ISO 27001

Резюме

ISO/IEC 27001:2022 не е сертификат, който се купува — той се изгражда. Стандартът задава рамка за управление на информационната сигурност, базирана на оценка на риска, а не на предварително зададен списък със „задължителни" технически мерки. Това е и причината толкова много организации да подценят обхвата на внедряването: очакват чеклист, а получават система за управление, която трябва да работи ежедневно, да бъде документирана, измервана и подобрявана.

Ядрото на стандарта е Системата за управление на сигурността на информацията (СУСИ) — съвкупност от политики, процеси, роли и контроли, изградени около цикъла Планирай–Направи–Провери–Действай (PDCA). Приложение А съдържа 93 контроли, разпределени в четири теми — организационни, свързани с хората, физически и технологични — от които организацията избира приложимите за нейния контекст и документира избора си в Декларация за приложимост (Statement of Applicability, SoA). Именно тази декларация, заедно с методологията за оценка и третиране на риска, е сърцето на всеки одит.

Ние изграждаме СУСИ, която отразява реалните процеси във вашата организация, преминава успешно сертификационен одит от акредитиран сертифициращ орган и — това е по-важното — остава функционираща система след получаването на сертификата, а не папка с политики, която се отваря веднъж годишно преди одит за надзор.

Бизнес ползи

Сертификацията по ISO 27001 рядко е самоцел. Тя обикновено решава конкретен бизнес проблем — договорно изискване от клиент, тръжна документация, навлизане на нов пазар или необходимост от структуриран отговор на нарастващия регулаторен натиск в сектора. Извън формалната стойност на сертификата, изграждането на СУСИ носи и по-дълбоки организационни ползи.

• Договорна и тръжна готовност — все повече корпоративни клиенти и обществени поръчки изискват ISO 27001 като предварително условие за участие или подписване на договор.
• Намален риск от инциденти — систематичната оценка на риска и прилагането на подходящи контроли снижават вероятността и последствията от пробиви, изтичане на данни и прекъсване на дейността.
• По-бърза и по-евтина съвместимост с други рамки — СУСИ по ISO 27001 покрива голяма част от изискванията на NIS2, DORA и GDPR по отношение на организационните мерки за сигурност, което спестява дублиране на усилия при последващи регулаторни проекти.
• Яснота във вътрешната организация — ролите и отговорностите по сигурността престават да бъдат подразбиращи се и стават формализирани, документирани и измерими.
• По-силна позиция при преговори с застрахователи — киберзастраховането все по-често изисква доказана зрялост на процесите по сигурност, а сертификацията е разпознаваем сигнал за застрахователния пазар.
• Конкурентно предимство при продажби — сертификатът е проверим, трета страна е потвърдила съответствието, което ускорява due diligence процеса от страна на партньори и инвеститори.

Обхват

Един от най-честите пропуски при самостоятелно внедряване е грешно дефинираният обхват на СУСИ — твърде тесен обхват намалява практическата стойност на сертификата, а твърде широк утежнява ненужно проекта. Определянето на обхвата е първата съществена консултантска задача и изисква разбиране както на бизнес контекста, така и на техническата архитектура.

• Дефиниране на обхвата на СУСИ — кои организационни звена, локации, системи и услуги попадат в границите на сертификацията, съобразено с бизнес целите зад проекта.
• Идентифициране на заинтересованите страни и техните изисквания — клиенти, регулатори, доставчици, акционери — и превръщането им в конкретни изисквания към системата.
• Оценка на риска — систематично идентифициране на активи, заплахи и уязвимости, и остойностяване на риска по методология, съответстваща на изискванията на клауза 6 от стандарта.
• Избор и обосновка на приложимите контроли от Приложение А — с ясна аргументация защо дадена контрола е включена или изключена от обхвата.
• Управление на доставчици и трети страни — оценка на риска, произтичащ от аутсорсинг, облачни доставчици и веригата за доставки, които все по-често са входна точка за инциденти.
• Непрекъснатост на бизнеса и възстановяване след инцидент — доколкото засягат сигурността на информацията в рамките на дефинирания обхват.

Обхватът се фиксира в началото на проекта, но не е статичен — при промяна в бизнес модела, нови продукти или нови локации той се преразглежда като част от процеса на непрекъснато подобрение.

Методология

Изграждането на СУСИ протича на ясно разграничени фази, всяка от които приключва с конкретен резултат, преди да се премине към следващата. Този ред не е формалност — той гарантира, че документацията отразява реални процеси, а не обратното.

Фаза 1: Анализ на разликите и оценка на риска. Стартираме с преглед на текущото състояние спрямо изискванията на стандарта — какви политики, процеси и технически контроли вече съществуват и къде са пропуските. Успоредно се провежда оценка на риска: идентифициране на информационните активи, заплахите и уязвимостите, и остойностяване на риска според одобрена методология. Резултатът е конкретна карта на разликите и приоритизиран регистър на риска, върху които стъпва целият следващ проект.

Фаза 2: Проектиране на системата и документация. На база анализа изграждаме структурата на СУСИ — политика по сигурността, методология за оценка и третиране на риска, план за третиране на риска, Декларация за приложимост и комплект от поддържащи политики и процедури. Документите се пишат съобразени с реалните процеси на организацията, а не преписват общ шаблон — това е разликата между система, която се спазва, и система, която се игнорира след одита.

Фаза 3: Внедряване на контролите. Одобрените в SoA контроли се прилагат на практика — технически (управление на достъпа, криптиране, логване и мониторинг), организационни (роли и отговорности, процес за управление на инциденти, процес за управление на промени) и физически. На този етап работим в тясно сътрудничество с ИТ и оперативните екипи на клиента, тъй като голяма част от контролите засягат ежедневната им работа.

Фаза 4: Обучение и вътрешен одит. Служителите преминават обучение по политиките и своите конкретни отговорности в СУСИ — сертификационният одитор винаги проверява доколко системата е позната и прилагана на практика, не само документирана. Провеждаме вътрешен одит, който симулира сертификационния процес и идентифицира несъответствия, докато все още могат да бъдат коригирани без последствия за резултата от външния одит.

Фаза 5: Подготовка за сертификационен одит и подкрепа по време на одита. Подпомагаме избора на акредитиран сертифициращ орган, подготвяме организацията за двуетапния одит — Stage 1, преглед на готовността на документацията, и Stage 2, одит на реалното функциониране на системата — и присъстваме по време на одита, за да адресираме въпроси и евентуални констатации в реално време.

Резултати

В края на проекта организацията разполага не само със сертификат, а с работеща управленска система и организационен капацитет да я поддържа самостоятелно.

• Пълен комплект документация на СУСИ — политики, процедури, регистър на риска, план за третиране на риска и Декларация за приложимост, готови за одит и за ежедневна употреба.
• Внедрени и тествани контроли от Приложение А, съответстващи на реалния оперативен контекст на организацията.
• Обучен персонал, наясно с ролята си в системата за сигурност, а не само с формалното съществуване на политики.
• Проведен и документиран вътрешен одит с коригирани несъответствия преди сертификационния одит.
• Сертификат по ISO/IEC 27001:2022, издаден от акредитиран сертифициращ орган, след успешно преминаване на Stage 1 и Stage 2 одит.
• Вътрешен капацитет и процеси за поддържане на системата — годишни надзорни одити и пълна ресертификация на три години — без зависимост от външен консултант за ежедневната й работа.

Често задавани въпроси

Колко време отнема внедряването и сертификацията по ISO 27001?

Зависи основно от размера на организацията, зрелостта на съществуващите процеси и наличния вътрешен ресурс, но за типична малка или средна организация проектът обичайно отнема между шест и дванадесет месеца от анализа на разликите до сертификационния одит. По-кратки срокове са възможни, ако вече съществува работеща база от политики и технически контроли, но пресилените срокове са рисков сигнал — стандартът изисква системата да работи на практика за определен период, преди Stage 2 одита да покаже реални доказателства за прилагане, а не само намерение.

Имаме частична документация от предходен опит за внедряване — трябва ли да започваме отначало?

Не по подразбиране. Първата ни стъпка при всеки проект е анализ на разликите именно защото искаме да установим какво от съществуващото може да се запази, адаптира или преизползва. Честа ситуация е организация да разполага с добри технически практики, които обаче не са документирани по начин, разпознаваем за одитор, или с политики, които съществуват на хартия, но не отразяват реалните процеси. И в двата случая работата е по-скоро привеждане в съответствие, отколкото писане от нулата — което пряко съкращава времето и бюджета на проекта.

От какво зависи цената на проекта?

Основните фактори са размерът на дефинирания обхват — брой локации, системи и служители, попадащи в него, — сложността на ИТ средата, степента на готовност на съществуващите процеси и нивото на въвлеченост, което очаквате от нас: от консултативна подкрепа до пълно управление на проекта с изготвяне на цялата документация. Таксата на сертифициращия орган за самия одит е отделен разход, който не влиза в консултантската оферта и варира според избрания орган и обхвата на сертификацията.

Трябва ли непременно да работим с външен сертифициращ орган?

Да — сертификатът по ISO 27001 се издава единствено от акредитиран сертифициращ орган, независим от консултанта, изградил системата. Това разделение е съществена част от доверието към сертификата: организацията, която ви е помогнала да изградите СУСИ, не може едновременно да я одитира за целите на сертификацията. Ние подпомагаме избора на подходящ орган според вашия сектор и пазари, на които оперирате, но самият одит и решението за издаване на сертификат остават изцяло в правомощията на одитора.

Какво се случва след получаването на сертификата?

Сертификацията не е еднократно събитие. Сертифициращият орган провежда годишни надзорни одити, при които проверява дали системата продължава да функционира и се подобрява, а на всеки три години се провежда пълна ресертификация. Между одитите организацията трябва да поддържа регистъра на риска актуален, да провежда планираните вътрешни одити и прегледи от ръководството, и да документира как реагира на инциденти и промени в средата. Именно затова наблягаме на изграждане на система, която реалните екипи могат да поддържат сами, а не на документация, изготвена еднократно за преминаване на одита.

Кои служители трябва да бъдат въвлечени в проекта отвъд ИТ отдела?

Много повече, отколкото очакват повечето организации на старта на проекта. ISO 27001 третира сигурността на информацията като организационна, не само техническа тема — човешките ресурси участват заради процесите по наемане, напускане и обучение, физическата охрана заради контрола на достъп до помещения, ръководството заради прегледите на риска и разпределението на ресурси, а функционалните ръководители заради собствеността върху процесите в техните звена. Успешните проекти имат ясно ангажирано висше ръководство от самото начало — липсата на такъв ангажимент е една от най-честите причини за забавяне или провал на сертификационния одит.

Може ли сертификацията да обхване само част от организацията?

Да, и на практика това е обичайна отправна точка за по-големи или диверсифицирани организации. Стандартът не изисква сертификация на цялото юридическо лице — обхватът на СУСИ може да бъде ограничен до конкретно звено, продуктова линия, локация или дори един от няколко бизнес сегмента, стига границата да е логично и защитимо дефинирана, а не изкуствено начертана, за да изключи проблемни зони. Типичен пример е компания с продуктов и с консултантски бранш, при която само продуктовият попада под договорно изискване за сертификация — в такъв случай изграждаме СУСИ единствено около него, без да пренасяме излишна тежест върху останалата организация. Важно е ограниченият обхват да бъде ясно комуникиран навсякъде, където сертификатът се използва — на уебсайт, в тръжна документация, пред клиенти — тъй като позоваване на сертификат извън реално покрития периметър е един от най-честите поводи за възражение от страна на партньори при по-задълбочена проверка. При растеж на бизнеса обхватът може да бъде разширен на по-късен етап, като разширението преминава през собствена, по-ограничена процедура пред сертифициращия орган, а не през повторение на целия проект от начало. Препоръчваме тази възможност да се обсъди изрично в самото начало на проекта, дори когато разширението не е непосредствено предстоящо — така първоначалната архитектура на документацията остава лесна за надграждане, вместо да се налага преработка при всяко бъдещо разрастване на обхвата.

Следващата стъпка

Ако разглеждате ISO 27001 заради конкретно договорно изискване, тръжна процедура или нарастващ регулаторен натиск, най-полезната първа стъпка е кратък разговор, в който да изясним реалния обхват на проекта, преди да говорим за срокове и бюджет. Всяка организация тръгва от различна точка — с различна степен на документираност, различна ИТ архитектура и различни бизнес причини да търси сертификация — и офертата има смисъл едва след като разберем тази отправна точка.

Свържете се с нас за първоначален разговор и, при необходимост, за предварителна оценка на готовността ви за сертификация. Ще ви дадем ясна представа за обхвата, реалистичен график и конкретните стъпки, без ангажимент от ваша страна на този етап.