ISO/IEC 27001: требования, структура и сертификация СМИБ

ISO/IEC 27001 — международный стандарт, устанавливающий требования к системе менеджмента информационной безопасности (СМИБ, англ. ISMS): как организация выявляет риски ИБ, выбирает меры защиты и системно ими управляет. Действующая редакция — ISO/IEC 27001:2022, опубликована 25 октября 2022 года и заменила версию 2013 года; сертификаты по старой редакции полностью прекратили действие 31 октября 2025 года.

Стандарт разрабатывает совместный технический комитет ISO и Международной электротехнической комиссии (IEC) — ISO/IEC JTC 1/SC 27. Первая версия вышла в 2005 году на основе британского BS 7799-2, затем — редакция 2013 года, затем — действующая 2022 года. Полное название текущей редакции — «Information security, cybersecurity and privacy protection — Information security management systems — Requirements»; в редакции 2013 года формулировка была другой — «Information technology — Security techniques…», что само по себе отражает расширение фокуса стандарта с чисто технологической защиты на более широкое понятие киберустойчивости и защиты приватности.

Ключевая идея стандарта — риск-ориентированный подход: организация не обязана внедрять фиксированный технический набор средств защиты, а обязана системно выявлять риски информационной безопасности, обоснованно выбирать меры для их снижения и постоянно улучшать процесс по циклу PDCA (Plan-Do-Check-Act — планируй, делай, проверяй, действуй). Это отличает ISO 27001 от многих российских регуляторных требований, которые чаще задают конкретный обязательный перечень мер под конкретную категорию систем.

Стандарт применяется в паре со стандартом ISO/IEC 27002 — сводом рекомендаций по реализации каждой меры защиты из Annex A стандарта 27001. 27001 отвечает на вопрос «что должно быть в СМИБ и на соответствие чему проходит сертификация», 27002 — на вопрос «как конкретно реализовать ту или иную меру». Сертифицируется организация именно по 27001; 27002 сам по себе не сертифицируется.

ISO/IEC 27001 состоит из основного текста — разделов 4–10 (контекст организации, лидерство, планирование, поддержка, функционирование, оценка результатов, улучшение), которые и подлежат сертификационному аудиту, — и справочного приложения Annex A. В редакции 2022 года Annex A содержит 93 меры защиты в 4 тематических группах вместо 114 мер в 14 доменах редакции 2013 года.

↔ таблицу можно прокрутить вбок

Annex A — 93 меры в четырёх группах (редакция 2022 года):

Из 93 мер редакции 2022 года 11 — новые по сравнению с редакцией 2013 года, и они хорошо показывают, куда сместился фокус стандарта: аналитика угроз (threat intelligence), безопасность облачных сервисов, готовность ИКТ к обеспечению непрерывности бизнеса, мониторинг физической безопасности, управление конфигурациями, удаление информации, маскирование данных, предотвращение утечек данных, мониторинг активности, веб-фильтрация и безопасная разработка.

Продуктовое покрытие части технологических мер — управление доступом, защита от вредоносного кода, журналирование, криптография, предотвращение утечек — на стороне SecRadar собрано в каталоге «Классы СЗИ»: там же можно свести конкретные классы средств защиты с конкретными пунктами Annex A.

Действующий в России национальный аналог — ГОСТ Р ИСО/МЭК 27001-2021, утверждён приказом Росстандарта № 1653-ст от 30.11.2021 и введён в действие с 01.01.2022. Это критически важный нюанс: ГОСТ Р ИСО/МЭК 27001-2021 идентичен (обозначение IDT) международному ISO/IEC 27001:2013 — то есть гармонизирован со старой редакцией стандарта, а не с действующей ISO/IEC 27001:2022.

ГОСТ Р ИСО/МЭК 27001-2021 заменил собой предыдущую редакцию — ГОСТ Р ИСО/МЭК 27001-2006, которая, в свою очередь, была идентична первой версии международного стандарта 2005 года и к 2021 году заметно устарела. Разработка новой редакции велась в рамках технического комитета по стандартизации ТК 362 «Защита информации», куратором которого выступает ФСТЭК России как федеральный орган, отвечающий за стандартизацию в этой области.

Практическое следствие расхождения редакций — структура Annex A. Приложение А действующего ГОСТ Р построено по логике 14 доменов и 114 мер (редакция ISO 2013 года), а не 4 групп и 93 мер редакции 2022 года. Организация, которая сертифицируется по ГОСТ Р, работает по прежней, более многочисленной и по-другому сгруппированной структуре мер — это не хуже и не лучше по существу требований, но структурно не совпадает с тем, что будет проверять аудитор при международной сертификации по действующей редакции ISO.

↔ таблицу можно прокрутить вбок

Сертификация СМИБ проходит по двухэтапному аудиту информационной безопасности — Stage 1 (проверка готовности и документации) и Stage 2 (проверка того, что процессы реально работают на практике) — у независимого аккредитованного органа по сертификации. Сертификат действует 3 года при условии ежегодных надзорных аудитов, затем требуется ресертификационный аудит.

Кто сертифицирует. Международный сертификат выдаёт орган по сертификации, аккредитованный национальным органом аккредитации — членом международного соглашения IAF MLA (например, UKAS в Великобритании, IAS в США и другие). В России параллельно действует национальная система оценки соответствия ГОСТ Р, где органы по сертификации аккредитует Росаккредитация. После 2022 года доступ российских организаций к части международных аккредитованных органов усложнился из-за санкционных ограничений, но полностью не прекратился — отдельные аккредитованные органы продолжают работать с российскими клиентами.

Точный список органов, готовых сертифицировать конкретную организацию, и порядок стоимости стоит уточнять индивидуально — SecRadar не рекомендует и не сравнивает конкретных вендоров сертификационных услуг оценка.

Сертификацию СМИБ по ISO 27001 не стоит путать с сертификацией конкретного средства защиты информации (СЗИ) во ФСТЭК России. ISO 27001 подтверждает зрелость процессов ИБ организации в целом; сертификация СЗИ по требованиям приказов ФСТЭК — что конкретный программный или программно-аппаратный продукт соответствует заданному классу защиты. Как устроена эта, отдельная от ISO, оценка соответствия для государственных информационных систем — разбор в материале «Приказы ФСТЭК № 17 и № 117».

ISO 27001 — добровольный международный стандарт, и он не заменяет обязательные требования законодательства РФ: ни 152-ФЗ и приказы ФСТЭК о защите персональных данных, ни 187-ФЗ для субъектов КИИ, ни ГОСТ Р 57580 для финансовых организаций. Регуляторы РФ не признают сертификат ISO 27001 подтверждением выполнения своих требований — это два параллельных, не взаимозаменяемых трека.

Разница в самой природе требований. Российские регуляторные акты обычно задают конкретный обязательный состав мер под конкретную категорию систем — так устроены, например, приказы ФСТЭК о защите персональных данных (разбор — на странице «Персональные данные и 152-ФЗ») или отраслевой ГОСТ Р 57580 для банков и НФО, где Банк России напрямую вменяет выполнение конкретных мер и прохождение оценки соответствия — подробнее в материале «ГОСТ Р 57580».

ISO 27001, напротив, задаёт управленческую рамку и риск-ориентированный подход, оставляя организации выбор конкретных мер защиты под собственный профиль риска.

Похожая логика — у отраслевого стандарта PCI DSS: он тоже формально добровольный, но фактически обязателен по контракту для тех, кто обрабатывает данные платёжных карт. Отличие от ISO 27001 — в масштабе применения: PCI DSS охватывает конкретный узкий периметр (карточные данные), а ISO 27001 — систему менеджмента информационной безопасности организации в целом. Обе сертификации могут потребоваться параллельно и не заменяют друг друга.

Отдельная зона, которую ISO 27001 тоже не закрывает, — требования к безопасной разработке программного обеспечения для тех, кто претендует на включение продукта в реестр отечественного ПО. Это отдельный трек, разбор — на странице «РБПО — безопасная разработка ПО»: наличие сертификата ISO 27001 у компании-разработчика не отменяет и не заменяет требований РБПО к самому продукту.

Кому нужен сертификат ISO 27001 на практике. Прежде всего — компаниям, которые работают на экспорт или с иностранными заказчиками и партнёрами, участвуют в международных тендерах, где сертификат — формальное условие допуска, либо хотят предъявить инвесторам и крупным клиентам независимое подтверждение зрелости процессов ИБ. Для организаций, которые работают только на внутреннем рынке РФ и подпадают под конкретные обязательные требования регуляторов, ISO 27001 остаётся полезным, но не обязательным дополнением к комплаенсу, а не его заменой.