ISO 27001 и ISMS

ISO/IEC 27001 — международный стандарт управления информационной безопасностью. В отличие от гибкой структуры, это формальная спецификация, на соответствие которой аккредитованный орган может провести сертификацию.

Центральное понятие стандарта — ISMS, система управления информационной безопасностью. ISO 27001 — это не столько список технических средств контроля, сколько система для управления безопасностью как постоянным управляемым процессом.

ISMS — это совокупность политик, процессов, ролей и средств контроля, которые организация использует для систематического управления рисками информационной безопасности.

Это система управления, подобная системе управления качеством или экологического менеджмента. Цель состоит не в успешном прохождении одной проверки, а в создании постоянно действующего механизма, который:

• непрерывно оценивает риски;
• применяет и поддерживает средства контроля;
• измеряет эффективность;
• со временем совершенствуется.

ISMS работает на основе цикла постоянного совершенствования PDCA:

• Планирование — определение области действия ISMS, политики, оценка и обработка рисков.
• Выполнение — внедрение выбранных средств контроля и процессов.
• Проверка — мониторинг, аудит и измерение результатов.
• Действие — исправление несоответствий и совершенствование.

Именно поэтому сертификация не является разовым событием: аудиторы ожидают увидеть доказательства того, что цикл действительно работает.

ISO 27001 в основе своей ориентирован на риски. Вы выявляете риски для конфиденциальности, целостности и доступности, а затем решаете, как обрабатывать каждый из них.

Четыре стандартных варианта обработки рисков:

Один из ключевых документов ISO 27001 — заявление о применимости. В нём перечислены все средства контроля из эталонного набора стандарта и указано:

• применимо ли средство контроля;
• внедрено ли оно;
• обоснование его включения или исключения.

Заявление о применимости связывает оценку рисков со средствами контроля и является одним из первых документов, которые изучает аудитор. Исключить средство контроля разрешается, но необходимо обосновать причину.

ISO 27001 ссылается на каталог средств контроля в приложении A, подробно описанных в сопутствующем руководстве ISO 27002. В редакции 2022 года они были распределены по четырём направлениям:

• Организационные средства контроля (политики, управление поставщиками).
• Кадровые средства контроля (проверка сотрудников, повышение осведомлённости).
• Физические средства контроля (защищённые зоны, оборудование).
• Технологические средства контроля (доступ, криптография, ведение журналов).

Вы выбираете применимые средства контроля на основе оценки рисков и фиксируете этот выбор в заявлении о применимости.

На раннем этапе создания ISMS Вы определяете её область действия: какие части организации, системы и данные охватывает ISMS.

Область действия имеет огромное значение. Узкая область (одна линейка продуктов) позволяет быстрее пройти сертификацию, но охватывает меньше; широкая область (вся компания) вызывает больше доверия, но требует больше работы. Область действия указывается в сертификате, и заказчики внимательно её изучают, поэтому определяйте её честно — только в пределах того, что Вы сможете поддерживать.

ISO 27001 требует приверженности высшего руководства. Руководство должно установить политику безопасности, распределить роли, выделить ресурсы и проводить анализ ISMS.

Стандарт также предусматривает большое количество документов: политики, оценку рисков, заявление о применимости, процедуры и записи результатов мониторинга. Аудиторы руководствуются принципом: если это не задокументировано, значит, этого не было. Доказательства — основа сертификации.

Помимо средств контроля из приложения A, для сертификации необходимо выполнить требования обязательных разделов с 4 по 10, описывающих саму систему управления:

• 4. Контекст, 5. Руководство, 6. Планирование, 7. Поддержка.
• 8. Функционирование, 9. Оценка результатов, 10. Улучшение.

Эти требования не являются необязательными. Средства контроля из приложения A можно адаптировать, но все разделы о системе управления должны быть выполнены для получения сертификации.

Эти стандарты дополняют друг друга, а не конкурируют:

• ISO 27001 допускает сертификацию, признаётся на международном уровне и уделяет особое внимание системе управления и руководству.
• NIST CSF является добровольным и гибким и уделяет особое внимание практическим результатам управления рисками в разных функциях.

Многие организации используют CSF для структурирования операционных возможностей, а ISO 27001 — для формализации и сертификации программы. Их наборы средств контроля во многом сопоставимы.

ISMS включает две регулярные проверки, которые позволяют поддерживать работоспособность цикла PDCA:

• Внутренний аудит — периодическая независимая проверка ISMS на соответствие ISO 27001 и собственным политикам, позволяющая выявить несоответствия до того, как их обнаружит орган по сертификации.
• Анализ со стороны руководства — формальная проверка руководством результатов работы ISMS, итогов аудитов, инцидентов и изменений рисков с последующим принятием решений об улучшениях и ресурсах.

Оба процесса обязательны. Именно они доказывают, что система управления действует, а не является статичной папкой с документами.

Проверьте, насколько хорошо Вы усвоили ключевой документ ISO 27001.

ISO 27001 и ISMS:

• ISO 27001 — международный стандарт, допускающий сертификацию и сосредоточенный на ISMS — управляемой системе работы с рисками информационной безопасности.
• ISMS работает на основе цикла PDCA (планирование, выполнение, проверка, действие) для постоянного совершенствования.
• Система ориентирована на риски: оцените каждый риск, а затем снизьте его, передайте ответственность за него, избегайте его или примите его.
• Заявление о применимости связывает риски со средствами контроля из приложения A (организационными, кадровыми, физическими и технологическими) и содержит обоснования.
• Обязательные разделы 4–10 регулируют систему управления; необходимы приверженность руководства и документация. ISO 27001 дополняет NIST CSF.