Что такое аудит 27001

Один из документов, который помогает бизнесам внедрять управление и защиту данными — ISO/IEC 27001. Это международный стандарт по информационной безопасности. Он содержит описание мировых практик управления цифровой безопасностью. На первый взгляд можно подумать, что в документе говорится только о компьютерной безопасности, но это не так. ИСО 27001 включает и управление персоналом, процессами компании, взаимосвязи отделов, физическую и юридическую защиту.

Кому подойдут рекомендации из стандарта

Рекомендациями из стандарта могут пользоваться любые компании, независимо от масштаба и направления деятельности. После внедрения рекомендаций можно сказать, что в этой компании есть система управления информационной безопасностью СМИБ (ISMS). Для того чтобы проверить, соответствует ли система требованиям ISO 27001, проводится аудит.

Зачем внедрять СМИБ и проверять соответствие стандарту ISO 27001?

Проверка соответствия требованиями ИСО называется аудитом. Его проводят, чтобы получить сертификат соответствия. Сертификат нужен для:

Привлечения инвестиций.
Крупные инвесторы будут видеть, что вы — серьезная компания, которая дорожит репутацией. Это значит что они могут доверить вам своим деньги и данные.
Защиты от финансовых потерь.
Воровство вашей информации повлечет большие финансовые затраты и потерю репутации. Легче внедрить ISO 27001, чем потом восстанавливать данные и репутацию.
Повышения конкурентоспособности.
Для IT-компаний сертификат это ключ к новым заказам на разработку ПО. Документ покажет заказчикам, что вы серьезно относитесь к защите информации и данным по проектам.
Участия в тендерах.
Часто наличие сертификат ISO 27001 это преимущество при участии в тендерах.

Кому нужно внедрять систему и проводить аудит?

Управлять информационной безопасностью надо организациям, которые работают с данными. Такое требование не прописано на уровне законодательства. Но проще быть уверенным, что данные компании под защитой, чем потом их восстанавливать.
Чаще это компании из следующих отраслей промышленности:

Строительство;
Здравоохранение;
IT-сектор;
Ритейл и торговля;
Страхование;
Финансовые учреждение;
Производственные компании;
Энергетический сектор.

ВЫ ЕЩЕ НЕ ПРОВЕЛИ АУДИТ ISO 27001?
МЫ ВАМ ПОЗВОНИМ!

Этапы внедрения ISO 27001

Анализ деятельности, выявление процессов передачи информации внутри компании. Выявление, соответствуют ли процессы компании требованиям стандарта.
Если не все процессы соответствуют требованиям, то разрабатываются и внедряются новые.
Обучение персонала и внутренних аудиторов. Полное внедрение СМИБ в компанию.
Проведение аудита и принятие решения о том, нужна ли сертификация.

Виды и цели аудитов по стандарту ISO 27001

Выделяют следующие виды аудитов:

Внутренний
Проводится силами компании чтобы оценить, соответствует или нет внедренная СМИБ требованиям стандарта 27001. Так как внутренний аудит проводится ресурсами компании, важно сохранить беспристрастность аудиторов и независимость оценки. Поэтому логично назначать аудиторов из тех сотрудников, кто не работает с областью компании, которая включена в систему менеджмента. Цель внутреннего аудита — актуализация и совершенствование СМИБ.
Внешний
Его проводят сторонние организации. Цель аудита — проверить, насколько ваша система соответствует требованиям проверяющей организации. Есть два варианта, кто может его проводить. Первый — заинтересованная сторона. Например, компания которая заказала у вас услуги и хочет убедиться, что с их данными ничего не случится. Второй — независимая организация. Чаще всего проводится органом по сертификации и такой аудит называется сертификационный.
Сертификационный
Главная цель такого аудита — получить сертификат соответствия. То есть документ, который подтверждает, что СМИБ компании соответствует требованиям ISO/IEC 27001. Для это заключается договор с аккредитованным органом по сертификации, который проводит проверку.

Во время проверки аудиторы должны установить, внедрена ли система физически, все ли требования ISO соблюдаются и правильно ли ведется документация.
Подтвердить соответствие можно для одного из трех документов:

Международный, ISO/IEC 27001:2013 (EN, MC)
Белорусский, СТБ ISO/IEC 27001-2016 (РБ)
Российский, ГОСТ Р ИСО/МЭК 27001-2006 (РФ)

Инспекционный
Проводит орган по сертификации в тех организациях, которые получили сертификат. Инспекционный контроль нужен, чтобы подтвердить, что СМИБ по-прежнему соответствует ISO. Такой аудит проводят ежегодно.

Преимущества работы с белпромстандарт

Работаем по всей Беларуси

📅	🏆	📝	★
14	17	2864	60 %
Дней средний срок разработки документации	Лет профессиональной работы	Проекта разработано нами	Клиентов постоянные