ISO 27001: система менеджмента информационной безопасности

Система менеджмента информационной безопасности (Information Security Management System, ISO 27001) — международный стандарт, требующий от организации применения систематического, риск-ориентированного подхода к защите информации: не механического внедрения универсального набора технических средств защиты, а осознанного выбора конкретных мер контроля исходя из результатов формализованной оценки рисков информационной безопасности, специфичной именно для данной организации.

Происхождение и исследовательская база

Прямым предшественником ISO 27001 стал британский стандарт BS 7799, впервые опубликованный Британским институтом стандартов в феврале 1995 года как «Кодекс практики управления информационной безопасностью» — первая версия BS 7799 описывала 127 средств контроля информационной безопасности, сгруппированных в 10 категорий. Вторая часть стандарта, BS 7799-2, опубликованная в 1999 году, впервые формально описала, как проектировать и внедрять систему менеджмента информационной безопасности (ISMS) как целостный, сертифицируемый подход к управлению информационной безопасностью в организации. Международная организация по стандартизации адаптировала BS 7799-1 в 2000 году как ISO 17799, а в 2005 году интегрировала BS 7799-2 в первую международную версию стандарта ISO/IEC 27001:2005.

Ключевой методологический принцип ISO 27001, отличающий его от простого чек-листа технических мер защиты: организация должна сначала провести систематическую оценку рисков информационной безопасности — идентифицировать информационные активы, оценить угрозы и уязвимости, определить вероятность и потенциальное воздействие каждого риска, — и только затем выбрать конкретные меры контроля из приложения стандарта (Annex A), соответствующие реально выявленным рискам данной конкретной организации, а не применять весь перечень возможных мер механически ко всем организациям одинаково независимо от их специфики.

Сам перечень Annex A не статичен и периодически пересматривается: редакция ISO/IEC 27001:2013 содержала 114 мер контроля в 14 доменах, а редакция ISO/IEC 27001:2022 сократила и перестроила их до 93 мер в 4 тематических категориях (организационные, кадровые, физические, технологические) — 24 меры объединены, добавлено 11 новых, включая контроль threat intelligence (A.5.7) и облачную безопасность (A.5.23). Организация обязана формально задокументировать, какие меры применимы, а какие обоснованно исключены, в отдельном документе — Заявлении о применимости (Statement of Applicability, SoA). Именно Заявление о применимости, а не сам факт наличия сертификата, чаще всего запрашивают партнёры и клиенты при due diligence — оно показывает не общий факт соответствия, а конкретный, обоснованный периметр защиты организации.

Ключевое практическое следствие риск-ориентированного подхода: две организации, прошедшие сертификацию ISO 27001, могут иметь существенно разные наборы внедрённых мер контроля информационной безопасности, поскольку каждая выбрала конкретные меры исходя из собственной, специфичной оценки рисков — сертификат подтверждает наличие систематического, обоснованного процесса управления рисками информационной безопасности, а не единый унифицированный технический стандарт защиты, одинаковый для всех организаций.

Ключевые идеи и принципы

1. Принцип: выбор мер контроля информационной безопасности следует из формализованной оценки рисков, а не применяется механически.

   Организация сначала систематически оценивает специфичные для неё риски информационной безопасности, и только затем выбирает конкретные меры контроля, соответствующие реально выявленным рискам, — избегая как избыточного внедрения мер, не соответствующих реальным угрозам, так и упущения действительно значимых для данной организации рисков.

2. Принцип: сертификация подтверждает наличие систематического процесса управления рисками, а не единый унифицированный набор технических мер.

   Разные организации с различным профилем рисков могут пройти сертификацию с существенно разными наборами внедрённых мер контроля — стандарт не требует унифицированного набора технических средств, а требует обоснованного, систематического процесса их выбора.

3. Принцип: система менеджмента информационной безопасности требует непрерывного пересмотра по мере изменения ландшафта угроз.

   Профиль рисков информационной безопасности постоянно меняется по мере появления новых угроз и уязвимостей — система, построенная на цикле непрерывного улучшения, требует регулярного пересмотра оценки рисков и, при необходимости, соответствующей корректировки выбранных мер контроля.

Ограничения, слепые зоны и критика

Типовые ошибки

1. Ошибка 1: внедряют весь перечень возможных мер контроля механически, без предварительной оценки рисков.

   Организация применяет универсальный набор технических мер защиты без учёта собственной специфики, что приводит либо к избыточным затратам на меры, не соответствующие реальным рискам, либо к упущению действительно значимых для данной организации угроз.

   Как избежать

   начинать с систематической оценки рисков информационной безопасности, специфичной для организации, и выбирать меры контроля исходя из её результатов, а не применять универсальный чек-лист механически.

2. Ошибка 2: проводят оценку рисков поверхностно, без достаточной глубины анализа угроз и уязвимостей.

   Формальная оценка рисков проводится быстро и неглубоко ради прохождения сертификации, упуская реальные значимые угрозы, что оставляет организацию уязвимой несмотря на формальное соответствие требованиям стандарта.

   Как избежать

   проводить глубокую, содержательную оценку рисков с привлечением при необходимости специализированной внешней экспертизы, а не формальную проверку ради прохождения сертификации.

3. Ошибка 3: рассматривают сертификацию как разовое достижение, не пересматривая систему по мере изменения ландшафта угроз.

   Оценка рисков и набор мер контроля, актуальные на момент первичной сертификации, остаются неизменными годами, несмотря на существенное изменение внешнего ландшафта угроз информационной безопасности.

   Как избежать

   внедрять регулярный цикл пересмотра оценки рисков и соответствующей корректировки мер контроля с учётом изменяющегося ландшафта угроз.

4. Ошибка 4: Annex A воспринимают как исчерпывающий обязательный перечень, а не как справочный список для обоснованного отбора.

   Команда исходит из того, что все 93 меры Annex A должны быть внедрены целиком, либо, наоборот, произвольно исключает неудобные меры без формального обоснования — обе крайности нарушают логику стандарта: Annex A — это справочный перечень возможных мер, из которого организация выбирает и обосновывает применимые именно к её оценке рисков в отдельном документе (Заявлении о применимости), а не обязательный технический стандарт для всех подряд.

   Как избежать

   для каждой меры Annex A явно фиксировать в Заявлении о применимости, применяется ли она и почему — включая обоснованные исключения, а не молчаливое игнорирование неудобных пунктов. Обоснованное «неприменимо» с объяснением причины — такой же законный результат заполнения Заявления, как и «внедрено».

План внедрения

1. Неделя 1: идентифицировать информационные активы и провести систематическую оценку рисков

   Определить ключевые информационные активы, оценить угрозы, уязвимости и потенциальное воздействие рисков.

2. Неделя 2: выбрать меры контроля из Annex A, соответствующие выявленным рискам

   Определить конкретный набор мер контроля информационной безопасности, обоснованный результатами оценки рисков.

3. Неделя 3: внедрить выбранные меры контроля и задокументировать систему менеджмента

   Реализовать выбранные технические и организационные меры защиты и формализовать документацию системы.

4. Неделя 4: внедрить регулярный цикл пересмотра оценки рисков

   Настроить регулярную периодичность пересмотра оценки рисков с учётом изменяющегося ландшафта угроз.

   Далее: поддержание непрерывного мониторинга угроз — регулярно отслеживать новые угрозы и уязвимости, корректируя систему менеджмента информационной безопасности по мере необходимости.

Как реализовать этот план с помощью фрейма «ISO 27001» в OrgDevTools

Фрейм — бесплатный тренажёр для риск-ориентированного подхода. Вы описываете активы, оцениваете по ним угрозы и выбираете меры, а фрейм сам считает риск до и после мер. Так видно, где меры следуют из оценки рисков, а где их не хватает. Готовых данных нет: все списки изначально пустые.

Книги по теме

Международная организация по стандартизации — «ISO/IEC 27001:2022, Information security management systems — Requirements». Официальный стандарт, определяющий требования к риск-ориентированной системе менеджмента информационной безопасности.