Пояснення стандарту ISO 27001

Незалежний огляд від DQS, акредитованого органу сертифікації.

ISO 27001 — це провідний міжнародний стандарт для систем управління інформаційною безпекою (ISMS). Він визначає вимоги, яким повинна відповідати організація для систематичного виявлення, оцінки та усунення ризиків інформаційної безпеки — охоплюючи людей, процеси та технології, а не окремі технічні заходи контролю. Цей стандарт актуальний для організацій будь-якого розміру та з будь-якої галузі — від фінансових установ, закладів охорони здоров’я та державних органів до постачальників хмарних послуг, виробників та компаній-розробників програмного забезпечення, які обробляють конфіденційну інформацію від імені клієнтів, співробітників або партнерів. Чинною редакцією є ISO/IEC 27001:2022, яка замінила версію 2013 року; трирічний перехідний період для організацій, що отримали сертифікацію раніше, закінчився 31 жовтня 2025 року, а поправка, опублікована у 2024 році (Поправка 1:2024), додала чіткі вимоги щодо заходів у сфері боротьби зі зміною клімату.

Ключові факти про ISO 27001

Контекст та чинники, що зумовлюють розробку стандарту ISO 27001

Регуляторний тиск на сферу інформаційної безпеки

За останні роки регуляторне середовище у сфері інформаційної безпеки значно посилилося, особливо в Європейському Союзі. Директива про безпеку мереж та інформації 2 (NIS2) поширює зобов’язання щодо кібербезпеки на значно ширше коло ключових та важливих суб’єктів, включаючи середні організації у таких секторах, як енергетика, транспорт, охорона здоров’я, цифрова інфраструктура та виробництво. Закон про цифрову операційну стійкість (DORA), що застосовується до фінансових суб’єктів та їхніх критично важливих сторонніх постачальників інформаційно-комунікаційних технологій (ІКТ), встановлює детальні вимоги щодо управління ризиками в сфері ІКТ, повідомлення про інциденти, тестування стійкості та нагляду за постачальниками. Ні NIS2, ні DORA не встановлюють ISO 27001 як обов’язкову базову вимогу, але обидві директиви посилаються на міжнародно визнані стандарти інформаційної безпеки як орієнтир, і багато організацій використовують сертифіковані системи управління інформаційною безпекою (ISMS) як структурну основу, на якій будуються їхні програми дотримання нормативних вимог.

Очікування ринку та довіра клієнтів

Поза межами офіційного регулювання інформаційна безпека стала звичним питанням у контрактах між підприємствами, тендерних процедурах та програмах кваліфікації постачальників. Корпоративні клієнти дедалі частіше вимагають від своїх постачальників підтвердження наявності зовнішньо перевіреної СІУБ перед наданням доступу до систем або даних, а сертифікати, видані акредитованими органами сертифікації, широко визнаються як доказ такого рівня зрілості. Для постачальників програмного забезпечення, хмарних провайдерів та інших організацій, чия бізнес-модель базується на даних клієнтів, сертифікат ISO 27001 у багатьох секторах став практично обов’язковою умовою виходу на ринок. Цю тенденцію підсилює зростаюча обізнаність громадськості щодо випадків витоку даних, програм-вимагачів та атак на ланцюги постачання, що підвищило очікування щодо того, як організації захищають інформацію у всьому своєму ланцюгу створення вартості.

Інтеграція з стійкістю, конфіденційністю та сталістю

Інформаційна безпека більше не існує ізольовано. Вона дедалі частіше перетинається з операційною стійкістю, безперебійністю бізнесу, конфіденційністю та — з моменту опублікування Поправки 1:2024 — з питаннями, пов’язаними з кліматом. Ради директорів та комітети з управління ризиками розглядають інформаційну безпеку як один із аспектів ширшої картини, що включає перебої в роботі ІКТ, ризики, пов’язані з третіми сторонами, та порушення, спричинені екстремальними погодними явищами, що впливають на критичну інфраструктуру. Стандарт ISO 27001 забезпечує структурну основу, яка дозволяє організаціям інтегрувати ці суміжні теми — конфіденційність, безперервність діяльності, нагляд за постачальниками та фізичну стійкість — в єдину систему управління, а не у набір розрізнених ініціатив.

Основні вимоги стандарту ISO 27001

Стандарт ISO/IEC 27001:2022 відповідає гармонізованій структурі Annex SL, яка є спільною для сучасних стандартів ISO щодо систем управління. У пунктах 1–3 визначено сферу застосування, нормативні посилання та терміни. Пункти 4–10 містять вимоги до системи управління, що підлягають аудиту, які узагальнено нижче. У Додатку А наведено посилання на 93 заходи контролю інформаційної безпеки, детально описані в ISO 27002, з яких організація обирає ті, що є застосовними, виходячи з власної оцінки ризиків.

Пункт 4 — Контекст організації

Організація визначає внутрішні та зовнішні фактори, що впливають на її СІБ, а також встановлює потреби та очікування зацікавлених сторін, таких як клієнти, регуляторні органи, партнери ланцюга постачання та акціонери. На цій основі вона визначає сферу застосування СІБ, включаючи місця розташування, види господарської діяльності, технології та інформаційні активи, що підпадають під її дію.

Пункт 5 — Лідерство

Вище керівництво демонструє лідерство та відданість СІУБ, підписується політика інформаційної безпеки, а також розподіляються ролі, обов’язки та повноваження. Інформаційна безпека позиціонується як питання стратегічного значення, а не як делегована технічна функція.

Пункт 6 — Планування

Організація проводить оцінку ризиків інформаційної безпеки, визначає критерії прийняття та управління ризиками, а також обирає заходи контролю, необхідні для усунення цих ризиків. У Заяві про застосовність зазначається, які заходи контролю з Додатка А застосовуються, які виключаються, та наводиться обґрунтування у кожному конкретному випадку. Цілі інформаційної безпеки визначаються та узгоджуються з політикою.

Пункт 7 — Підтримка

Розглядаються питання ресурсів, компетентності, обізнаності, комунікації та задокументованої інформації. Персонал, залучений до роботи з СІБС, проходить відповідне навчання, а документація ведеться у формі, що відповідає розміру та складності організації.

Пункт 8 — Функціонування

Організація планує, впроваджує та контролює процеси, необхідні для виконання вимог інформаційної безпеки, здійснює оцінку ризиків та реалізує плани їх усунення, а також управляє змінами, що можуть вплинути на СІБ.

Пункт 9 — Оцінка ефективності

Система управління інформаційною безпекою (ISMS) підлягає моніторингу, вимірюванню та аналізу. Внутрішні аудити та огляди керівництва слугують основою для оцінки ефективності, відповідності вимогам та постійного вдосконалення системи. Результати оцінки враховуються при плануванні та прийнятті операційних рішень.

Пункт 10 — Покращення

Невідповідності усуваються за допомогою коригувальних дій, а організація зобов’язана постійно вдосконалювати придатність, адекватність та ефективність СІБС. Постійне вдосконалення є структурною особливістю стандарту, а не додатковим елементом.

Додаток А — Довідковий набір заходів контролю

У Додатку А наведено 93 заходи контролю, згруповані за чотирма темами: організаційні заходи контролю (37), кадрові заходи контролю (8), фізичні заходи контролю (14) та технологічні заходи контролю (34). У редакції 2022 року було об’єднано та реорганізовано 114 заходів контролю з версії 2013 року, введено 11 нових заходів контролю (включаючи аналіз загроз, інформаційну безпеку хмарних сервісів, готовність ІКТ до забезпечення безперервності бізнесу, моніторинг фізичної безпеки, управління конфігурацією, видалення інформації, маскування даних, запобігання витоку даних, моніторинг діяльності, веб-фільтрація та безпечне кодування), а також застосовано п’ять атрибутів до кожного заходу контролю (тип заходу контролю, властивості інформаційної безпеки, концепції кібербезпеки, операційні можливості та домени безпеки) для підтримки фільтрації та звітності.

Цільові групи та сфери застосування стандарту ISO 27001

Стандарт ISO 27001 за своєю суттю не прив’язаний до конкретного сектору. Його вимоги однаково застосовуються як до транснаціонального банку, так і до регіональної мережі лікарень, державного органу та стартапу з розробки програмного забезпечення, що обробляє дані клієнтів від їхнього імені. На практиці певні сфери застосування стали особливо помітними.

Постачальники інформаційно-комунікаційних технологій — зокрема хмарні платформи, постачальники програмного забезпечення як послуги (SaaS), постачальники керованих послуг та оператори центрів обробки даних — часто розглядають ISO 27001 як базову систему гарантій, якої очікують корпоративні клієнти. Організації, що надають фінансові послуги, використовують ISO 27001 для структурування програм управління ІКТ-ризиками, які також забезпечують виконання зобов’язань згідно з DORA. Організації сфери охорони здоров’я застосовують цей стандарт для захисту інформації про пацієнтів та клінічних систем, часто у поєднанні з галузевими вимогами щодо конфіденційності та безпеки. Органи державного сектору та оператори критичної інфраструктури впроваджують ISO 27001 для виконання зобов’язань згідно з NIS2 та національним законодавством у сфері кібербезпеки. Виробничі організації застосовують цей стандарт для захисту інтелектуальної власності, забезпечення безпеки операційних технологічних середовищ та виконання вимог великих клієнтів, зокрема виробників оригінального обладнання (OEM), щодо безпеки ланцюга постачання.

Для будь-якої з цих організацій сертифікована система управління інформаційною безпекою (ISMS) забезпечує структуровану основу для прийняття обґрунтованих рішень щодо інвестицій та пріоритетів у сфері інформаційної безпеки. Вона сприяє прийняттю обґрунтованих рішень керівництвом та забезпечує основу для обговорень з урахуванням ризиків із регуляторними органами, клієнтами та партнерами ланцюга поставок, залишаючи при цьому право прийняття суттєвих рішень за особами, які несуть за них відповідальність.

Стандарти, пов’язані з ISO 27001

Гармонізована структура та типові комбінації

ISO 27001 має спільну гармонізовану структуру «Додаток SL» з іншими широко використовуваними стандартами систем управління, зокрема ISO 9001 (якість), ISO 14001 (навколишнє середовище) та ISO 22301 (безперервність діяльності). Ця спільна структура дозволяє організаціям застосовувати інтегровану систему управління, в якій вимоги щодо інформаційної безпеки, якості, охорони навколишнього середовища та безперервності діяльності об’єднують зобов’язання керівництва, процеси планування, внутрішні аудити та огляди керівництва. Комбіновані аудити за цими схемами є поширеною практикою та, як правило, дозволяють зменшити дублювання.

Сімейство стандартів ISO 27000 

ISO 27001 є центральним елементом сімейства стандартів ISO 27000, які в сукупності всебічно охоплюють питання управління інформаційною безпекою. ISO 27000 містить загальний огляд та термінологію цього сімейства. ISO 27002 розширює кожен засіб контролю з Додатка А, надаючи детальні вказівки щодо впровадження, і є стандартом, до якого найчастіше звертаються разом із ISO 27001 під час впровадження. ISO 27005 надає вказівки щодо управління ризиками інформаційної безпеки та широко використовується для практичної реалізації положень ISO 27001, що базуються на ризиках. ISO 27017 та ISO 27018 поширюють набір заходів контролю відповідно на хмарні послуги та на захист інформації, що дозволяє ідентифікувати особу (PII), у середовищах публічних хмарних сервісів. ISO 27019 є стандартом-рекомендацією щодо створення системи управління інформаційною безпекою для систем управління, що використовуються в сфері енергопостачання. Цей стандарт ґрунтується на заходах контролю інформаційної безпеки, викладених у стандарті ISO 27002, та додає галузеві вимоги, що виходять за межі загальних заходів, визначених у зазначеному стандарті. Стандарт ISO 27701 визначає вимоги та рекомендації щодо системи управління інформацією про конфіденційність (PIMS).

Розширення для конкретних галузей та тем

Низка галузевих стандартів базується на ISO 27001 у нормативному сенсі. ISO/IEC 27011 надає додаткові рекомендації для телекомунікаційних організацій. ISO/IEC 27017 та ISO/IEC 27018 стосуються заходів контролю, специфічних для хмарних середовищ. ISO/IEC 27019 містить рекомендації для енергетичної галузі. ISO/IEC 27799 застосовує заходи контролю, передбачені стандартом ISO/IEC 27002, до сфери медичної інформатики. Ці розширення використовують систему управління ISO 27001 та додають або уточнюють заходи контролю, що стосуються відповідної галузі.

Відмінності від подібних рамок

ISO 27001 іноді порівнюють з іншими рамками інформаційної безпеки, зокрема з SOC 2 та Рамкою кібербезпеки NIST. ISO 27001 — це міжнародний стандарт, відповідно до якого сертифікаційний орган може сертифікувати систему управління інформаційною безпекою (ISMS). SOC 2 — це система звітності, визначена Американським інститутом сертифікованих публічних бухгалтерів (AICPA), в рамках якої фахівці з аудиту видають звіти про підтвердження щодо заходів контролю, що стосуються безпеки, доступності, цілісності обробки, конфіденційності або приватності. Хоча ці дві системи частково перетинаються, вони охоплюють різні сфери застосування та базуються на різних моделях управління, тому їх не слід вважати еквівалентними. Рамка кібербезпеки NIST — це добровільна система, призначена для регулювання управління ризиками, зокрема у Сполучених Штатах; вона не підлягає сертифікації в тому ж сенсі, що й ISO 27001.