Сертификат соответствия ИСО 27001 по запросу

Сертификация ИСО 27001: система менеджмента информационной безопасности

Нужный документСертификат соответствия ИСО 27001

Стоимостьпо запросу

Время чтения7 мин

Оформляем такие документы регулярно — это наша ежедневная работа, а не разовый опыт
Берёмся за сложные проекты, от которых отказываются другие: нестандартная продукция, спорная классификация, зарубежное производство
Доводим до результата — до получения документа, а не до первого отказа
Собственный орган по сертификации, аттестат 11НК35
Цену и срок называем до начала работ, ответ в течение часа в рабочее время

Стоимость зависит от численности персонала, числа площадок и сложности процессов. Сертификация проводится в два этапа с последующими надзорными аудитами; срок действия документа три года.

Почему это стоит поручить нам

Проходим там, где отказали

К нам приходят после отказов в других органах и после остановки партии на таможне. Разбираем причину, исправляем доказательную базу и доводим до выдачи документа.

Сложная и нестандартная продукция

Оборудование единичного изготовления, спорная классификация, пересечение нескольких регламентов, зарубежные площадки с выездом экспертов — работаем с тем, что требует разбора, а не шаблона.

Отвечаем за результат

Называем реальный срок и цену до начала работ. Если по продукции документ не нужен — скажем прямо и оформим отказное письмо вместо лишнего сертификата.

Свой орган по сертификации

Аттестат аккредитации 11НК35. Не посредники: работы ведём сами, сроки зависят от нас, а не от цепочки подрядчиков.

Обсудить ваш проект

Обновлено 1 октября 2026 REDICO 8 239 знаков 5 мин чтения 12 разделов

Стандарт описывает систему управления информационной безопасностью: не набор технических средств, а процесс, в котором организация определяет свои информационные активы, оценивает риски для них и выбирает меры защиты, соразмерные этим рискам. Ключевая особенность — от организации не требуется внедрять все существующие меры: требуется обосновать, какие применяются и почему остальные не нужны. Этот выбор фиксируется в отдельном документе, который аудитор проверяет наиболее внимательно. Ниже — как устроен стандарт, чем он отличается от требований по защите персональных данных и что проверяют при сертификации.

Что охватывает стандарт

информационные активы во всех формах: электронные, бумажные, знания персонала;
процессы обработки информации;
доступ персонала и третьих сторон;
физическую безопасность помещений;
управление инцидентами;
непрерывность деятельности;
отношения с поставщиками услуг.

Оценка рисков и выбор мер

меры выбираются под риски, а не по списку;
стандарт содержит перечень мер, но не требует внедрять все;
для каждой неприменимой меры нужно обоснование;
допустимый уровень риска определяет руководство;
оценка пересматривается периодически и при изменениях.

Определите информационные активы и их владельцев.
Оцените ценность активов для организации.
Выявите угрозы и уязвимости для каждого актива.
Оцените вероятность и последствия реализации угроз.
Определите допустимый уровень риска.
Выберите меры обработки рисков.
Обоснуйте применимость и неприменимость мер из приложения к стандарту.
Составьте план обработки рисков.
Внедрите меры и оцените остаточный риск.

Как связаны регламенты, стандарты и ТУ

Отличие от требований по персональным данным

выполнение обязательных требований не означает соответствия стандарту;
и наоборот, сертификат не освобождает от обязательных требований;
области пересекаются, но не совпадают;
организация с сертификатом обычно проще проходит проверки;
работа над обоими направлениями объединяется по исходным данным.

Признак	Требования по персональным данным	Стандарт по информационной безопасности
Характер	Обязательные	Добровольный
Предмет	Персональные данные	Любая значимая для организации информация
Подход	Установленные меры по уровням защищённости	Меры под оценённые риски
Проверяющий	Надзорный орган	Орган по сертификации

Что проверяют при аудите

наличие и актуальность оценки рисков;
обоснованность положения о применимости;
фактическое внедрение заявленных мер;
записи об инцидентах и реагировании на них;
управление доступом и его пересмотр;
осведомлённость персонала;
результаты внутренних аудитов;
работу с поставщиками услуг.

Как проходит сертификация

система должна проработать до аудита, а не существовать на бумаге;
записи за период работы — основной предмет проверки;
внутренний аудит обязателен до внешнего;
несоответствия делятся на значительные и незначительные;
значительные препятствуют выдаче до устранения.

Разработка и внедрение системы на предприятии.
Работа системы в течение периода, достаточного для накопления записей.
Внутренний аудит и анализ со стороны руководства.
Подача заявки в орган по сертификации.
Первый этап аудита: анализ документации и готовности.
Второй этап: аудит на площадке с проверкой процессов.
Устранение выявленных несоответствий.
Выдача сертификата сроком на три года.
Ежегодные надзорные аудиты.
Ресертификация по истечении срока.

Добровольность и её последствия

сертификация систем менеджмента добровольна;
требование исходит от заказчиков, а не от закона;
в закупках наличие сертификата даёт баллы либо является условием допуска;
вес документа зависит от органа, его выдавшего;
сертификат неаккредитованного органа заказчики нередко не принимают;
проверять статус органа следует до заключения договора.

Что требует ИСО 27001

оценку рисков информационной безопасности;
выбор мер защиты;
политику информационной безопасности;
управление доступом;
управление инцидентами;
непрерывное улучшение.

Стоимость: по запросу

Цена зависит от конкретного изделия и объёма испытаний. Опишите товар — назовём точную сумму и срок до начала работ.

Ответ в течение часа в рабочее время

Подготовка к сертификации

определите область системы;
оцените риски;
разработайте политику и процедуры;
проведите внутренний аудит;
выберите орган.

Кому это нужно

ИТ-компаниям;
дата-центрам;
финансовым организациям;
поставщикам облачных услуг;
компаниям, работающим с данными клиентов.

Связь с законодательством

требования к защите персональных данных выполняются отдельно;
требования к критической информационной инфраструктуре — отдельно;
ИСО 27001 помогает выстроить процессы;
сертификат — аргумент для заказчиков;
проверки регуляторов проходят по своим правилам.

Сроки и стоимость

зависят от области системы;
от численности персонала;
от числа площадок;
от зрелости процессов;
надзорные аудиты ежегодно.

Что входит в документацию системы

область применения;
политика информационной безопасности;
оценка и обработка рисков;
заявление о применимости мер;
записи об инцидентах и аудитах.

Частые вопросы

Что охватывает стандарт?

Информационные активы во всех формах, процессы обработки, доступ, физическую безопасность, инциденты, непрерывность и отношения с поставщиками.

Нужно ли внедрять все меры из стандарта?

Нет: меры выбираются под оценённые риски, а для неприменимых требуется обоснование.

Что такое положение о применимости?

Документ, показывающий, какие меры применяются и почему остальные не нужны; аудитор изучает его первым.

Заменяет ли сертификат выполнение требований по персональным данным?

Нет, это разные области: обязательные требования и добровольный стандарт пересекаются, но не совпадают.

Что проверяют при аудите?

Оценку рисков, обоснованность выбора мер, их фактическое внедрение, записи об инцидентах, управление доступом, осведомлённость персонала.

Читает ли аудитор политики?

Он проверяет, выполняется ли написанное: именно это отличает работающую систему от документированной.

Как проходит сертификация?

В два этапа: анализ документации и аудит на площадке, затем выдача сертификата на три года с ежегодными надзорными аудитами.

Можно ли сертифицировать систему сразу после внедрения?

Нет: аудитор проверяет записи о работе системы за период, и предъявить их только что внедрённая система не может.

Обязательна ли сертификация?

Нет, она добровольна; требование обычно исходит от заказчиков и условий закупок.

От чего зависит вес сертификата?

От органа, его выдавшего: документы неаккредитованных органов заказчики нередко не принимают.

Обязательна ли сертификация ИСО 27001?

Нет, это добровольный стандарт.

Заменяет ли ИСО 27001 требования законодательства о защите информации?

Нет, требования законодательства выполняются отдельно.

Сколько действует сертификат?

Обычно три года с надзорными аудитами.

Нужна ли ИСО 27001 для работы с персональными данными?

Не обязательно, но система помогает выполнять требования.

Кто может сертифицировать?

Органы систем добровольной сертификации.

Можно ли совместить ИСО 27001 с ISO 9001?

Да, в интегрированной системе.

Нужна ли ИСО 27001 для малого бизнеса?

Это добровольный выбор; малому бизнесу она полезна при работе с крупными заказчиками.

Есть ли российский аналог стандарта?

Да, ГОСТ Р ИСО/МЭК 27001.

Обязательна ли ИСО 27001 для обработки персональных данных?

Нет, требования к защите персональных данных установлены законом, а ИСО 27001 — добровольный инструмент их системного выполнения.

Бесплатная консультация

Разберём ваш случай

Опишите товар и задачу — определим, какой документ нужен по техрегламентам, подберём схему подтверждения соответствия и назовём срок и стоимость до начала работ.

Проверим, попадает ли товар под технические регламенты
Подберём схему и состав испытаний под ваш код ТН ВЭД
Скажем срок и стоимость до начала работ
Проверим документы поставщика в реестре — без оплаты