Разработка, внедрение и сопровождение сертификации систем менеджмента информационной безопасности (СМИБ)

СМИБ нужно внедрять, если:

Компания оказывает услуги, связанные с обработкой критической клиентской информации (IT-компании, сервис провайдеры, банки, телекоммуникационные компании, разработчики ПО.
Компания выходит на международный рынок и/или активно взаимодействует с международными партнерами.
Компания работает на конкурентном рынке, где сертификат ISO/IEC 27001 добавляет преимуществ.

Цели внедрения СМИБ

Построение надёжной системы обеспечения информационной безопасности:

Получение конкурентного преимущества: обеспечение доверия инвесторов, создание новых возможностей для бизнеса

Повышение лояльности клиентов, обеспечение требований заказчиков, клиентов и партнёров

Соблюдение договорных и правовых требований

Внедрение СМИБ в соответствии со стандартом СТБ ISO/IEC 27001 основывается на PDCA модели:

Plan (планирование) — фаза создания СМИБ, создание перечня активов, оценки рисков и выбора мер.
Do (действие) — этап реализации и внедрения соответствующих мер.
Check (проверка) — фаза оценки эффективности и производительности СМИБ. Обычно выполняется внутренними аудиторами.
Act (улучшения) — выполнение превентивных и корректирующих действий.

Общая схема СМИБ:

Этапы работ

Аудит ИБ и планирование СМИБ

Разработка проекта по внедрению СМИБ: Первичный аудит и GAP анализ. Определение области применения СМИБ. Определение подходов к управлению активами. Планирование управления рисками – методика и инструментарий. Разработка плана управления рисками.
Внедрение СМИБ:

Управление документированной информацией СМИБ. Разработка и внедрение политики информационной безопасности. Внедрение управления активами, классификация информации. Внедрение ИБ в управлении персоналом. Обеспечение управлением доступом (доступ к системам и приложениям, управление правами пользователей). Обеспечение физической безопасности. Обеспечение информационной безопасности в период эксплуатации (антивирусная защита, резервное копирование, мониторинг и др.). Обеспечение сетевой безопасности. Обеспечение информационной безопасности при разработке и обслуживании информационных систем. Обеспечение информационной безопасности в отношениях с поставщиками. Внедрение управления инцидентами ИБ. Управление непрерывностью бизнеса. Обеспечение соответствия законодательным и договорным требованиям, интеллектуальная собственность.
Запуск СМИБ:

Управление целями в области ИБ, практическое лидерство руководства организации. Разработка и внедрение системы метрик ИБ. Проведение внутренних аудитов информационной безопасности. Проведение тренингов, создание культуры ИБ в организации. Анализ со стороны руководства.
Управление рисками ИБ:

Управление рисками ИБ:
Сертификация СМИБ согласно ISO 27001:

Выбор сертифицирующего органа. Закрытие несоответствий. Прохождение последующих аудитов.
Интеграция с другими системами менеджмента:

Интеграция СМИБ и СМК (ИСО 27001 + ИСО 9001). Интеграция с другими системами менеджмента.

Каких результатов ожидать

В результате прохождения процедуры сертификации СМИБ по стандарту ISO/IEC 27001 компания может показать партнерам и всем заинтересованным сторонам, что она обеспечивает конфиденциальность, целостность и безопасный доступ к своим информационным данным, руководствуясь при этом лучшими мировыми практиками.

Наличие международного сертификата ISO/IEC 27001 позволит участвовать или станет дополнительным преимуществом перед другими участниками тендерных закупок, поможет привлечь внимание инвесторов.

Внедрение СМИБ позволит: