Сертификат соответствия ИСО 27001 по запросу

Сертификация ИСО 27001: система менеджмента информационной безопасности

Сертификация ИСО 27001 оценивает систему управления информационной безопасностью: не набор технических средств, а процесс, в котором организация определяет информационные активы, оценивает риски и выбирает соразмерные меры защиты. Ключевая особенность — от организации не требуется внедрять все существующие меры: требуется обосновать, какие применяются и почему остальные не нужны. Этот выбор фиксируется в отдельном документе, который аудитор проверяет наиболее внимательно. Ниже — как устроен стандарт, чем он отличается от требований по защите персональных данных и что проверяют при сертификации.

Короткий ответ

Сертификация ИСО 27001 подтверждает, что в организации работает система управления информационной безопасностью: активы определены, риски оценены, меры защиты соразмерны рискам. Внедрять все меры стандарта не обязательно, но отказ от каждой обосновывают в положении о применимости — его аудитор изучает первым. Соответствие стандарту и выполнение требований по персональным данным — разные вещи.

Нужный документСертификат соответствия ИСО 27001

Стоимостьпо запросу

Время чтения9 мин

Начинаем с идентификации — рассматриваем состав, назначение и характеристики продукции
Уточняем применимые требования и форму оценки для конкретной продукции
Проверяем доказательства и согласуем состав работ после анализа исходных данных
Подготовка документов и испытания определяются выбранной формой и схемой
Состав работ, цену и срок согласуем после рассмотрения продукции

Стоимость зависит от численности персонала, числа площадок и сложности процессов. Сертификация проводится в два этапа с последующими надзорными аудитами; срок действия документа три года.

Почему это стоит поручить нам

Разбор причин несоответствия

При замечаниях к документам сначала сопоставляем продукцию, применимые требования и доказательства. Возможность оформления зависит от результатов этой проверки.

Сложная и нестандартная продукция

Для нестандартной продукции обсуждаем характеристики, состав, назначение, особенности производства и применимые требования.

Согласование работ

После идентификации определяем, требуется ли подтверждение соответствия и в какой форме. Отсутствие обязательного документа не означает, что любой товар требует отказное письмо.

Форма и схема оценки

Участие заявителя, лаборатории и органа по оценке соответствия определяется применимыми требованиями и выбранной схемой. Состав участников и работ уточняется для конкретной продукции.

Обсудить ваш проект

Обновлено 16 октября 2026 REDICO 11 187 знаков 9 мин чтения 14 разделов

Что охватывает стандарт

информационные активы во всех формах: электронные, бумажные, знания персонала;
процессы обработки информации;
доступ персонала и третьих сторон;
физическую безопасность помещений;
управление инцидентами;
непрерывность деятельности;
отношения с поставщиками услуг.

Оценка рисков и выбор мер

меры выбираются под риски, а не по списку;
стандарт содержит перечень мер, но не требует внедрять все;
для каждой неприменимой меры нужно обоснование;
допустимый уровень риска определяет руководство;
оценка пересматривается периодически и при изменениях.

Определите информационные активы и их владельцев.
Оцените ценность активов для организации.
Выявите угрозы и уязвимости для каждого актива.
Оцените вероятность и последствия реализации угроз.
Определите допустимый уровень риска.
Выберите меры обработки рисков.
Обоснуйте применимость и неприменимость мер из приложения к стандарту.
Составьте план обработки рисков.
Внедрите меры и оцените остаточный риск.

Как связаны регламенты, стандарты и ТУ

Отличие от требований по персональным данным

выполнение обязательных требований не означает соответствия стандарту;
и наоборот, сертификат не освобождает от обязательных требований;
области пересекаются, но не совпадают;
организация с сертификатом обычно проще проходит проверки;
работа над обоими направлениями объединяется по исходным данным.

Признак	Требования по персональным данным	Стандарт по информационной безопасности
Характер	Обязательные	Добровольный
Предмет	Персональные данные	Любая значимая для организации информация
Подход	Установленные меры по уровням защищённости	Меры под оценённые риски
Проверяющий	Надзорный орган	Орган по сертификации

Что проверяют при аудите

наличие и актуальность оценки рисков;
обоснованность положения о применимости;
фактическое внедрение заявленных мер;
записи об инцидентах и реагировании на них;
управление доступом и его пересмотр;
осведомлённость персонала;
результаты внутренних аудитов;
работу с поставщиками услуг.

Как проходит сертификация

система должна проработать до аудита, а не существовать на бумаге;
записи за период работы — основной предмет проверки;
внутренний аудит обязателен до внешнего;
несоответствия делятся на значительные и незначительные;
значительные препятствуют выдаче до устранения.

Разработка и внедрение системы на предприятии.
Работа системы в течение периода, достаточного для накопления записей.
Внутренний аудит и анализ со стороны руководства.
Подача заявки в орган по сертификации.
Первый этап аудита: анализ документации и готовности.
Второй этап: аудит на площадке с проверкой процессов.
Устранение выявленных несоответствий.
Выдача сертификата сроком на три года.
Ежегодные надзорные аудиты.
Ресертификация по истечении срока.

Добровольность и её последствия

сертификация систем менеджмента добровольна;
требование исходит от заказчиков, а не от закона;
в закупках наличие сертификата даёт баллы либо является условием допуска;
вес документа зависит от органа, его выдавшего;
сертификат неаккредитованного органа заказчики нередко не принимают;
проверять статус органа следует до заключения договора.

Что требует ИСО 27001

оценку рисков информационной безопасности;
выбор мер защиты;
политику информационной безопасности;
управление доступом;
управление инцидентами;
непрерывное улучшение.

Подготовка к сертификации

определите область системы;
оцените риски;
разработайте политику и процедуры;
проведите внутренний аудит;
выберите орган.

Стоимость: по запросу

Для расчёта нужны характеристики продукции, применимые требования и объём испытаний. Стоимость и срок согласуем после рассмотрения этих данных.

Расчёт после рассмотрения продукции

Кому это нужно

ИТ-компаниям;
дата-центрам;
финансовым организациям;
поставщикам облачных услуг;
компаниям, работающим с данными клиентов.

Связь с законодательством

требования к защите персональных данных выполняются отдельно;
требования к критической информационной инфраструктуре — отдельно;
ИСО 27001 помогает выстроить процессы;
сертификат — аргумент для заказчиков;
проверки регуляторов проходят по своим правилам.

Сроки и стоимость сертификации по ИСО 27001

зависят от области системы;
от численности персонала;
от числа площадок;
от зрелости процессов;
надзорные аудиты ежегодно.

Что входит в документацию системы

область применения;
политика информационной безопасности;
оценка и обработка рисков;
положение о применимости;
записи об инцидентах и аудитах.

Какая редакция стандарта действует и как её указывать

Действующая редакция стандарта — третья, опубликована в октябре 2022 года. К ней вышла поправка 2024 года об изменениях, связанных с климатом, поэтому ссылаться нужно на ISO/IEC 27001:2022 с учётом поправки.

в договоре и сертификате используйте полное обозначение, а не просто «ИСО 27001»;
уточните у органа по сертификации, по какой редакции и с какой поправкой идёт аудит;
проверьте, что положение о применимости составлено по актуальному приложению стандарта;
при ресертификации сравните прежние документы с действующей редакцией.

Вопросы органу по сертификации перед заключением договора

Есть ли у органа аккредитация на сертификацию систем менеджмента информационной безопасности.
Какая область сертификации будет указана в сертификате.
Какие площадки и процессы войдут в аудит.
Как проводятся надзорные аудиты и что считается значительным несоответствием.
Принимают ли ваши заказчики сертификаты именно этого органа.

Частые вопросы

Кто определяет допустимый уровень риска при внедрении ИСО 27001?

Руководство организации. Меры защиты выбирают под оценённые риски, а не по готовому списку из стандарта, поэтому уровень допустимого риска задаёт именно оно. Оценку рисков пересматривают периодически и при изменениях, а владельцев информационных активов назначают в самом начале работы. Нужно также определить ценность каждого актива.

Входят ли бумажные документы и знания сотрудников в область ИСО 27001?

Да, информационные активы рассматривают во всех формах: электронные, бумажные и знания персонала. Утечка через распечатку или уволившегося сотрудника не лучше утечки через сеть. Кроме того, в область входят физическая безопасность помещений, доступ третьих сторон, непрерывность деятельности и отношения с поставщиками услуг.

Освобождает ли сертификат ИСО 27001 от требований к защите персональных данных?

Нет, и обратное тоже неверно. Требования по персональным данным обязательны, их соблюдение проверяет надзорный орган, а меры устанавливаются по уровням защищённости. Стандарт добровольный, охватывает любую значимую информацию и опирается на оценку рисков. Области пересекаются, поэтому инвентаризацию активов и оценку рисков удобно проводить сразу для обоих направлений.

Достаточно ли иметь политику информационной безопасности, чтобы пройти аудит?

Нет. Аудитор не читает политику ради текста, а проверяет, выполняется ли написанное. Он смотрит на записи об инцидентах, пересмотр прав доступа, осведомлённость персонала, результаты внутренних аудитов и работу с поставщиками. Положение о применимости при этом должно быть обоснованным, а заявленные меры реально внедрёнными.

Из каких шагов состоит оценка рисков по ИСО 27001?

Сначала определяют активы и их владельцев и оценивают их ценность. Затем выявляют угрозы и уязвимости, оценивают вероятность и последствия, определяют допустимый уровень риска и выбирают меры. Завершают работу обоснованием применимости и неприменимости мер из приложения к стандарту и планом обработки рисков.

Можно ли получить сертификат ИСО 27001 сразу после внедрения системы?

Нет. Основной предмет проверки — записи за период работы системы, а только что внедрённая система таких записей не имеет. До внешнего аудита обязателен внутренний. Значительные несоответствия препятствуют выдаче сертификата, пока не будут устранены, а выдают его на три года. Орган по сертификации заказчики нередко проверяют по международным базам.

Зачем бизнесу сертификат ИСО 27001, если он добровольный?

Требование обычно исходит от крупных заказчиков, которые часто просят его у подрядчиков. В закупках наличие сертификата даёт баллы или служит условием допуска. Вес документа зависит от выдавшего его органа: сертификаты неаккредитованных органов нередко не принимают, поэтому статус органа проверяют до заключения договора.

Что такое положение о применимости в ИСО 27001?

Это документ, в котором организация обосновывает, какие меры из приложения к стандарту применяются и почему остальные не нужны. Внедрять все меры не обязательно, но для каждой неприменимой меры нужно обоснование. Аудитор изучает этот документ первым: он показывает, что организация думала о каждой мере, а не выбирала удобные. Положение составляют по актуальному приложению действующей редакции стандарта.

Сколько стоит и сколько длится сертификация по ИСО 27001?

Стоимость и сроки зависят от области системы, численности персонала, числа площадок и зрелости процессов. Узкая область системы снижает стоимость сертификации. Реальный срок проекта определяет период работы системы: аудитор проверяет записи, и внедрённая неделю назад система их не предъявит. Сертификат выдают на три года, затем проводят ежегодные надзорные аудиты и ресертификацию по истечении срока.

Кому нужен сертификат ИСО 27001?

Прежде всего ИТ-компаниям, дата-центрам, финансовым организациям, поставщикам облачных услуг и компаниям, работающим с данными клиентов. Крупные заказчики часто требуют ИСО 27001 от подрядчиков. Сертификация добровольна: требование исходит от заказчиков, а не от закона. В закупках наличие сертификата даёт баллы либо является условием допуска. Вес документа зависит от органа, который его выдал.

Расчёт по вашему товару

Не уверены, готова ли ваша организация к сертификации ИСО 27001?

Отправьте специалистам REDICO описание товара, назначение, состав или характеристики и код ТН ВЭД. Проверим требования и предложим вариант оформления.

Что будет в ответе

Предварительный перечень необходимых документов
Сколько документов потребуется и можно ли объединить модели и артикулы
Требования к испытаниям и образцам
Из чего складывается стоимость, этапы и ориентировочные сроки

Окончательный состав зависит от характеристик продукции и полноты исходных данных.