ISO 27001 за фирми: какво включва подготовката и откъде да започнете

Какво е ISO 27001

Пълното име е ISO/IEC 27001. Актуалната версия е от 2022 г., а преходният период от старата версия от 2013 г. приключи в края на октомври 2025 г. Стандартът описва система за управление на информационната сигурност (на английски ISMS): набор от правила, роли, процеси и мерки, които пазят поверителността, целостта и наличността на информацията.

Стандартът има две части. Основният текст (раздели 4 до 10) описва как се управлява системата: контекст и обхват, ръководство, планиране и риск, ресурси, работа, оценка на резултатите и подобрение. Приложение А съдържа 93 мерки (контроли), разделени в четири групи: 37 организационни, 8 свързани с хората, 14 физически и 34 технологични. Фирмата не е длъжна да прилага всички, а избира кои са приложими според рисковете си.

ISO 27001 не е задължителен по закон. Фирмите го въвеждат, защото клиентите им го изискват, защото участват в търгове или защото искат подредена и доказуема сигурност.

Кога ISO 27001 има смисъл за фирмата

• Големи клиенти или чуждестранни партньори изискват сертификат или подробни доказателства за сигурност.
• Фирмата участва в обществени поръчки или търгове, в които сертификатът носи точки.
• Фирмата обработва чувствителни данни: финансови, здравни или лични данни на клиенти.
• Фирмата попада под NIS2 (МИС 2) или е доставчик на фирми в обхвата и иска една рамка, с която да покаже мерките си.

Ако няма такъв натиск, малката фирма обикновено печели повече от базови технически мерки, отколкото от пълна сертификация: многофакторно удостоверяване, тествани резервни копия, защита на устройствата и ясни права за достъп. Вижте и киберсигурността за малки фирми.

Какво включва подготовката: 7 стъпки

1. Обхват и контекст

Първо се решава кои дейности, офиси, системи и хора влизат в системата. Твърде широкият обхват прави проекта безкраен, а твърде тесният не носи доверие на клиентите. Добрият обхват следва това, което клиентите ви реално купуват.

2. Ръководство и роли

Стандартът изисква ангажимент на ръководството: политика за сигурност, цели и ясен отговорник. Без това подготовката остава проект на IT отдела и спира при първия конфликт с ежедневната работа.

3. Оценка на риска

Описват се информационните активи, заплахите за тях и вероятността и последиците от инцидент. Оценката е основата на всички следващи решения: тя показва къде да се инвестира и кои рискове фирмата съзнателно приема. Добра отправна точка е IT одитът на фирмената инфраструктура.

4. Декларация за приложимост и план за третиране на риска

За всяка от 93-те мерки в Приложение А се посочва дали е приложима, защо и как е изпълнена. Планът за третиране показва какво още трябва да се направи, от кого и в какъв срок.

5. Политики, процедури и доказателства

Пишат се само документите, които са нужни и които хората реално ще следват. Сред задължителните са обхватът, политиката за сигурност, методиката и резултатите от оценката на риска, декларацията за приложимост, планът за третиране на риска, целите, резултатите от наблюдението, програмата и резултатите от вътрешния одит, прегледът от ръководството и записите за несъответствия и коригиращи действия.

6. Внедряване и обучение

Мерките започват да работят в ежедневието, а служителите преминават обучение. Одиторите търсят доказателства, че правилата се спазват, а не само че съществуват: дневници, отчети, протоколи и записи. Помага и добрата кибер хигиена във фирмата.

7. Вътрешен одит и преглед от ръководството

Преди сертификацията фирмата проверява сама себе си, отстранява пропуските и ръководството преглежда резултатите. Следва сертификационният одит от независим орган, който е на два етапа: първо се преглежда документацията, после се проверява дали системата реално работи.

Пример: как изглежда подготовката в средна фирма

Примерен сценарий: търговска фирма с 60 служители, два офиса, облачна поща и счетоводна система на собствен сървър. Голям клиент изисква сертификат по ISO 27001 до година.

• Обхват: продажбите, обслужването на клиенти и IT системите, които ги поддържат. Складът остава извън обхвата.
• Оценката на риска показва три големи пропуска: няма многофакторно удостоверяване, резервните копия на сървъра никога не са тествани, а няколко души ползват общ администраторски акаунт.
• Първите мерки са технически и се въвеждат за няколко седмици: многофакторно удостоверяване за всички, тест на възстановяването от резервно копие, лични администраторски акаунти и защита на устройствата.
• Паралелно се пишат политиките, провежда се обучение и се събират доказателства за 2-3 месеца работа.
• Вътрешният одит открива дребни несъответствия, които се отстраняват. Сертификационният одит минава около 9 месеца след началото.

Най-полезният резултат често не е самият сертификат, а това, че фирмата вече знае какво има, кой има достъп и как да се възстанови при срив.

Технически мерки, които най-често липсват

При подготовка за ISO 27001 организационната част обикновено е по-лесна от техническата. Фирмите най-често се затрудняват с:

• Опис на устройствата, акаунтите и системите, който е актуален, а не правен веднъж.
• Защита срещу зловреден софтуер на всички устройства (мярка 8.7 от Приложение А). Вижте и защитата от ransomware.
• Навременни обновления и работа с уязвимостите (мярка 8.8).
• Резервни копия, чието възстановяване се тества редовно (мярка 8.13), както и план за възстановяване при срив.
• Записване и наблюдение на събитията в системите (мерки 8.15 и 8.16).
• Сигурно удостоверяване и контрол на достъпа (мерки 8.5 и 5.15).

Техническа подготовка и помощ при одита за клиентите на абонаментна поддръжка

Голяма част от технологичните мерки в Приложение А са ежедневна IT работа. За фирмите на абонаментна поддръжка Хелпдеск България подготвя и привежда IT средата в техническо съответствие с ISO 27001: внедряваме мерките, поддържаме ги и подготвяме доказателствата за тях. Ако решите да се сертифицирате, помагаме ви и при одита. В абонамента са включени:

• Мониторинг на сървъри и работни станции 24/7.
• Антивирусни лицензи и защита на крайните устройства, а в план Професионален и EDR и SIEM за откриване и анализ на заплахи и записване на събития.
• Политики за резервни копия и възстановяване при срив.
• Управление на достъпа и акаунтите, включително многофакторно удостоверяване.
• Навременни обновления и отстраняване на уязвимости.
• Проследими заявки и месечен отчет, които служат и като доказателства за изпълнението на мерките.

Техническата подготовка, техническите консултации и помощта при одита по техническата част са включени в план Професионален. В план Стандартен техническите консултации се заплащат допълнително.

Организационната част - политиките, оценката на риска, обученията и вътрешният одит - е отговорност на фирмата, а сертификатът се издава от акредитиран сертифициращ орган. С техническата част и при одита сте с нас. Вижте какво включва всеки план на страницата за абонаментна компютърна поддръжка.

Вижте плановете | Заявете оферта

ISO 27001 и NIS2 (МИС 2)

Двете често се бъркат. NIS2 е законово задължение за фирмите в обхвата си, а ISO 27001 е доброволен стандарт. Мерките им силно се припокриват: оценка на риска, контрол на достъпа, резервни копия, реакция при инциденти и сигурност на доставчиците. Затова фирма с работеща система по ISO 27001 е значително по-подготвена за NIS2. Сертификатът обаче не означава автоматично съответствие с NIS2, защото законът има и свои изисквания, например сроковете за докладване на инциденти и отговорността на ръководството. Повече вижте в статията NIS2 (МИС 2) за фирми.

Чести въпроси

Какво е ISO 27001?

Международен стандарт за система за управление на информационната сигурност. Той изисква фирмата да управлява рисковете за информацията с подходящи мерки и да доказва, че те работят.

Задължителен ли е ISO 27001?

Не. Стандартът е доброволен. Фирмите го въвеждат заради изисквания на клиенти, търгове или за да подредят сигурността си.

Колко време отнема подготовката?

За средна фирма обикновено между 6 и 12 месеца. Срокът зависи от обхвата, от това колко мерки вече работят и от ангажимента на ръководството.

Колко струва сертификацията?

Зависи от обхвата, броя служители и сертифициращия орган. Освен одита има и вътрешни разходи: време на служителите, технически мерки и документация.

Колко време е валиден сертификатът?

Три години, с ежегоден надзорен одит. След това се прави повторна сертификация.

Може ли малка фирма да се сертифицира?

Да, стандартът е приложим за фирми от всякакъв размер. За малка фирма обаче често е по-разумно първо да въведе базовите технически мерки и да прецени дали клиентите ѝ реално изискват сертификат.

Помагате ли при сертификационния одит?

Да. За клиентите на абонаментна поддръжка подготвяме техническата част: мерките и техническите доказателства за тях, и сме до вас по време на одита. В план Професионален това е включено, а в план Стандартен техническите консултации се заплащат допълнително. Сертификатът се издава от акредитиран сертифициращ орган.

Материалът е информационен. Сертификат по ISO 27001 се издава само от акредитиран сертифициращ орган.