Подготовка к процессу сертификации по ISO 27001

Выполнение требований международных стандартов гарантирует, что в компании налажена эффективная система управления информационной безопасностью (СУИБ). Таким стандартом является ISO/IEC 27001:2005. Соответствие СУИБ требованиям этого стандарта подтверждается Сертификатом, который выдаётся после выполнения комплекса организационно-технических мероприятий и последующего успешного прохождения сертификационного аудита, проводимого независимыми экспертами органа по сертификации. Непосредственно сертификацию СУИБ может проводить только имеющий соответствующую аккредитацию орган по сертификации (ЭЛВИС-ПЛЮС с 2007 года сотрудничает по этому направлению работ с компанией BSI, которая имеет аккредитацию ANAB и является крупнейшим органом по сертификации в мире).

Кроме формального соответствия СУИБ требованиям стандарта наличие официального и признаваемого во всем мире «Сертификата соответствия» позволяет компании получить ряд преимуществ, основными из которых являются:

• демонстрация организации защиты информации в соответствии с требованиями признанного международного стандарта в области информационной безопасности;
• подтверждение независимым органом по сертификации соблюдения положений действующих законов и нормативных актов;
• обеспечение конкурентных преимуществ благодаря точному исполнению требований договоров в части обеспечения информационной безопасности, а также демонстрация партнёрам и клиентам, что защита их информации является одной из первостепенных задач;
• независимое подтверждение того, что риски информационной безопасности должным образом выявлены, оценены и находятся под контролем, связанные с обеспечением информационной безопасности процессы формализованы, процедуры и документация, относящиеся к обеспечению информационной безопасности, разработаны и поддерживаются на должном уровне;
• доказательство стремления высшего руководства к обеспечению информационной безопасности и использованию лучшего международного опыта в этой сфере;
• проведение регулярной независимой оценки, позволяющей постоянно контролировать эффективность и совершенствовать процессы, связанные с обеспечением информационной безопасности.

Работы по подготовке и проведению сертификации системы управления информационной безопасностью на соответствие требованиям Стандарта проводятся в три этапа:

• Комплексное обследование и определение степени соответствия требованиям Стандарта: целью данного этапа является обследование (оценка текущего состояния СУИБ) и анализ расхождений с требованиями Стандарта для определения состава дальнейших работ.
• Разработка и внедрение СУИБ: целью данного этапа является разработка и внедрение СУИБ в соответствии с требованиями Стандарта в рамках выделенной области действия на основе результатов комплексного обследования.
• Проведение сертификации: целью данного этапа является независимая оценка органом по сертификации соответствия внедренной СУИБ требованиям Стандарта, а также — в случае положительного решения — оформление и регистрация Сертификата, подтверждающего соответствие СУИБ требованиям Стандарта.

Выполнение требований международных стандартов даёт возможность успешно конкурировать на российском и зарубежном рынке, повысить уровень доверия со стороны клиентов, партнёров, акционеров и прочих заинтересованных лиц.