Сертификат ISO 27001 на систему менеджмента информационной безопасности

Сертификация добровольная. Сертификат запрашивают:

• у ИТ-компаний, интеграторов, разработчиков — заказчик проверяет, как подрядчик защищает его информацию;
• у участников закупок — ISO 27001 бывает требованием или даёт баллы при оценке заявки;
• у колл-центров, облачных сервисов, аутсорсинга бухгалтерии и кадров — там, где обрабатывают персональные данные и коммерческую тайну клиентов.

Часто ISO 27001 просят вместе с ISO 9001 — оба стандарта проверяют одним аудитом.

В России сертифицируют по ГОСТ Р ИСО/МЭК 27001-2021. Он действует с 1 января 2022 года и идентичен ISO/IEC 27001:2013.

Сертификат не заменяет обязательных мер по защите персональных данных по 152-ФЗ и требований ФСТЭК. Он подтверждает, что в компании работает система управления рисками информационной безопасности.

• Требование заказчика: выдержка из закупки, анкеты или договора.
• Какие процессы и системы должен покрыть сертификат: разработка, хостинг, поддержка, обработка данных.
• Численность сотрудников, офисы, облачные площадки.
• Документы по ИБ, если есть: политика, оценка рисков, положение о применимости, регламенты доступа.

Точная цена — после разбора: зависит от численности, числа площадок и того, есть ли документы.

Входит: подбор системы и органа, проверка документов, аудит, сертификат, запись в реестре.

Оплачивается отдельно: внедрение СМИБ, технические меры защиты, надзорные аудиты.