Запрос «пришлите сертификат за ISO 27002» приходит в орган регулярно. Такого документа не существует — и причина здесь не бюрократическая, а структурная: в семье 27000 разные номера выполняют разные роли.
ISO 27001, серия 27000 и остальные номера: кто есть кто
| Номер | О чём | Выдают сертификат |
|---|---|---|
| 27000 | Словарь терминов и общий обзор семьи | нет |
| 27001 | Требования к системе управления информационной безопасностью (СУИБ) | да |
| 27002 | Наставка с мерами защиты | нет |
| 27003 | Наставка по построению СУИБ | нет |
| 27004 | Измерение и оценка результативности | нет |
| 27005 | Управление рисками | нет |
| 27006-1 | Требования к органам, проверяющим СУИБ | нет, по нему аккредитуют органы |
| 27017 и 27018 | Облачные меры и защита персональных данных | как расширение основного сертификата |
| 27701 | Управление приватностью (PIMS) | да |
Почему сертификат выдают только за 27001
В 27001 использовано формулирование «должен» — это требование, обязательное к выполнению. В 27002 преобладает «следует»: рекомендация, способ сделать лучше. Аудитор работает только с первым типом.
Что проверяет орган: 27001 и 27002 на одном аудите
- За 27001 оформляют заключение. Проверяют разделы 4–10 и те меры Приложения A, которые компания оставила в Положении о применимости (SoA).
- 27002 работает как толковый словарь. Когда возникает спор о назначении меры, обращаются к нему.
- Несоответствие всегда привязано к 27001. В формулировании будет пункт требований или строка SoA, а не страница наставки.
Три формулирования, которые орган не подтвердит
- «Сертифицированы за ISO 27002». Наставку не сертифицируют.
- «Сертифицированы за серией 27000». Семья охватывает десятки номеров с разными ролями.
- «У нас внедрены требования». Внедрение — внутреннее дело компании.
ISO 27001 кратко: пять строк
- Это требования к системе управления, а не техническое пособие.
- Сертифицируют систему в рамках объявленной области применения, а не компанию целиком.
- Обязательные разделы 4–10; меры Приложения A выбирают под собственные риски.
- Документ действует три года, пока проходят ежегодные надзорные аудиты.
- Выдать его может только аккредитованный орган.
Потрібна консультація? Оставьте заявку — разберём ваш случай и рассчитаем объём работ.