Поможем подготовить систему менеджмента информационной безопасности по ГОСТ Р ИСО/МЭК 27001-2021: определить область, разобрать риски и собрать применимые документы. Не обещаем, что сертификат автоматически закроет требования к персональным данным, государственным системам или отраслевому регулированию.
С чего начинается подготовка СМИБ
Вопрос об ISO/IEC 27001 обычно появляется после требования заказчика, проверки поставщика или внутреннего инцидента. В этот момент важно не начинать с покупки «сертификата на информационную безопасность». Сначала нужно понять, какие сведения, процессы и команды входят в область системы, кто принимает решения и какие риски организация реально готова контролировать.
Росстандарт отмечает ГОСТ Р ИСО/МЭК 27001-2021 как действующий с 1 января 2022 года; он заменил национальную редакцию 2006 года. Международный ISO/IEC 27001:2022 имеет другое обозначение и опубликован ISO в октябре 2022 года. Если стандарт указан в договоре или закупке, полное обозначение лучше зафиксировать до начала работ: смешивать российскую и международную редакции в одном требовании нельзя.
Что требует стандарт в практической работе
ГОСТ Р ИСО/МЭК 27001-2021 устанавливает общие требования к созданию, внедрению, поддержанию и постоянному улучшению системы менеджмента информационной безопасности. В его области применения отдельно названы оценка и обработка рисков. Для организации это означает не «один документ о защите», а связку решений, ролей, доказательств и регулярной проверки того, что выбранные меры соответствуют области системы.
| Вопрос | Что нужно определить |
|---|---|
| Границы системы | Какие подразделения, процессы, площадки, сервисы и категории информации входят в область. |
| Контекст и стороны | Какие договорные, внутренние и иные применимые требования нужно учитывать без подмены их самим стандартом. |
| Риски | Какие активы и события рассматриваются, на каких данных основана оценка и кто принимает решения по обработке рисков. |
| Меры и роли | Какие действия уже выполняются, кто за них отвечает и где остаются вопросы к руководству или владельцам процессов. |
| Проверка работы | Какие записи, результаты мониторинга и внутренней оценки подтверждают, что система не существует только на бумаге. |
Единый перечень мер нельзя честно составить без изучения области. Не все процессы организации входят в одну систему, а один и тот же шаблон не учитывает реальных поставщиков, доступы и способ работы с информацией. Если факта нет, лучше оставить вопрос на уточнение, чем назвать меру действующей ради отчёта.
Что ISO/IEC 27001 не заменяет
СМИБ помогает управлять рисками информационной безопасности в выбранной области. Но она не отменяет отдельные обязательства, которые могут возникать для конкретной организации: требования к персональным данным, государственным информационным системам, объектам критической инфраструктуры, финансовому сектору или условиям договора. Их применимость оценивают отдельно по деятельности и статусу организации.
То же относится к внешней сертификации. ISO поясняет, что организация сама решает, проходить ли такую процедуру после внедрения системы. Сертификат может быть нужен контрагенту, но не доказывает автоматически выполнение всех иных обязанностей и не заменяет фактическую работу с рисками.
Материалы для первого разбора
- Точное требование заказчика, закупки или внутреннего решения, если оно есть.
- Описание процессов и систем, которые предполагается включить в область СМИБ.
- Сведения о владельцах информации, администраторах, подрядчиках и тех, кто принимает решения по рискам.
- Действующие политики, реестры, правила доступа, договорные условия и результаты уже проведённых оценок, если ими можно поделиться.
- Примеры того, как организация регистрирует события, изменения, проверки или пересмотр решений.
- Ограничения по конфиденциальности и согласованный порядок работы с закрытыми материалами.
Не нужно присылать пароли, ключи, полные выгрузки данных или внутренние журналы целиком. Для консультации важнее понять состав области и имеющиеся доказательства. Перечень безопасно передаваемых материалов согласуем до детального разбора.
Как проходит подготовка
- Уточняем основание. Проверяем, какая редакция стандарта нужна и какую задачу должна решить система.
- Определяем область. Фиксируем процессы, команды, активы и внешние стороны, которые реально входят в работу.
- Разбираем фактическую практику. Сопоставляем документы, роли и доступные записи с тем, как организация действует сейчас.
- Согласуем доработки. Подготавливаем применимые материалы по рискам, ролям и контролю в границах задачи.
- Проверяем связность. Убеждаемся, что в документах нет несуществующих систем, показателей или обещаний, которые нельзя подтвердить.
ПариТест может сопровождать подготовку системы, но не подменяет внутреннее управление, службы безопасности и владельцев процессов. Решение о достаточности материалов для внешней оценки принимает независимая сторона по своей процедуре.
Стоимость и условия
Ориентир стоимости в каталоге — 10 500 ₽. Итоговую стоимость согласуем после определения границ, состава систем, числа участников и объёма исходных материалов. В предложении укажем, что именно входит в работу: первичный разбор, подготовка документов или поддержка согласованных этапов.
Срок зависит от готовности сведений и доступности ответственных сотрудников. Дата ответа контрагенту поможет расставить приоритеты, но не даёт основания оформлять неподтверждённые меры как уже внедрённые.
Вопросы о ГОСТ Р ИСО/МЭК 27001-2021
Можно ли называть документ просто ISO 27001?
В разговоре это встречается часто, но в договоре, закупке и сертификате лучше указывать полное обозначение нужной редакции. ГОСТ Р ИСО/МЭК 27001-2021 и ISO/IEC 27001:2022 не следует смешивать.
Сертификат автоматически подтверждает соответствие требованиям по персональным данным?
Нет. Обязанности по персональным данным определяются отдельно. СМИБ может помочь выстроить процессы, но не заменяет проверку применимых требований к конкретной обработке.
Нужно ли включать в область всю компанию?
Не обязательно. Область определяют по фактической задаче, но нельзя исключать процессы только на бумаге, если от них зависит безопасность включённого сервиса или информации.
Достаточно ли подготовить документы без участия сотрудников?
Нет. Для системы важны роли, решения и записи, которые подтверждают её работу. Готовые файлы без связи с процессами не показывают, как организация управляет рисками.
Кто решает, нужна ли внешняя сертификация?
Организация принимает это решение с учётом требований контрагентов и собственной цели. Условия процедуры и её результат определяет выбранный орган по сертификации.
Опишите задачу через контакты ПариТест. Мы уточним редакцию, область и подготовим расчёт без лишних обещаний.
Источники
- Росстандарт: ГОСТ Р ИСО/МЭК 27001-2021, статус, дата введения и область
- ISO: ISO/IEC 27001:2022, международная редакция и сведения о сертификации
Сведения проверены 25 октября 2026 года. Страница описывает подготовительную услугу и не заменяет проверку специальных обязательных требований или решение органа по сертификации.