Стандарт
ISO/IEC 27001:2022
Что это такое
Международный стандарт для системы менеджмента информационной безопасности (СМИБ). Разделы 4–10 содержат обязательные требования к системе менеджмента; приложение A включает 93 справочных меры контроля, которые выбираются в ходе обработки рисков и обосновываются в Заявлении о применимости.
Кому это нужно
Организации, которым нужно подтвердить безопасность признанным на международном уровне документом: это распространено среди разработчиков ПО и поставщиков услуг, продающих корпоративным клиентам и госсектору, особенно за пределами США.
Как проводится оценка
Аккредитованный орган по сертификации проводит аудит в два этапа: этап 1 (проверка документации) и этап 2 (проверка внедрения). Сертификат действует три года, при этом инспекционные аудиты проводятся в первом и втором годах. См. как получить сертификат.
Читать руководство: Как получить сертификат ISO 27001 →
123
Контроли приложения A и разделы ISMS
123
Сопоставлено с другим фреймворком
100%
Охвачено тем (50/50)
Подсчеты: пункты учитываются на самом низком уровне (6.1.1–6.1.3, а не 6.1).
Сравнения
NIST CSF 2.0 vs ISO 27001ISO 27001 vs CIS v8.1ISO 27001 vs SOC 2ISO 27001 vs PCI DSSISO 27001 vs 800-53ISO 27001 vs HIPAAISO 27001 vs GDPRISO 27001 vs NIS2ISO 27001 vs Essential Eight
Требования
Идентификаторы и названия требований приведены так, как их публикует каждый фреймворк, на английском языке.
| ID | Требование | Темы | Сопоставлено в |
|---|---|---|---|
| A.5 Organizational controls · 37 | |||
| A.5.1 | Policies for information security | Политика управления | 9 из 13 |
| A.5.2 | Information security roles and responsibilities | Роли и обязанности | 9 из 13 |
| A.5.3 | Segregation of duties | — | 3 из 13 |
| A.5.4 | Management responsibilities | Роли и обязанности | 9 из 13 |
| A.5.5 | Contact with authorities | Отчётность | 12 из 13 |
| A.5.6 | Contact with special interest groups | Коммуникация | 8 из 13 |
| A.5.7 | Threat intelligence | Разведка угроз | 7 из 13 |
| A.5.8 | Information security in project management | — | 1 из 13 |
| A.5.9 | Inventory of information and other associated assets | Управление активами | 13 из 13 |
| A.5.10 | Acceptable use of information and other associated assets | — | 2 из 13 |
| A.5.11 | Return of assets | Управление активами | 13 из 13 |
| A.5.12 | Classification of information | Классификация данных | 9 из 13 |
| A.5.13 | Labelling of information | Классификация данных | 9 из 13 |
| A.5.14 | Information transfer | Защита данных, Безопасность электронной почты | 12 из 13 |
| A.5.15 | Access control | Контроль доступа, Нулевое доверие | 11 из 13 |
| A.5.16 | Identity management | Контроль доступа | 11 из 13 |
| A.5.17 | Authentication information | — | 2 из 13 |
| A.5.18 | Access rights | Контроль доступа | 11 из 13 |
| A.5.19 | Information security in supplier relationships | Управление рисками цепочки поставок, Управление рисками поставщиков | 10 из 13 |
| A.5.20 | Addressing information security within supplier agreements | Управление рисками поставщиков | 10 из 13 |
| A.5.21 | Managing information security in the ICT supply chain | Управление рисками цепочки поставок | 9 из 13 |
| A.5.22 | Monitoring, review and change management of supplier services | Управление рисками поставщиков | 10 из 13 |
| A.5.23 | Information security for use of cloud services | Безопасность облачных сред | 11 из 13 |
| A.5.24 | Information security incident management planning and preparation | Реагирование на инциденты | 12 из 13 |
| A.5.25 | Assessment and decision on information security events | SIEM / SOC, Реагирование на инциденты | 12 из 13 |
| A.5.26 | Response to information security incidents | Реагирование на инциденты, Митигация, Коммуникации и восстановление | 12 из 13 |
| A.5.27 | Learning from information security incidents | Извлечённые уроки | 9 из 13 |
| A.5.28 | Collection of evidence | Криминалистический анализ | 7 из 13 |
| A.5.29 | Information security during disruption | Планирование восстановления, Непрерывность бизнеса | 9 из 13 |
| A.5.30 | ICT readiness for business continuity | Планирование восстановления, Непрерывность бизнеса, Аварийное восстановление | 10 из 13 |
| A.5.31 | Legal, statutory, regulatory and contractual requirements | Соответствие требованиям | 10 из 13 |
| A.5.32 | Intellectual property rights | — | 2 из 13 |
| A.5.33 | Protection of records | — | 2 из 13 |
| A.5.34 | Privacy and protection of PII | — | 2 из 13 |
| A.5.35 | Independent review of information security | — | 3 из 13 |
| A.5.36 | Compliance with policies, rules and standards for information security | Соответствие требованиям | 10 из 13 |
| A.5.37 | Documented operating procedures | Политика управления | 9 из 13 |
| A.6 People controls · 8 | |||
| A.6.1 | Screening | Внутренние угрозы | 9 из 13 |
| A.6.2 | Terms and conditions of employment | — | 2 из 13 |
| A.6.3 | Information security awareness, education and training | Осведомлённость и обучение | 10 из 13 |
| A.6.4 | Disciplinary process | Внутренние угрозы | 9 из 13 |
| A.6.5 | Responsibilities after termination or change of employment | — | 2 из 13 |
| A.6.6 | Confidentiality or non-disclosure agreements | — | 1 из 13 |
| A.6.7 | Remote working | Безопасность мобильных устройств | 7 из 13 |
| A.6.8 | Information security event reporting | Отчётность | 12 из 13 |
| A.7 Physical controls · 14 | |||
| A.7.1 | Physical security perimeters | Физическая безопасность | 8 из 13 |
| A.7.2 | Physical entry | Физическая безопасность | 8 из 13 |
| A.7.3 | Securing offices, rooms and facilities | Физическая безопасность | 8 из 13 |
| A.7.4 | Physical security monitoring | Физическая безопасность | 8 из 13 |
| A.7.5 | Protecting against physical and environmental threats | Физическая безопасность | 8 из 13 |
| A.7.6 | Working in secure areas | Физическая безопасность | 8 из 13 |
| A.7.7 | Clear desk and clear screen | — | 2 из 13 |
| A.7.8 | Equipment siting and protection | Физическая безопасность | 8 из 13 |
| A.7.9 | Security of assets off-premises | — | 1 из 13 |
| A.7.10 | Storage media | — | 2 из 13 |
| A.7.11 | Supporting utilities | Физическая безопасность | 8 из 13 |
| A.7.12 | Cabling security | Физическая безопасность | 8 из 13 |
| A.7.13 | Equipment maintenance | — | 2 из 13 |
| A.7.14 | Secure disposal or re-use of equipment | Управление активами | 13 из 13 |
| A.8 Technological controls · 34 | |||
| A.8.1 | User endpoint devices | Защита конечных точек, Безопасность мобильных устройств | 10 из 13 |
| A.8.2 | Privileged access rights | Привилегированный доступ | 10 из 13 |
| A.8.3 | Information access restriction | Контроль доступа | 11 из 13 |
| A.8.4 | Access to source code | — | 1 из 13 |
| A.8.5 | Secure authentication | Многофакторная аутентификация, Нулевое доверие, Безопасность API | 10 из 13 |
| A.8.6 | Capacity management | — | 2 из 13 |
| A.8.7 | Protection against malware | Защита конечных точек | 10 из 13 |
| A.8.8 | Management of technical vulnerabilities | Управление уязвимостями, Управление исправлениями | 13 из 13 |
| A.8.9 | Configuration management | Безопасная конфигурация | 9 из 13 |
| A.8.10 | Information deletion | Защита данных | 11 из 13 |
| A.8.11 | Data masking | Защита данных | 11 из 13 |
| A.8.12 | Data leakage prevention | DLP | 7 из 13 |
| A.8.13 | Information backup | Резервное копирование и восстановление | 11 из 13 |
| A.8.14 | Redundancy of information processing facilities | Непрерывность бизнеса, Аварийное восстановление | 10 из 13 |
| A.8.15 | Logging | Логирование и аудит | 10 из 13 |
| A.8.16 | Monitoring activities | Непрерывный мониторинг, Обнаружение вторжений, Обнаружение аномалий, SIEM / SOC, Внутренние угрозы | 12 из 13 |
| A.8.17 | Clock synchronization | Логирование и аудит | 10 из 13 |
| A.8.18 | Use of privileged utility programs | Привилегированный доступ | 10 из 13 |
| A.8.19 | Installation of software on operational systems | Защита конечных точек | 10 из 13 |
| A.8.20 | Networks security | Межсетевой экран / сегментация сети, Безопасность DNS, WAF | 9 из 13 |
| A.8.21 | Security of network services | Межсетевой экран / сегментация сети, Безопасность DNS | 9 из 13 |
| A.8.22 | Segregation of networks | Межсетевой экран / сегментация сети, Нулевое доверие | 9 из 13 |
| A.8.23 | Web filtering | — | 1 из 13 |
| A.8.24 | Use of cryptography | Шифрование | 10 из 13 |
| A.8.25 | Secure development life cycle | Безопасная разработка | 8 из 13 |
| A.8.26 | Application security requirements | Безопасная разработка, Безопасность веб-приложений, Безопасность API | 8 из 13 |
| A.8.27 | Secure system architecture and engineering principles | — | 1 из 13 |
| A.8.28 | Secure coding | Безопасная разработка | 8 из 13 |
| A.8.29 | Security testing in development and acceptance | Безопасная разработка | 8 из 13 |
| A.8.30 | Outsourced development | — | 2 из 13 |
| A.8.31 | Separation of development, test and production environments | — | 2 из 13 |
| A.8.32 | Change management | — | 4 из 13 |
| A.8.33 | Test information | — | 2 из 13 |
| A.8.34 | Protection of information systems during audit testing | — | 1 из 13 |
| ISMS clauses 4–10 · 30 | |||
| Clause 4.1 | Understanding the organization and its context | Бизнес-среда | 5 из 13 |
| Clause 4.2 | Understanding the needs and expectations of interested parties | Бизнес-среда | 5 из 13 |
| Clause 4.3 | Determining the scope of the ISMS | — | 2 из 13 |
| Clause 4.4 | Information security management system | — | 1 из 13 |
| Clause 5.1 | Leadership and commitment | — | 2 из 13 |
| Clause 5.2 | Policy | Политика управления | 9 из 13 |
| Clause 5.3 | Organizational roles, responsibilities and authorities | — | 3 из 13 |
| Clause 6.1.1 | General | Управление рисками | 10 из 13 |
| Clause 6.1.2 | Information security risk assessment | Оценка рисков | 10 из 13 |
| Clause 6.1.3 | Information security risk treatment | Управление рисками, Оценка рисков | 10 из 13 |
| Clause 6.2 | Information security objectives and planning to achieve them | — | 3 из 13 |
| Clause 6.3 | Planning of changes | — | 2 из 13 |
| Clause 7.1 | Resources | — | 2 из 13 |
| Clause 7.2 | Competence | — | 3 из 13 |
| Clause 7.3 | Awareness | Осведомлённость и обучение | 10 из 13 |
| Clause 7.4 | Communication | Коммуникация, Коммуникации и восстановление | 9 из 13 |
| Clause 7.5.1 | General | — | 1 из 13 |
| Clause 7.5.2 | Creating and updating | — | 1 из 13 |
| Clause 7.5.3 | Control of documented information | — | 1 из 13 |
| Clause 8.1 | Operational planning and control | — | 2 из 13 |
| Clause 8.2 | Information security risk assessment | — | 4 из 13 |
| Clause 8.3 | Information security risk treatment | — | 4 из 13 |
| Clause 9.1 | Monitoring, measurement, analysis and evaluation | Соответствие требованиям | 10 из 13 |
| Clause 9.2.1 | General | — | 1 из 13 |
| Clause 9.2.2 | Internal audit programme | — | 1 из 13 |
| Clause 9.3.1 | General | — | 1 из 13 |
| Clause 9.3.2 | Management review inputs | — | 1 из 13 |
| Clause 9.3.3 | Management review results | — | 1 из 13 |
| Clause 10.1 | Continual improvement | Извлечённые уроки | 9 из 13 |
| Clause 10.2 | Nonconformity and corrective action | — | 2 из 13 |
Охват темы
Темы с сопоставленными требованиями ISO 27001 (50):
Политика управленияОсведомлённость и обучениеУправление рискамиУправление рисками цепочки поставокРоли и обязанностиСоответствие требованиямУправление активамиОценка рисковБизнес-средаКлассификация данныхУправление уязвимостямиРазведка угрозКонтроль доступаМногофакторная аутентификацияШифрованиеЗащита данныхРезервное копирование и восстановлениеПривилегированный доступМежсетевой экран / сегментация сетиЗащита конечных точекУправление исправлениямиБезопасная конфигурацияБезопасная разработкаБезопасность электронной почтыБезопасность веб-приложенийНулевое довериеБезопасность мобильных устройствБезопасность облачных средБезопасность DNSWAFDLPНепрерывный мониторингЛогирование и аудитОбнаружение вторженийОбнаружение аномалийSIEM / SOCРеагирование на инцидентыКриминалистический анализКоммуникацияМитигацияОтчётностьПланирование восстановленияНепрерывность бизнесаИзвлечённые урокиКоммуникации и восстановлениеАварийное восстановлениеБезопасность APIВнутренние угрозыУправление рисками поставщиковФизическая безопасность