ISO/IEC 27001 — Система менеджмента информационной безопасности
Аудит ISO/IEC 27001 почти всегда начинается с одного документа — Положения о применимости. По нему аудитор прослеживает, какие меры Приложения A применены, почему какие-либо исключены и где находятся доказательства по каждой применённой мере; как только положение и практика расходятся, весь остальной аудит идёт по этому расхождению. Наша подготовка фиксирует область применения и реестр активов, связывает оценку и план обработки рисков с мерами и формирует Положение о применимости как результат этой цепочки, а не как форму, заполняемую в конце. Меры, введённые редакцией 2022 года, а также контроль поставщиков и облачных сервисов — там, где доказательств не хватает чаще всего.
Подготовка, которую ИТ-служба ведёт в одиночку, в аудите буксует: управление доступом, договоры с поставщиками и уведомление об инцидентах не дают доказательств, если они не выстроены вместе с кадровой службой, закупками и юристами.
Получить предложение-
Определение области применения (п. 4.3) и реестр активов (A.5.9)
-
Оценка рисков информационной безопасности и план обработки (п. 6.1.2, 6.1.3)
-
Положение о применимости (SoA) и обоснования
-
Внедрение мер Приложения A и доказательства
-
Отношения с поставщиками и гарантии облачных сервисов
-
Управление инцидентами ИБ и непрерывность деятельности
Запросите предложение по подготовке к аудиту
Определяем объём работ и готовим план и предложение с учётом сроков аудита и ваших потребностей.