Как компании перейти на стандарт ISO 27001:2022
25 октября 2022 года вышло обновление ключевого международного стандарта в области информационной безопасности, ISO 27001:2022. В этой статье мы расскажем, зачем переходить с ISO 27001:2013 на актуальный стандарт, что для этого нужно сделать и как обновление повлияет на организацию.
Главный аргумент: ISO 27001:2022 приближает систему менеджмента информационной безопасности (СМИБ) к бизнесу. Также важно отметить, что при использовании ISO 27001:2022 в сочетании со стандартом ISO 27005
Вторая важная причина — это появление в новой версии средств контроля, связанных с современными технологиями, например облачными вычислениями, и актуальными угрозами вроде утечек данных. Работу этих контролей мы также рассмотрели в отдельной статье. Внедрение актуальных процессов поможет организациям оставаться на шаг впереди злоумышленников.
Наконец, использование обновленного стандарта станет важным сигналом клиентам компании, ее партнерам, контрагентам и прочим заинтересованным сторонам: организация понимает значение рисков кибербезопасности и принимает меры по их снижению.
Мы предлагаем рассматривать переход на новый стандарт ISO 27001 как инвестицию для бизнеса.
Преимущества перехода на ISO 27001:2022
| Преимущества перехода на ISO 27001:2022 | |
|---|---|
| Для компании |
В ISO 27001:2022 уделяется большое внимание внутренним и внешним факторам, которые составляют специфику организации. Переход на актуальную версию позволит бизнесу лучше управлять требованиями информационной безопасности. В результате компания сократит область своих рисков, уменьшит количество инцидентов и снизит ущерб от них. Использование предусмотренных в ISO 27001:2022 технологий повысит защищенность общих процессов — например, за счет более оперативного оповещения о новых угрозах |
| Для клиентов |
Компания сможет предоставлять более качественные услуги, снижая риски инцидентов и кибератак. Это поможет четко выполнять договорные обязательства и послужит интересам всех сторон бизнес-взаимодействия |
| Для развития бизнеса |
Организация в целом повысит стабильность бизнеса в условиях растущих киберугроз. У компании будет официальное подтверждение, что ее процессы соответствуют лучшим мировым практикам информационной безопасности |
Эти аргументы помогут обосновать перед руководством выделение бюджета на переход на новую версию, а при дальнейшей необходимости — на сертификацию.
Теперь поговорим о том, как спланировать и провести переход.
Официальный источник данных о приведении компаний в соответствие мировым стандартам — это Международный форум по аккредитации (International Accreditation Forum, IAF). Его специалисты сформировали требования для организаций, сертифицированных по стандарту ISO 27001:2013 и желающих внедрить версию 2022 года. IAF установил трехлетний период, в течение которого выданные сертификаты остаются действительными, пока организации-держатели работают над переходом. Он продлится с 31 октября 2022 года по 31 октября 2025 года.
Рассмотрим два основных кейса:
1. Компания впервые получает сертификат
С 1 мая 2024‑го необходимо работать только по версии 2022 года.
2. Компания сертифицирована по ISO 27001:2013
Такие организации могут проходить повторный аудит по версии 2013 года до 31 июля 2025‑го. В дальнейшем они должны сертифицироваться по актуальной версии.
В этом случае при принятии решения нужно оценивать реальную пользу аудита для компании. Например, если в начале 2025 года компания пройдет повторный аудит по версии 2013 года, то по обычному циклу повторная процедура предстоит ей в начале 2026‑го. Однако делать это будет нерационально, поскольку с 31 июля 2025 года версия ISO 27001:2013 не актуальна и сертификат истечет уже 31 октября 2025‑го.
Требования по переходу к конкретному сроку касаются только тех организаций, которые намерены обновлять имеющийся сертификат ISO 27001:2013 или проходят сертификацию по этому стандарту
В общих чертах внедрение новых практик можно уложить в следующий план.
-
Подготовка и gap-анализ
-
Реализация изменений для перехода на ISO/IEC 27001:2022
-
Сертификационный аудит
Обо всех подробностях процесса мы рассказали на вебинаре «Как перейти на новый стандарт ISO 27001:2022». Здесь же остановимся на подготовительном этапе.
- Выпишите и разберите изменения в ISO/IEC 27001, применимые к вашей организации. Желательно работать с оригинальным текстом, поскольку в переводах встречаются заметные искажения.
- Рекомендуем ознакомиться с актуальной версией ISO/IEC 27002
. Обратите внимание на приложение В, где соотносятся старые и новые контроли приложения А ISO/IEC 27001. - Специалистам компании стоит пройти обучение по изменениям в ISO/IEC 27001:2022. Компании в России могут пройти сертификацию по новому стандарту в двух организациях: TÜV Austria и IRCLASS IRQS (по состоянию на апрель 2024 года). По статусу на рынке и качеству сертификации оба варианта схожи, однако в случае TÜV Austria стоит учитывать санкционные риски.
Наша компания сертифицирована в обоих органах. После внедрения ISO 27001:2022 мы смогли закрыть большинство пробелов, которые выявляли во внешних аудитах в течение последних 2 лет, и благодаря этому продвинулись в сторону практической защищенности. Подробно обо всех трудностях и узких местах мы также рассказали на вебинаре «Как перейти на новый стандарт ISO 27001:2022».
Несмотря на вроде бы незначительные изменения в стандарте, переход — достаточно трудоемкий процесс. Поэтому мы рекомендуем не откладывать проект в долгий ящик, как можно раньше оценить предстоящий объем работы и приступить.
