ISO/IEC 27001:2013 "Системы обеспечения информационной безопасности"

Под информационной безопасностью понимается защищенность информационной системы от случайного или преднамеренного вмешательства, наносящего ущерб владельцам или пользователям информации.

На практике важнейшими являются три аспекта информационной безопасности:

- доступность (возможность за разумное время получить требуемую информационную услугу);

- целостность (актуальность и непротиворечивость информации, ее защищенность от разрушения и несанкционированного изменения);

- конфиденциальность (защита от несанкционированного прочтения).

Нарушения доступности, целостности и конфиденциальности информации могут быть вызваны различными опасными воздействиями на информационные компьютерные системы.

ISO (Международная организация по стандартизации) и IEC (Международная электротехническая комиссия) образуют специализированную систему всемирной стандартизации. Национальные органы, являющиеся членами ИСО или МЭК, участвуют в разработке международных стандартов через технические комитеты, созданные соответствующей организацией для работы в конкретных областях технической деятельности. Технические комитеты ИСО и МЭК сотрудничают в областях, представляющих взаимный интерес. Другие международные организации, правительственные и неправительственные, во взаимодействии с ИСО и МЭК также принимают участие в работе.          В области информационных технологий ISO и IEC создали совместный технический комитет ISO/IEC JTC 1.

Международные стандарты разрабатываются в соответствии с правилами, изложенными в Директивах ИСО/МЭК, Часть 2.

Основной задачей объединенного технического комитета является подготовка международных стандартов. Проекты международных стандартов, принятые объединенным техническим комитетом, рассылаются национальным органам для голосования. Публикация в качестве международного стандарта требует одобрения не менее чем 75 % национальных органов, принимающих участие в голосовании.

Обращаем внимание на возможность того, что некоторые элементы этого документа могут быть предметом патентных прав. ISO и IEC не несут ответственности за идентификацию каких-либо или всех таких патентных прав.

ISO/IEC 27001 был подготовлен Объединенным техническим комитетом ISO/IEC JTC 1 "Информационные технологии", Подкомитетом SC 27 "Методы безопасности ИТ" .

Это второе издание отменяет и заменяет первое издание ( ISO/IEC 27001:2005 ), которое было технически пересмотрено.

Настоящий международный стандарт устанавливает требования к созданию, внедрению, поддержке и постоянному совершенствованию системы управления информационной безопасностью в контексте организации. Настоящий международный стандарт также включает требования к оценке и обработке рисков информационной безопасности с учетом потребностей организации. Требования, изложенные в настоящем стандарте, являются общими и предназначены для применения ко всем организациям, независимо от их типа, размера или характера. 

Внедрение серии стандартов в деятельность организации будет способствовать безопасности таких данных, как финансовая информация, интеллектуальная собственность, сведения о сотрудниках или информация, предоставленная третьими сторонами.

Выгоды от внедрения системы информационной безопасности:

• защищенная информация во всех формах, включая бумажные, облачные и цифровые данные;
• повышение устойчивости к кибератакам;
• поможет создать централизованно управляемую структуру, которая обеспечит безопасность всей информации в одном месте;
• обеспечит защиту в масштабах всей организации, в том числе от технологических рисков и других угроз;
• позволит своевременно реагировать  на возникающие угрозы безопасности;
• сократит расходы на неэффективные оборонные технологии;
• защитит целостность, конфиденциальность и доступность данных.

ISO/IEC 27001:2013 является одним из наиболее известных стандартов данной серии, отвечающим требованиям систем управления информационной безопасностью (ISMS).

Существует более десятка стандартов серии 27000, которые можно найти приобрести в интернет-библиотеках.

Сертификация по ISO/IEC 27001

Как  и другие стандарты системы менеджмента ISO, сертификация ISO/IEC 27001 является возможной, но не обязательной. Некоторые организации предпочитают применять стандарты в целях получения выгод от внедрения лучших практик, в то время как другие компании получают сертификаты для удовлетворения ожиданий клиентов.

По страницам ресурса ИСО

Людмила Циновкина, консультант, руководитель семинаров и тренингов по системам менеджмента ISO 9001:2015, ISO 14001:2015, ISO 45001:2018 Европейского фонда менеджмента качества (EFQM)