ISO 27001.
Изградете система за управление на информационната сигурност, управлявайте рисковете и изберете подходящо доказателство за клиенти и договорни партньори.
- ISO/IEC 27001:2022 + Amd 1:2024
- От Jonathan Bezdek
- Актуално към: 22.10.2026 г.
- Време за четене: 7 мин.
Кратък отговор.
ISO 27001 е международният стандарт за системи за управление на информационната сигурност, съкратено СУИС. Той описва как организациите организират, поддържат и подобряват информационната си сигурност според риска. ISO/IEC 27001:2022 е приложим за различни размери и сектори. Независим сертифициращ орган може да потвърди съответствието на системата в определения обхват; самата ISO не издава сертификати.
ISO 27001 и СУИС.
ISO 27001 описва изисквания към управлението на информационната сигурност. СУИС свързва решенията на ръководството с работата с информация, хора, процеси и техника. Защитават се поверителността, целостта и наличността: кой има право да вижда информацията, как тя остава надеждна и кога трябва да може да се използва? Публичното описание на ISO/IEC 27001:2022 поставя в центъра подход, основан на риска.
Публикуваното основно издание е ISO/IEC 27001:2022; към него се добавя Amd 1:2024. Изменението допълва разглеждането на въпросите, свързани с климата, в контекста на системата за управление. Според съвместното комюнике на ISO/IAF от февруари 2024 г. става дума за проверка на значимостта им за съответната система. От това не следва еднаква програма от мерки за всяка организация.
СУИС е непрекъснатата работа на организацията, а сертифицирането е възможно външно доказателство за нея. Внедрен инструмент, попълнен въпросник или сертификат от обучение не заменят нито функционирането на системата за управление, нито независимата ѝ оценка.
За кого е подходящ ISO 27001.
Според публичното описание на ISO стандартът ISO 27001 е подходящ за организации с различен размер и от различни сектори. Решаващи са информацията и зависимостите в избрания обхват. Затова малък доставчик на услуги може да се нуждае от различни отговорности и процедури от предприятие с няколко обекта, без основната задача на управлението на сигурността да се променя.
Клиентските изисквания често определят необходимия обхват на сертифицирането. Изяснете дали договорният партньор иска оценка на конкретна услуга, обект или юридическо лице. Съзнателно определеният обхват трябва да отчита относимите интерфейси. Възложена навън дейност не отпада от разглеждането на сигурността само защото се изпълнява от доставчик.
Изискванията на ISO 27001.
Изискванията на ISO 27001 свързват управлението на СУИС с функционирането на подходящи мерки за сигурност. Следните шест работни области обобщават със собствени думи глави 4–10 на ISO/IEC 27001:2022 за ориентация.
Определяне на контекста и обхвата.
Организацията определя кои дейности и информация обхваща нейната СУИС. Това включва относимите изисквания на заинтересованите страни и зависимостите от други области. За прилагането е препоръчително описание, разбираемо и за отговорните специалисти, и за външните читатели: само името на услуга не обяснява поддържащите я системи и интерфейси.
Утвърждаване на лидерство и отговорност.
Ръководството осигурява посока, правомощия и ресурси за работата по сигурността. Отговорниците трябва да могат да вземат решения, съответстващи на задачите им. Централен координатор може да поддържа общия поглед; така обаче не поема автоматично всички задачи на човешки ресурси, снабдяването, ИТ или разработката.
Оценяване и третиране на рисковете.
Оценката и третирането на риска определят кои проблеми се решават първо. Критериите за оценка, отговорните лица и проследимите решения свързват анализа с конкретната работа. Декларацията за приложимост, наричана също Statement of Applicability или SoA, документира избора на мерки и неговата обосновка. Приложение A служи като отправна точка за мерките за сигурност.
Организиране на ресурсите и документацията.
Компетентността, комуникацията и поддържаната документирана информация осигуряват функционирането. Определете на практика кой одобрява дадено правило, кой го прилага и къде се намира валидната версия. Голям набор от документи помага малко, ако съдържанието им се разминава с действителната работа или отговорниците не познават задачите си.
Ежедневно прилагане на мерките.
Мерките за сигурност трябва действително да работят в избрания обхват. Организационните, персоналните, физическите и техническите мерки действат съвместно. Като практическо помощно средство отговорниците могат да записват за всяка избрана мярка кой процес защитава и кои записи показват функционирането ѝ. Статията за приложение A разглежда по-подробно избора и прилагането на мерките.
Оценяване и подобряване.
Вътрешните одити, прегледите от ръководството и отстраняването на несъответствия поддържат развитието на СУИС. Организацията проверява дали начинът ѝ на работа отговаря на изискванията и подпомага предвидените резултати. В ежедневната работа е полезно още при определянето на корекция да се уточни как впоследствие ще се разпознае ефектът ѝ.
Пътят към сертифициране по ISO 27001.
Съгласувайте целта и обхвата.
Като практическо начало изяснете какво доказателство за каква дейност е необходимо и опишете обхвата, включително относимите зависимости.
Определете отговорностите и капацитета.
Посочете ръководството с право на решения, координатора и отговорниците за процесите и отделете време за внедряване и текуща поддръжка.
Работете по рисковете и мерките.
Приложете проследима процедура за оценка, вземете решения за третирането и документирайте избора на мерки в декларацията за приложимост.
Свържете функционирането с доказателствата.
Приложете избраните мерки и съхранявайте подходящи записи от действителната работа, вместо само да попълвате шаблони за документи.
Извършете вътрешна оценка и корекции.
Използвайте вътрешния одит и прегледа от ръководството, за да решите отворените въпроси, несъответствията и нуждите от ресурси преди външна проверка.
Планирайте външната проверка и продължаващата работа.
Съгласувайте обхвата и одитната програма с подходящ сертифициращ орган и продължете да поддържате СУИС с необходимите проверки след решението за сертифициране.
Какво удостоверява сертификатът ISO 27001.
Сертификатът ISO 27001 потвърждава оцененото съответствие на системата за управление в посочения обхват. Затова проверявайте заедно обхвата, изданието на стандарта, издаващия орган, датата на валидност и текущия статус. Сертификатът не гарантира, че всяка област на предприятието е обхваната или че в бъдеще не може да възникне инцидент със сигурността.
Сертифицирането се извършва от външни сертифициращи органи; самата ISO не издава сертификати. ISO/IEC 27006-1:2024 допълва изискванията към такива органи за сертифициране на СУИС. Акредитацията се отнася до тяхната компетентност и се различава от сертификата на проверяваната организация. Публичната страница на ISO за сертифициране обяснява как може да се провери статусът на сертификация и акредитация.
Планирането не приключва с първоначалното издаване. Поискайте сертифициращият орган да Ви обясни одитната програма, условията за поддържане и процедурата за подновяване. За бюджетното решение са важни тези повтарящи се услуги заедно с вътрешната поддръжка, а не само първоначалната оферта.
Прочетете още в блога.
- Какво е СУИС?Свържете работата по сигурността с решенията на организацията.
- Подготовка за сертифициране по ISO 27001Планирайте подробно подготовката, усилията и проверките.
- Приложение A на ISO 27001Утвърдете избраните мерки в оперативната работа.
- Вътрешен одит по ISO 27001Организирайте критериите за одит, доказателствата и корекциите.
- Контролен списък за ISO 27001Подредете предварително работните области и наличните помощни средства за начало.
Мястото на другите рамки.
ISO 27002 допълва ISO 27001 с насоки за прилагане на мерки за информационна сигурност. IT-Grundschutz описва методика на BSI за работа по сигурността и собствен път към сертифициране. NIS2 създава самостоятелни законови задължения за обхванатите субекти; сертификатът ISO 27001 не замества проверката им. TISAX използва собствена процедура за оценка и обмен за автомобилната верига за доставки.
В Secani.
Secani предоставя собствен редакционен каталог за проверка по ISO/IEC 27001:2022 с Amendment 1:2024. В работното пространство мерки, доказателства и задачи могат да се обработват свързано. Каталогът съдържа собствени насоки за прилагане и не замества лицензирания текст на стандарта; експертната оценка и решението за сертифициране остават отделни задачи.
Започнете с конкретен обхват.
Изберете услуга, за която е необходимо проследимо доказателство за сигурност. Документирайте коя информация, кои участващи екипи и доставчици са включени и кой има право да взема решения за рисковете. На тази основа могат да се обсъдят обемът на прилагането и очакванията към сертификата.
След това поискайте оферта за одит на основата на същия обхват. Разграничете вътрешните усилия, необходимите подобрения и разходите за външна проверка. Така офертите стават по-съпоставими, без предварително да се обещава дата за сертифициране или резултат.
Източници.
- ENX: ръководство за участниците в TISAX
- ISO/IEC 27001:2022 — публична страница на стандарта
- ISO/IEC 27001:2022/Amd 1:2024
- Комюнике на ISO/IAF за допълненията, свързани с климата, февруари 2024 г.
- ISO — сертифициране и акредитация
- ISO/IEC 27006-1:2024 — изисквания към сертифициращите органи
- ISO/IEC 27002:2022 — допълнителни насоки за прилагане
Често задавани въпроси.
Не, няма общо задължение за сертифициране по ISO 27001 за всяко предприятие. Дали се изисква конкретно доказателство, зависи от приложимите законови, договорни или секторни изисквания.
Не може да се посочи надеждна единна цена без обхват и изходно състояние. Планирайте отделно вътрешните усилия, необходимите подобрения, външните одитни разходи и текущото поддържане.
Изборът се определя от рисковете и относимите изисквания. Декларацията за приложимост документира необходимите мерки, състоянието на прилагането им и обоснованото изключване на референтни мерки.
Да. Внедряването на СУИС и сертифицирането ѝ от външен орган са различни решения; ISO описва сертифицирането като доказателство по избор.
Не. Сертификатите се издават от външни сертифициращи органи; ISO разработва и публикува стандартите.
Изяснете обхвата.
Обсъдете как можете да работите по изисквания, мерки и доказателства в Secani.
Тази страница представя ISO 27001 със собствени думи и не замества лицензирания текст на стандарта или експертна проверка. Определящи са оригиналните публикации и приложимата процедура за сертифициране.