферта до 1 работен ден.

Заявете консултация