ISO/IEC 27001: защита на данните на вашата компания

Един пробив в системите за сигурност може да струва милиони – не само в преки загуби, но и в изгубено доверие, регулаторни глоби и прекъснат бизнес. ISO/IEC 27001 сертификация е международно признатият начин една организация да докаже, че управлява информационната си сигурност системно, а не на парче.

В тази статия ще разгледаме какво представлява стандартът, върху какви принципи стъпва, какво изисква от вашата организация и защо все повече български компании – особено в IT, финансите и услугите – избират да се сертифицират.

Какво е ISO/IEC 27001?

ISO/IEC 27001 е международният стандарт за системи за управление на сигурността на информацията (СУСИ). Той определя изискванията към създаването, внедряването, поддържането и непрекъснатото подобряване на система, която защитава информационните активи на организацията.

Ключовото тук е думата „система“. ISO/IEC 27001 не е списък от технически мерки или софтуер, който инсталирате. Той е управленска рамка – набор от процеси, политики и контроли, чрез които организацията системно идентифицира рисковете за информацията си и ги управлява.

Стандартът е приложим за всяка организация, независимо от размера и сектора – от IT компании и финансови институции до производствени предприятия, здравни заведения и публична администрация. Навсякъде, където се обработва чувствителна информация, ISO/IEC 27001 има стойност.

Трите стълба на информационната сигурност: CIA триадата

В основата на ISO/IEC 27001 стои концепцията за три фундаментални свойства на информацията, известни като CIA триада:

Поверителност – информацията е достъпна само за оторизирани лица. Клиентските данни, търговските тайни и личните данни не попадат в грешни ръце.
Цялостност – информацията е точна и пълна, не е неоторизирано променяна или повредена. Данните, на които разчитате, са надеждни.
Наличност – оторизираните потребители имат достъп до информацията, когато им е нужна. Системите работят, а не са блокирани от инциденти или атаки.

Всяка мярка за сигурност по ISO/IEC 27001 в крайна сметка обслужва един или повече от тези три принципа. Ако разбирате CIA триадата, разбирате и логиката на целия стандарт.

Как работи ISO/IEC 27001: подходът, основан на риска

Сърцевината на ISO/IEC 27001 е управлението на риска. Вместо да прилага универсален списък от мерки за всички, стандартът изисква всяка организация да:

идентифицира информационните си активи – какви данни, системи и процеси притежава
оцени рисковете – какви заплахи и уязвимости съществуват за тези активи
определи как да третира рисковете – да ги намали, приеме, прехвърли или избегне
внедри подходящи контроли – конкретни мерки за намаляване на приоритетните рискове
мониторира и подобрява – непрекъснато преразглежда и усъвършенства системата.

Този подход означава, че системата за сигурност на една малка софтуерна фирма ще изглежда различно от тази на банка – и точно това е замисълът. Мерките са пропорционални на реалните рискове.

Важен документ в този процес е Декларацията за приложимост (Statement of Applicability, SoA) – тя описва кои контроли от Приложение А организацията прилага и защо, а кои изключва и на какво основание.

Annex A: каталогът от контроли

ISO/IEC 27001 включва Приложение A (Annex A). В актуалната версия ISO/IEC 27001:2022 контролите са 93 на брой, групирани в четири теми:

Организационни контроли – политики, роли и отговорности, управление на активи, отношения с доставчици.
Контроли за хората – проверки при наемане, обучение по сигурност, дисциплинарни процеси, отговорности след прекратяване на трудов договор.
Физически контроли – физически периметри за сигурност, контрол на достъпа до помещения, защита на оборудването.
Технологични контроли – управление на достъпа, криптиране, защита от зловреден софтуер, архивиране, мониторинг на мрежата.

Организацията не е длъжна да прилага всички 93 контрола – тя избира релевантните спрямо оценката на риска и обосновава избора си в Декларацията за приложимост.

ISO/IEC 27001 и регулаторната рамка

ISO/IEC 27001 е доброволен стандарт, но не съществува във вакуум. Все повече законови и регулаторни изисквания в България и ЕС задължават организациите да управляват информационната сигурност системно, а внедрената ISMS е практическата рамка, чрез която тези изисквания се изпълняват и доказват. Ето трите най-важни точки на пресичане.

GDPR: защита на личните данни

Общият регламент за защита на данните (GDPR) задава задължения за защита на личните данни и предвижда сериозни санкции при нарушения. ISO/IEC 27001 не ви прави автоматично съответстващи на GDPR, но значително улеснява постигането и доказването на такова съответствие. Внедрената ISMS показва на регулатора и на клиентите, че защитата на данните се управлява отговорно и системно с оценка на риска, контроли за достъп и процедури за реакция при инциденти, които са в основата и на двата инструмента.

Закон за киберсигурност (NIS2)

Със Закона за киберсигурност в българското законодателство e транспонирана Директивата NIS2 (ЕС) 2022/2555. Това е най-мащабната реформа в областта на киберсигурността в ЕС до момента. Обхватът на закона се разширява и въвежда по-строги изисквания за управление на риска, по-кратки срокове за докладване на инциденти и значително по-високи санкции. За организациите в обхвата на закона ISO/IEC 27001 е естествен изходен пункт: изискванията за управление на риска, контролите за сигурност и процедурите за реакция при инциденти по NIS2 се припокриват в голяма степен с логиката на стандарта. Внедрена ISMS не изчерпва задълженията по закона, но полага солидна основа за съответствие.

DORA: цифрова оперативна устойчивост за финансовия сектор

Регламентът за цифрова оперативна устойчивост (DORA, Регламент (ЕС) 2022/2554) създава единна рамка за управление на риска, свързан с информационните и комуникационни технологии (ИКТ), във финансовия сектор на ЕС — банки, застрахователи, инвестиционни посредници, платежни институции и техните доставчици на ИКТ услуги.

DORA стъпва на пет стълба: управление на ИКТ риска, докладване на инциденти, тестване на оперативната устойчивост, управление на риска от трети страни доставчици и обмен на информация за заплахи. Изискванията му са по-строги и по-специфични от тези на общ стандарт, но организация с внедрена ISO/IEC 27001 система вече разполага със значителна част от необходимите процеси: оценка на риска, контрол на доставчиците, процедури при инциденти и непрекъснато подобряване. ISO/IEC 27001 не покрива DORA изцяло, но съкращава пътя към съответствие осезаемо.

Защо да се сертифицирате по ISO/IEC 27001? ISO/IEC 27001 е доброволен, но е практическият мост към изпълнението на цяла поредица задължителни регулации. Една добре изградена ISMS работи едновременно в полза на GDPR, NIS2 и DORA, вместо да управлявате всяко изискване поотделно.

Как изглежда процесът на сертификация?

Сертификацията по ISO/IEC 27001 от акредитиран орган като Smart Certification преминава през следните етапи:

Подготовка – организацията внедрява ISMS, включително политика по сигурност, оценка и управление на риска и Декларация за приложимост.
Сертификационен одит – органът по сертификация преглежда документацията и оценява готовността (етап 1) и проверява как системата работи на практика (етап 2).
Издаване на сертификат – при успешен одит се издава сертификат, валиден 3 години.
Надзорни одити – провеждат се ежегодно.
Ресертификация – след 3 години.

Предпоставка за сертификация е наличието на внедрена и функционираща СУСИ, включително политика по сигурност, процедура за управление на риска и Декларация за приложимост. За подробности вижте Процес по сертификация.

Честовани въпроси (FAQ)

Кой има нужда от ISO/IEC 27001? Всяка организация, която обработва чувствителна информация – IT компании, финансови институции, доставчици на облачни услуги, здравни заведения, а също и производствени и търговски фирми с ценни данни или клиентски изисквания за сигурност.

Задължително ли е да приложим всички контроли от Annex A? Не. Организацията избира приложимите контроли спрямо оценката на риска и обосновава избора си в Декларацията за приложимост (SoA).

Колко време отнема сертификацията? В зависимост от размера и сложността на организацията – обикновено от няколко месеца до около година.

Нужен ли е консултант? Не е задължително. Много организации се подготвят самостоятелно или с вътрешни ресурси. Органът по сертификация не може едновременно да консултира и сертифицира – това е изискване за независимост.

Следваща стъпка

ISO/IEC 27001: защита на данните на вашата компания вече не е техническа подробност – тя е бизнес приоритет и все по-често договорно изискване. Ако искате да разберете как ISO/IEC 27001 се прилага конкретно за вашата организация, разгледайте нашите услуги по сертифициране по ISO/IEC 27001 или се свържете с нас за консултация.

Smart Certification е акредитиран орган по сертификация по ISO 9001, ISO 14001, ISO 45001 и ISO 27001.