Как получить сертификат ISO 27001

По параметру «Paul Gillet» · Обновлено 2026-10-17

ISO/IEC 27001 — международный стандарт для системы менеджмента информационной безопасности (СМИБ): порядка, в котором организация определяет, какие риски безопасности важны, обрабатывает их и постоянно улучшает систему. В отличие от SOC 2, он завершается сертификатом, который выдаёт аккредитованный орган по сертификации; сертификат действителен три года, а между ними проводятся инспекционные аудиты.

Что требует стандарт

• Разделы 4–10 обязательны: контекст и область применения (4), лидерство и политика (5), оценка рисков, обработка рисков и цели (6), ресурсы, компетентность, осведомлённость, обмен информацией и документированная информация (7), реализация плана (8), мониторинг, внутренний аудит и анализ со стороны руководства (9), а также корректирующие действия и улучшение (10).
• Приложение A содержит 93 меры контроля в четырёх группах: организационные, относящиеся к людям, физические и технологические. Это справочный набор, а не чек-лист: меры выбираются в ходе обработки рисков, а каждое включение и исключение обосновывается в Декларации о применимости (SoA).

Действующая редакция — ISO/IEC 27001:2022 (с поправкой 2024 года, добавляющей изменение климата в разделы о контексте). Переходный период с редакции 2013 года завершился 31 октября 2025 года, поэтому все действующие сертификаты теперь соответствуют редакции 2022 года.

Этапы

1. Определите область применения (4.3): какие подразделения организации, какие площадки и какие услуги. Заказчики читают область применения в вашем сертификате, поэтому убедитесь, что она охватывает то, что они покупают.
2. Обеспечьте приверженность руководства (5): политика информационной безопасности, назначенные роли и ответственность, а также ресурсы.
3. Определите методику оценки рисков и проведите оценку (6.1.2): выявите риски для конфиденциальности, целостности и доступности, с указанием владельцев, вероятности и последствий.
4. Обработайте риски (6.1.3): выберите меры контроля, сверьте их с Приложением A и оформите Декларацию о применимости и план обработки рисков, утверждённый владельцами рисков.
5. Установите измеримые цели по информационной безопасности (6.2) и спланируйте, как их достичь.
6. Внедрите и эксплуатируйте систему (7–8): политики, процедуры, обучение и осведомлённость, меры контроля, а также документальные свидетельства того, что они работают.
7. Измеряйте и анализируйте (9): контролируйте СМИБ, проведите внутренний аудит силами сотрудника, независимого от проверяемой работы, и проведите анализ со стороны руководства.
8. Устраните выявленное (10): ведите журнал несоответствий и корректирующих действий.
9. Аудит Этапа 1: орган по сертификации проверяет вашу документацию и готовность.
10. Аудит Этапа 2: орган по сертификации проверяет, работает ли СМИБ на практике. Значительные несоответствия должны быть закрыты до выдачи сертификата.

Выбор органа по сертификации

Выбирайте орган, аккредитованный по ISO/IEC 27001 национальным органом по аккредитации, входящим в Международный форум по аккредитации (например, UKAS, ANAB, DAkkS или JAS-ANZ), и проверьте, что его аккредитация охватывает вашу область применения. Сертификаты неаккредитованных органов дешевле, но заказчики часто их не принимают.

Типичные сроки

Многие малые и средние организации проходят путь от старта до сертификата за шесть–двенадцать месяцев. СМИБ должна работать достаточно долго, чтобы к Этапу 2 накопились реальные записи: как минимум один внутренний аудит, один анализ со стороны руководства и подтверждение того, что меры контроля работают. После сертификации ожидайте инспекционные аудиты в первый и второй годы и ресертификационный аудит на третий год.

Доказательства, которые проверяют аудиторы

• область применения, политика безопасности и цели с измерениями;
• методика оценки рисков, реестр рисков и план обработки рисков;
• Декларация о применимости с обоснованиями;
• записи о компетентности и обучении;
• отчёты внутренних аудитов и протоколы анализа со стороны руководства;
• журналы несоответствий и корректирующих действий;
• оперативные записи по выбранным мерам контроля: проверки доступа, журналы изменений, оценки поставщиков, журналы инцидентов, резервные копии.

Типичные ошибки

• Шаблонные оценки рисков: аудиторы спрашивают, как выявлялись ваши риски и почему выбрана каждая мера контроля. Общий список без владельцев этой проверки не проходит.
• Необоснованные исключения в SoA: исключение меры контроля требует обоснования, связанного с вашими рисками или областью применения.
• Независимость внутреннего аудита: тот, кто построил СМИБ, не должен проверять собственную работу.
• Слишком узкая область применения: сертификат на один офис не удовлетворит заказчика, который покупает ваш облачный сервис.

Чем помогает этот сайт

ControlMapping перечисляет каждую меру контроля Приложения A и каждый пункт СМИБ с их аналогами в десяти других стандартах. Ссылки из Приложения A на NIST CSF 2.0 и SP 800-53 взяты из опубликованных соответствий; текст мер контроля защищён авторским правом ISO, поэтому мы показываем только названия. Если вы уже следуете SOC 2, NIST или NIS2, таблица ниже и анализ разрывов покажут, что можно перенести. Система менеджмента по разделам 4–10, как правило, — самый большой объём новой работы.

Уже используете другой фреймворк?

Сколько требований ISO 27001, которые вы, возможно, уже выполняете, сопоставлено с каждым стандартом. Откройте отчёт о разрывах для построчного списка требований.

Соответствия связь установлена опубликованной таблицей соответствий (NIST, ENISA, CIS, PCI SSC) · Редакционные материалы Суждение ControlMapping там, где таблицы соответствий не существует; причина указана · Косвенно связано есть только общий результат CSF 2.0: стоит проверить, но это не сопоставление · Нет сопоставления в наших данных в наших данных ничего не сопоставлено; часто это новая работа, но проверьте примечания о покрытии. Подсчеты основаны на тех же данных, что и анализ разрывов; сопоставление означает связанные требования, а не доказательство того, что одно выполняет другое.

Вопросы

Сколько действует сертификат ISO 27001?

Три года при условии успешного прохождения ежегодных инспекционных аудитов. Ресертификационный аудит нужно провести до истечения срока.

Обязательно ли внедрять все 93 меры контроля Приложения A?

Нет. Меры выбираются в ходе обработки рисков, а каждое включение и исключение обосновывается в Декларации о применимости.

Что лучше: ISO 27001 или SOC 2?

Ни один из них не лучше: заказчики запрашивают разное. ISO 27001 — сертификат, признаваемый на международном уровне; SOC 2 — отчёт об аттестации по американской модели. См. ISO 27001 vs SOC 2.

Не является юридической или комплаенс-консультацией. Перед использованием сверьтесь с официальным текстом и уточните у своего аудитора, оценщика или регулятора.