Подготовка к ISO 27001 и консалтинг по СМИБ
Сертификат ISO/IEC 27001 выдаёт только аккредитованный орган по сертификации после формального аудита, и ни одна консалтинговая компания выдать его не может. Мы помогаем выстроить систему управления информационной безопасностью, готовую к этому аудиту: область и обработку рисков, меры Annex A, внутренний аудит и анализ со стороны руководства, а также тестирование на проникновение, которое подтверждает ваши технические меры. Сертификационный аудит проводит аккредитованный орган.
Построение СМИБ
ISO/IEC 27001:2022 сертифицирует систему управления, а не отдельный продукт. Пункты 4-10 стандарта описывают СМИБ, а в Annex A перечислены 93 меры в четырёх группах: Organizational, People, Physical и Technological. Мы помогаем запустить систему, выбрать применимые меры, внедрить их и подтвердить доказательствами.
- Область СМИБ, контекст, лидерство и требования к системе управления из пунктов 4-10
- Оценка рисков и план обработки рисков, с Statement of Applicability
- Выбор и внедрение мер Annex A 2022 (93 меры в четырёх группах)
- Политики, процедуры и записи, которые аудитор будет выборочно проверять
- Тестирование на проникновение как доказательство для технологических мер
- Внутренний аудит и анализ со стороны руководства перед сертификационным аудитом
Мы это выстраиваем; аккредитованный орган это сертифицирует
Мы помогаем с внедрением и подготовкой. Сертификация проходит в два этапа: сначала аудит Stage 1 (документация), затем Stage 2 (внедрение). Оба этапа проводит аккредитованный орган по сертификации, независимый от тех, кто строил СМИБ. Мы готовим вас и можем провести внутренний аудит, но органом по сертификации не являемся и сертификат никогда не выдаём.
- 1
Определение области и анализ пробелов
Мы определяем область СМИБ, проводим анализ пробелов по ISO/IEC 27001:2022 и Annex A и подписываем NDA.
- 2
Обработка рисков
Мы выстраиваем оценку рисков, план обработки рисков и Statement of Applicability, которые определяют выбор мер.
- 3
Средства контроля и документация
Мы внедряем пункты системы управления и меры Annex A и проводим пентест, который их подтверждает.
- 4
Внутренний аудит и анализ
Мы проводим внутренний аудит и анализ со стороны руководства, чтобы несоответствия были устранены до внешнего аудита.
- 5
Сопровождение сертификации
Мы сопровождаем вас на аудитах Stage 1 и Stage 2 аккредитованного органа и при любых корректирующих действиях.
Что вы получаете
Готовая к аудиту СМИБ и технические доказательства, которые за ней стоят. Сам сертификат выдаёт аккредитованный орган по сертификации после успешного аудита Stage 2, а не мы.
- Анализ пробелов по ISO/IEC 27001:2022 и мерам Annex A 2022
- Оценка рисков, план обработки рисков и Statement of Applicability
- Набор политик и процедур СМИБ, плюс записи, которые аудитор выборочно проверяет
- Отчёт о тестировании на проникновение (CVSS 3.1, PoC, воспроизведение), подтверждающий технологические меры
- Отчёт о внутреннем аудите и пакет для анализа со стороны руководства
- Подтверждение готовности и сопровождение на протяжении сертификационного аудита
Основано на ISO/IEC 27001:2022
Подготовка ведётся по ISO/IEC 27001:2022 (пункты 4-10 о системе управления) с мерами из Annex A 2022 (93 меры в группах Organizational, People, Physical и Technological) и с опорой на ISO/IEC 27002:2022. Сертификат выдаёт только аккредитованный орган по сертификации после аудитов Stage 1 и Stage 2. Мы обеспечиваем построение СМИБ, внутренний аудит и сопутствующее тестирование на проникновение, но не являемся органом по сертификации и не выдаём сертификаты ISO 27001.