Коли партнер просить «надіслати ISO 27001», за одним рядком листування ховаються три різні речі: сам стандарт, побудована за ним система керування інформаційною безпекою та паперовий результат аудиту. Плутанина між ними коштує компаніям місяців роботи в хибному напрямку. Розкладаємо все з боку органу сертифікації — того, хто врешті ухвалює рішення про видачу сертифіката.
ISO 27001 — це стандарт, а не сертифікат
Перед нами документ із вимогами. Він описує будову системи керування інформаційною безпекою (СУІБ): як компанія визначає ризики, обирає заходи захисту, перевіряє їхню дієвість і виправляє хиби. Купити або «встановити» стандарт неможливо — за ним будують систему.
Ланцюжок має три ланки:
- Стандарт — вимоги, однакові для всіх.
- СУІБ — власна система компанії, побудована під її ризики й оголошену сферу застосування.
- Сертифікат — висновок незалежного органу про відповідність системи вимогам.
Сама Міжнародна організація зі стандартизації лише публікує документи, а перевірку виконують органи, акредитовані за ISO/IEC 17021-1. Imperium Certific акредитований Національним агентством з акредитації України, атестат № 8О007, і є підписантом угоди IAF MLA — тож видані нами сертифікати визнають у понад 40 країнах.
Що таке ISO 27001: повна назва й чинна редакція
Офіційне визначення ISO 27001 закріплене в заголовку самого документа: «Інформаційна безпека, кібербезпека та захист конфіденційності. Системи керування інформаційною безпекою. Вимоги». Позначення ISO/IEC 27001 — це вказівка на двох співавторів: Міжнародну організацію зі стандартизації та Міжнародну електротехнічну комісію.
В Україні діє ідентичний переклад — ДСТУ ISO/IEC 27001:2023. Чинна редакція першоджерела — 2022 року. Трирічний перехід із видання 2013-го завершився 31 жовтня 2025-го, тому сертифікати за старою редакцією вже втратили силу, а матеріали з переліком «114 заходів у 14 розділах» застаріли. У лютому 2024-го додано поправку Amd 1 про врахування кліматичних змін серед зовнішніх чинників — перелік заходів безпеки вона залишила без змін.
У пошуку номер часто набирають кирилицею. ІСО 27001 — це те саме позначення, просто транслітероване; окремого українського стандарту з такою назвою немає.
Будову документа й перелік заходів безпеки детально розібрано на сторінці послуги сертифікація ISO 27001.
Кому потрібна сертифікація
Українське законодавство залишає цю процедуру добровільною. Попит майже завжди зовнішній: підтвердження просять ті, хто довіряє вам свої дані. Коли в тендерній документації або в договорі стоїть рядок «ISO 27001», що це означає на практиці: постачальник мусить показати чинний сертифікат акредитованого органу, а не власну політику безпеки.
Типові приводи звернутися:
- Умова договору. Замовник вписує чинний сертифікат як підставу для співпраці або продовження контракту.
- Тендер. У закупівлях ЄС і NATO підтверджена СУІБ часто входить до кваліфікаційних критеріїв.
- Материнська компанія чи інвестор. Групова політика безпеки поширюється на всі підрозділи.
- Вихід на новий ринок. Європейському клієнту простіше прийняти визнаний документ, ніж вивчати вашу внутрішню документацію.
- Наслідки інциденту. Після витоку ринок вимагає доказ керованості, а не обіцянок.
- Оцінювання кіберризиків. Страховик або банк переглядає умови для клієнта з підтвердженою системою.
- Хмарні послуги. Провайдери розширюють сферу сертифікації контролями 27017 та 27018.
Галузевий зріз — ІТ, фінанси, телеком, медицина, державні підприємства — наведено на сторінці послуги.
Як проходить процедура: погляд органу
Послідовність однакова для всіх акредитованих органів, оскільки її задає 17021-1. Повний опис — на сторінці процес сертифікації, нижче — короткий погляд із боку аудиторської групи.
| Крок | Робота органу | Головне рішення |
|---|---|---|
| Заявка | Аналіз сфери застосування, кількості локацій і працівників | Обсяг аудиту в людино-днях |
| Етап 1 | Перевірка документів: політика, оцінювання ризиків, Положення про застосовність | Готовність до другого етапу |
| Етап 2 | Перевірка роботи системи на місці: докази, записи, обізнаність персоналу | Перелік невідповідностей |
| Рішення | Розгляд звіту фахівцем поза аудиторською групою | Видача сертифіката |
| Нагляд | Щорічні наглядові аудити, ресертифікація на третій рік | Збереження чинності |
Наглядовий аудит охоплює меншу вибірку, ніж сертифікаційний, але щоразу перевіряє внутрішні аудити, аналіз з боку керівництва, роботу зі скаргами й правильність використання знака сертифікації.
Найсильніше на строк і вартість впливають три речі: розмір оголошеної сфери застосування, кількість майданчиків і зрілість системи на старті. Компанія, яка вже рік веде реєстр ризиків і проводить внутрішні аудити, проходить перевірку помітно швидше за ту, де документи народилися напередодні.
Окремо про невідповідності: їх виявлення відмовою не є. Критичні хиби закривають до ухвалення рішення, другорядні — за узгодженим планом коригувальних дій.
Три помилки, помітні органу з першого дня
- Сфера застосування «вся компанія». Найширші межі виглядають солідно, але тягнуть за собою всі майданчики, усі системи й усі підрозділи. Межу варто проводити там, де закінчується реальний контроль.
- Документи є, записів немає. Політика, підписана напередодні аудиту, доказом роботи системи не стає. Аудитор шукає сліди за кілька місяців: журнали, протоколи, звіти внутрішніх перевірок, аналіз з боку керівництва.
- Внутрішній аудит виконав автор системи. Перевіряти власну роботу неможливо за визначенням. Потрібен незалежний виконавець усередині компанії або зовнішній фахівець, не причетний до побудови СУІБ.
Що написано в сертифікаті і як його перевірити
Найважливіший рядок — зовсім не реквізити, а сфера застосування. Саме вона окреслює межі перевіреного: конкретні послуги, майданчики, підрозділи. Документ на один офіс розробки не поширюється на всю групу компаній, хоча логотип на бланку однаковий. Тому, отримавши сертифікат від контрагента, читайте передусім цей рядок.
Мінімальний набір реквізитів:
- юридична назва власника;
- сфера застосування;
- номер стандарту з роком редакції — ISO/IEC 27001:2022;
- дати видачі й завершення трирічного циклу;
- назва органу сертифікації та знак акредитації.
Перевірити чинність можна двома шляхами: у реєстрі сертифікатів органу та в переліку акредитованих органів на сайті НААУ. Трапляються й бланки без знака акредитації — їх видають неакредитовані компанії, і для більшості замовників такий папір доказом відповідності не є.
Чого сертифікація не робить
Межі корисно позначити одразу — вони економлять розчарування:
- Гарантії від інцидентів немає. Аудит підтверджує керованість процесів, а не невразливість інфраструктури.
- Законодавство лишається чинним. Вимоги до захисту персональних даних діють незалежно від наявності сертифіката.
- Покриття обмежене сферою застосування. Поза оголошеними межами перевірки просто не було.
- Консалтинг у комплект не входить. Стандарт 17021-1 забороняє органу проєктувати систему клієнта: писати політики чи оцінювати ризики замість нього. Загальні навчальні програми поясненням вимог консалтингом не вважаються, а готові документи «під ключ» — вважаються.
Найкращий момент для звернення до органу — коли система вже працює кілька місяців і має записи: результати внутрішніх аудитів, аналіз з боку керівництва, історію оброблення ризиків. Саме записи, а не теки з політиками, стають доказовою базою на другому етапі.
Готові розпочати? Подайте заявку на сертифікацію — ми проаналізуємо сферу застосування й розрахуємо обсяг аудиту.