Нужна ли малой компании ISO 27001?

ISO 27001 — самый широко признанный сертификат в области информационной безопасности в мире, и малым компаниям часто говорят, что он им нужен. Крупный заказчик присылает анкету закупок, где его требуют; тендер обязывает к нему; консультант рекомендует его. Честный ответ на вопрос «нам это нужно?» таков: зависит от того, кто спрашивает, и это никогда не бывает «всё или ничего».

Когда это оправдано

• Заказчики или тендеры требуют её. Если корпоративные или государственные покупатели прямо запрашивают сертификат ISO 27001, он избавляет от анкеты в каждой сделке и может стать решающим.
• Вы работаете на международном рынке. За пределами США ISO 27001 — общепринятая валюта безопасности поставщиков.
• Вам нужна программа, а не разовый проект. Система менеджмента (оценка рисков, цели, внутренний аудит, анализ со стороны руководства) формирует привычки, которые переживают любой отдельный аудит.

Когда сначала нужно сделать что-то другое

• Американские заказчики запрашивают SOC 2. Тогда результатом работы будет отчёт SOC 2; см. с какого стандарта начать.
• Пока никто не спрашивает. Сильная техническая базовая линия, например Implementation Group 1 из CIS Controls или государственная базовая схема, даёт больше безопасности на час работы, чем система менеджмента, сертификация которой вам не требуется.
• Продукт ещё не запущен. Создайте общее ядро, которое требует каждый стандарт (инвентаризация активов, патчирование, MFA, резервные копии и реагирование на инциденты), и проходите сертификацию тогда, когда этого потребует бизнес.

Как сохранить соразмерность

ISO 27001 не требует бумажной работы крупной организации. Компания из десяти человек может пройти сертификацию, если:

• узкая область применения (продукт и люди, которые его создают и эксплуатируют);
• короткие политики, описывающие то, что вы действительно делаете;
• реальная оценка рисков, возможно, из нескольких десятков рисков, с владельцами;
• Заявление о применимости с честными исключениями (см. как его составить);
• внутренний аудит, который проводит независимый специалист; для малой компании это часто внешний специалист на неполный рабочий день.

Большая часть перегрузки, с которой сталкиваются малые компании, возникает из-за применения шаблонов, созданных для крупного бизнеса.

Во что это реально обходится малой компании

Плата за внешний аудит обычно составляет меньшую часть расходов. Основная стоимость — время: кто-то должен вести программу, и для малой компании это часто основатель или руководитель разработки, который тратит часть каждой недели на это в течение шести месяцев и более, а затем несколько дней в месяц на поддержание работы. Добавьте сюда расходы на инструменты и внешнего внутреннего аудитора, если у вас нет независимого сотрудника.

Отдача приходит через сделки. Если один корпоративный заказчик в год требует сертификат, он обычно окупает себя; если таких нет, то же время, потраченное на технические меры, даст больше безопасности. Поэтому решение должно начинаться с вопроса, кто спрашивает. Чтобы понять, сколько других стандартов покрывает программа ISO, см. наш анализ отправной точки, а для разбивки по требованиям — страницу стандарта ISO 27001.

Ключевые выводы

• Получайте ISO 27001, когда её требуют заказчики или тендеры; в остальных случаях сначала укрепляйте безопасность.
• Подгоняйте ISMS под компанию: узкая область, короткие политики, реальная оценка рисков.
• Большинство проблем малых компаний связано с корпоративными шаблонами, а не с самим стандартом.

Итог

Если заказчики требуют сертификат, получите его и подгоните под свою компанию. Если нет, сначала выстройте безопасность, а сертификат — когда он окупится. В любом случае работа не пропадёт: ISO 27001 соотносится с большинством стандартов, с которыми малые компании сталкиваются следующими.

Направление	Сопоставлено	Косвенно связано	Нет сопоставления
Есть ISO 27001 → нужен SOC 2	41 из 61 (67%)	0	20	отчёт →
Есть SOC 2 → нужен ISO 27001	98 из 123 (80%)	21	4	отчёт →

В руководстве по ISO 27001 пошагово описан процесс сертификации.

Вопросы

Не слишком ли ISO 27001 для стартапа?

Не обязательно, если она подогнана под компанию: небольшая область применения, короткие политики и оценка рисков, отражающая реальные риски. Это становится слишком, когда шаблоны, созданные для крупных организаций, внедряются целиком.

Что должна сделать малая компания в первую очередь, если ни один заказчик не просит ISO 27001?

Внедрить надёжную техническую базовую линию (например, CIS Controls IG1) и общее ядро, которое требует каждый стандарт: инвентаризация активов, патчирование, MFA, резервные копии и реагирование на инциденты.

Может ли малая компания пройти ISO 27001 без консультантов?

Да. Стандарт короткий, и многие малые компании проходят сертификацию собственными силами при участии независимого внутреннего аудитора. Консультанты могут ускорить процесс, но в любом случае ISMS должна быть вашей.