Сертификат ИСО 27001 (ISO 27001) системы менеджмента информационной безопасности

Разработка документации и документированных процедур, предъявляемых при оценке производства, включает:

• Область действия системы управления информационной безопасностью;
• Политика информационной безопасности;
• Цели информационной безопасности;
• Методика оценки и обработки рисков;
• Положение о применимости;
• План обработки рисков;
• Отчет об оценке рисков;
• Определение ролей и обязанностей в области безопасности;
• Реестр активов;
• Приемлемое использование активов;
• Политика контроля доступа;
• Рабочие процедуры для ИТ-управления;
• Принципы безопасной разработки систем;
• Политика безопасности в отношении поставщиков;
• Процедура управления инцидентами;
• Процедуры непрерывности бизнеса;
• Требования законодательства, нормативных документов, контрактов;
• Проверку и/или подготовку обязательных записей: записи об обучении, навыках, опыте и квалификациях; результаты мониторинга и измерений; программа внутреннего аудита; результаты внутренних аудитов; результаты анализа со стороны руководства; результаты корректирующих действий; журналы регистрации действий пользователей.

Итоговый перечень документов может определяться в соответствии с особенностями документации сертифицируемой организации, изменениями и требованиями стандарта, а также в связи с требованиями органа по сертификации. Итоговый перечень разрабатываемых документов согласовывается с организацией-заказчиком услуг и закрепляется заключаемым договором.

В качестве дополнительных услуг по отдельному коммерческому предложению могут быть разработаны иные документированные процедуры, политики и прочие документы в рамках действия СМИБ.

Сопровождение процедуры сертификации СМИБ включает:

• Оформление заявки на сертификацию, утверждение области сертификации;
• Сопровождение документарной оценки соответствия требованиям;
• Устранение выявленных несоответствий требованиям стандарта.

Стоимость услуг по разработке документации и документированных процедур, предъявляемых при оценке производства, а также сопровождение процедуры сертификации СМИБ – от 100 тыс. руб.

Для информации: средняя стоимость сертификации (органом по сертификации) в зависимости от ряда показателей составляет от 100 тыс. руб.

Разработка документации и документированных процедур, предъявляемых при оценке производства – от 20 дней.

Сопровождение процедуры сертификации СМИБ в зависимости от загрузки органа по сертификации – как правило, до 1 месяца с момента подачи заявки.

В среднем, процедура сертификации с момента разработки документации до момента получения сертификата составляет 1-2 мес.

Внедрение СМИБ является стратегическим решением организации. На проектирование и внедрение СМИБ в организации влияют ее потребности и цели, требования безопасности, используемые процессы, а также масштабы деятельности и структура организации.

В частности, данный сертификат нужен для организаций:

• действительно заинтересованных в собственной информационной безопасности;
• предоставляющих удаленные рабочие места своим сотрудникам;
• оказывающих информационные и прочие услуги, при которых велика вероятность утечки информации и велика тяжесть последствий при таких событиях;
• при участии организации в коммерческих и/или международных (иностранных) тендерах, при указании в тендерной документации требований о наличии в организации действующей СМИБ;
• при участии организации в государственном или муниципальном заказе работ/услуг, проводимого конкурсным путем, в составе тендерной заявки, при указании в тендерной документации требований о наличии в организации действующей СМИБ.

Часто органы по сертификации предлагают сертификаты СМК стоимостью порядка 30 тыс. руб. Как правило, данную стоимость устанавливают органы, не заботящиеся о своем имидже и выдающие сертификаты соответствия любым организациям даже без проведения сертификационного аудита, не говоря уже об отсутствующей документации, либо предлагая принять в организации шаблонные документы низкого уровня проработки.

Часто такие органы просто пропадают или внезапно лишаются своей аккредитации. А что если такое случится накануне тендера? Так же большинству государственных заказчиков и крупным компаниям известны органы по сертификации, действительно отвечающие за выданные ими сертификаты. Обычно такие заказчики проводят собственные аудиты своих поставщиков, на которых вскрываются совсем неудобные моменты.

Деловую репутацию можно потерять один раз за короткий миг, а вот вернуть утраченное доверие под силу немногим.