Требования к оценке эффективности изложены в разделе 9.1 основной части стандарта. Цель оценки – проверить, что внедренные контроли и средства защиты действительно работают.

Тимофей Крылов

Консультант отдела методологии и практик управления кибербезопасностью Infosecurity

Содержание

Шаг 6. Провести оценку эффективности и внутренний аудит.
Оценка эффективности процессов ИБ
Проведение внутренних аудитов ИБ
Управление несоответствиями и корректирующими действиями
Шаг 7. Предоставить отчет о функционировании СУИБ руководству.
Шаг 8. Пройти сертификационный аудит на соответствие ISO/IEC 27001.
Читайте также

О чем этот гайд. Внедрение сертификата ISO/IEC 27001 – тема обширная и непростая. До сертификационного аудита нужно пройти восемь шагов, и каждый требует отдельного разбора. Материала получилось много, поэтому мы разделили гайд на три части:Часть 1. Основы стандарта, область действия и роли (шаги 1–2)Часть 2. Оценка рисков, документация и внедрение контролей (шаги 3–5)Часть 3. Оценка эффективности, аудиты и сертификация (шаги 6–8) – вы читаете эту частьНумерация шагов сквозная: эта часть начинается с шага 6. Если вы еще не читали предыдущие части, лучше начать с них.

Шаг 6. Провести оценку эффективности и внутренний аудит

✔ Оценка эффективности процессов ИБ

Оценку эффективности нужно проводить регулярно, не реже одного раза в год. Стандарт требует не просто «мониторить», а определить, что именно измеряется, каким методом, кто и когда измеряет и кто анализирует результат. На практике это конкретные метрики результативности контролей (например, % патчей, установленных в SLA; время реакции на инцидент; доля сотрудников, прошедших обучение).

Чтобы оценить эффективность процессов ИБ, выполните следующие шаги:

Сам ISO/IEC 27001 не определяет ни состав метрик для мониторинга, ни их количество. Порядок оценки эффективности описан в смежном стандарте ISO/IEC 27004. Он предлагает оценивать эффективность, в частности, следующих процессов ИБ:

управление конфигурациями;
обучение работников;
управление уязвимостями;
мониторинг ИТ-инфраструктуры и событий ИБ;
управление инцидентами ИБ;
управление активами;
другие.

Перечень метрик приведен в приложении В к ISO/IEC 27004. Вы можете адаптировать их под свою компанию или разработать собственные. Метрики могут быть качественными или количественными – выстраивайте процесс в зависимости от зрелости вашей организации.

Достижение порогового значения само по себе не является несоответствием для аудитора. При достижении порогового значения нужно выяснить причины и разработать мероприятия, направленные на их устранение (корректирующее действие).

Методику оценки эффективности нужно оформить как документированную информацию. Записи по результатам оценки сохраняйте как документальное свидетельство для аудитора.

✔ Проведение внутренних аудитов ИБ

Согласно разделу 9.2 основной части стандарта организация должна регулярно проводить внутренние аудиты в выбранной области деятельности. Внутренний аудит – независимая (по отношению к проверяемому процессу) проверка соответствия СУИБ требованиям стандарта и внутренним документам компании.

Объектами внутреннего аудита могут быть подразделения, информационные системы или процессы. До сертификационного аудита внутренними аудитами нужно покрыть все требования стандарта (основную часть и Приложение А). Компания должна разработать процедуру, которая определяет порядок проведения аудита, требования к отчетности и порядок управления корректирующими действиями по его результатам.

Прежде чем приступать к внутреннему аудиту, разработайте программу внутренних аудитов. Это структурированный план: он описывает общий подход к аудитам, области аудита и связанные с ними контроли стандарта, а также сроки и ответственных. Программу должно утвердить высшее руководство.

Стандарт требует, чтобы внутренние аудиторы были компетентны. Работников, которые проводят внутренний аудит, нужно формально обучить по курсу «Внутренний аудитор ISO/IEC 27001». Пройти его можно у выбранного вами органа сертификации (обучать может только организация с соответствующей лицензией).Для внутренних аудитов можно нанять внешних аудиторов. Хотя они не сотрудники организации, они проводят аудит от имени компании, поэтому могут считаться внутренними.

Готовясь к внутреннему аудиту, аудиторы должны проанализировать документацию и документальные свидетельства, относящиеся к объекту аудита: планы по устранению рисков, политики безопасности, списки контроля доступа, отчеты об инцидентах и журналы управления уязвимостями.

При подготовке аудиторам рекомендуется составить чек-лист с требованиями стандарта и применимой документации по ИБ, чтобы сверяться с ним во время аудита. Чек-лист можно оформить по такому шаблону:

Пункт стандарта	Требование	Описание наблюдения	Соответствие/Несоответствие	Документальные свидетельства

Когда объем аудита определен, аудиторы назначены, а документация и чек-лист подготовлены, можно приступать к аудиту. Рекомендуем опираться на стандарт ISO 19011:2018 «Руководящие указания по аудиту систем менеджмента». Он формулирует семь принципов, на которых строится любой аудит: добросовестность, объективность изложения, должную профессиональную осмотрительность, конфиденциальность, независимость, подход на основе свидетельств и риск-ориентированный подход.

Аудиторы должны проверить меры управления ИБ, опросить ответственных и оценить эффективность средств защиты, например шифрования данных, контроля доступа и управления инцидентами. Для этого они могут проверять настройки безопасных конфигураций, анализировать журналы и другие свидетельства, опрашивать сотрудников и наблюдать за их работой.

Если аудиторы обнаружат, что средства контроля неэффективны или отсутствуют, они должны зафиксировать несоответствие. Решение о соответствии основывается на предоставленных доказательствах (документальных свидетельствах). Отсутствие свидетельств – несоответствие.Важно: аудиторы должны быть независимыми от области, которую они проверяют. Это значит, что внутренний аудит в отделе ИБ должен проводить работник другого отдела.

По итогам внутренних аудитов аудиторы готовят отчет, в котором фиксируют все выявленные несоответствия (чек-лист прикладывать не нужно – это рабочие материалы аудиторов). Готовый отчет представляют руководителю подразделения для изучения и, при необходимости, разработки плана действий (если выявлено несоответствие).

Управление несоответствиями и корректирующими действиями

Внутренний аудит не заканчивается согласованием отчета руководителем. Его основная цель – выявить и устранить несоответствия в СУИБ вашей организации. Порядок управления несоответствиями описан в разделе 10 стандарта.

Используется следующая градация выявленных несоответствий:

значительное несоответствие – блокирует получение сертификата. Например, полностью отсутствует обязательный процесс (не проводилась оценка рисков), отсутствует обязательный документ, процесс не работает системно или накопилось много связанных незначительных несоответствий в одном процессе. Такое несоответствие нужно обязательно устранить до аудита органом по сертификации.
незначительное несоответствие – единичное отклонение, не подрывающее СУИБ в целом (например, один просроченный пересмотр политики). Такие несоответствия не мешают получить сертификат и управляются по требованиям раздела 10 основной части стандарта.
возможность для улучшения – рекомендация внутреннего аудитора по улучшению проверяемых процессов (необязательна к исполнению, но ее игнорирование несет потенциальные риски).

При работе с несоответствиями выполните следующие шаги:

Все сведения о выявленных несоответствиях, включая коррекции и корректирующие действия (сроки реализации, ответственных, способы проверки результативности и др.), нужно фиксировать. Записи об управлении несоответствиями храните как документальное свидетельство.

Шаг 7. Предоставить отчет о функционировании СУИБ руководству.

Согласно разделу 9.3 основной части стандарта высшее руководство должно проводить плановый анализ СУИБ не реже одного раза в год. Отчет о функционировании СУИБ позволяет руководству оценить ее эффективность и соответствие стратегическим целям организации, а также убедиться, что ресурсов достаточно для инициатив в области ИБ.

Ключевой элемент успешной СУИБ – поддержка и заинтересованность высшего руководства. Обязанности руководства описаны в разделе 5 основной части стандарта.

Стандарт определяет четкий состав данных для отчета высшему руководству:

изменение внешних/внутренних факторов (изменение контекста);
изменения в потребностях и ожиданиях заинтересованных сторон;
анализ функционирования СУИБ (включая результаты управления несоответствиями и корректирующими действиями, а также результаты оценки эффективности);
результаты внутренних аудитов;
результаты достижения целей ИБ;
обратная связь от заинтересованных сторон;
результаты анализа и оценки рисков ИБ;
предложения по улучшению СУИБ;
дополнительные сведения (например, критичные уязвимости и инциденты).

По результатам отчета о функционировании СУИБ высшее руководство должно определить практические шаги по ее совершенствованию. Их рекомендуется фиксировать отдельной записью, которая включает:

решение об общей оценке эффективности функционирования СУИБ (низкий/средний/высокий);
решение (рекомендации) по совершенствованию способов измерения эффективности процессов и мер ИБ;
решение (рекомендации) об изменении процессов и мер ИБ в ответ на внутренние и внешние события, которые могут повлиять на СУИБ;
решение о пересмотре результатов анализа рисков и плана обработки рисков;
решение и рекомендации по выделению ресурсов для реализации принятых решений и поручений.

Шаг 8. Пройти сертификационный аудит на соответствие ISO/IEC 27001.

Сертификационный аудит проводится в две стадии. На первой стадии вы направите аудиторам комплект обязательной документации, чтобы они проверили ее соответствие требованиям стандарта до визита.

Документация для успешного прохождения первой стадии:

область действия СУИБ и контекст организации (4.1 и 4.2);
политика ИБ (5.2) и цели ИБ (6.2);
методология оценки и обработки рисков, реестр рисков (6.1.2);
план обработки рисков (6.1.3);
Заявление о применимости – SoA (6.1.3 d);
роли и ответственность в области ИБ, включая приказ о назначении ролей (5.3);
записи о компетентности персонала, включая сертификаты внутреннего аудитора (7.2);
программа и результаты внутренних аудитов (9.2);
результаты анализа со стороны руководства (9.3);
записи о несоответствиях и корректирующих действиях (10.2);
результаты мониторинга и оценки эффективности СУИБ (9.1).

Цель первой стадии – проверить, что в организации нет значительных несоответствий (СУИБ работает в соответствии с требованиями стандарта). Если выявлены области, где документация или процессы неполны (значительные несоответствия), организация может устранить проблемы до полноценного аудита, что повышает шансы получить сертификат.

Первый этап – в основном проверка документов, поэтому «провалить» его очень сложно. Однако вы можете получить рекомендации по улучшению или устранению несоответствий. Доказательства их выполнения нужно представить аудитору на второй стадии (между стадиями проходит несколько месяцев). Если замечания не устранить до второй стадии, сертификат могут не выдать ввиду несоответствия требованиям стандарта.

На второй стадии внешний орган сертификации собирает доказательства того, что ваша СУИБ успешно работает, и это уже не только заочный анализ документации, как на первой стадии. Аудитор проверит, соответствуют ли процедуры и средства контроля требованиям вашей документации по ИБ. Аудиторы собирают широкий спектр данных, подтверждающих правильную работу СУИБ, и беседуют с ключевыми сотрудниками, ответственными за ее управление.

Важно: перед сертификационным аудитом у вас должны быть документальные свидетельства реализации, как минимум:одна коррекция и одно корректирующее действие;одно мероприятие из плана обработки рисков ИБ;одна цель ИБ (с проведением оценки достижения цели).Без этих свидетельств цикл PDCA не завершен, а значит, пройти сертификацию на соответствие ISO/IEC 27001 не получится.

Кроме беседы с ключевыми ролями СУИБ, аудитор может попросить вас организовать следующие встречи:

Высшее руководство. По пункту 5.1 аудиторы беседуют с высшим руководством, чтобы убедиться в его приверженности СУИБ и информационной безопасности в целом.
Владельцы рисков. Аудитор может спросить любого, кто указан как «владелец риска», как он оценивает риски, в чем его обязанности и как он участвует в планах по устранению рисков.
ИТ- и ИБ-специалисты. Аудитор пообщается с вашими ИТ- и ИБ-специалистами, чтобы проверить, как внедрены такие меры, как сетевая безопасность, управление доступом и реагирование на инциденты.
Обычные сотрудники (часто выбираемые случайным образом). Аудитор может опросить их, чтобы оценить осведомленность о требованиях ИБ, роль в управлении рисками и способность выявлять инциденты и сообщать о них.

Если вторая стадия пройдена успешно, аудитор подготовит отчет, и компания получит сертификат. Но работа на этом не заканчивается – вам нужно:

ознакомиться с рекомендациями в отчете от аудиторов;
разработать корректирующие действия (если аудитор выявил несоответствия);
купить шампанское и отпраздновать успех;
начать подготовку к следующему (надзорному) аудиту;
продолжать совершенствовать СУИБ и сохранять документальные свидетельства реализации корректирующих действий, направленных на устранение причин несоответствий, выявленных на сертификационном аудите (без них орган по сертификации отзовет сертификат).

Это заключительная часть гайда. Если вы пропустили начало, вернитесь к предыдущим частям: Часть 1, Часть 2.

Остались вопросы?

Оставьте свои контактные данные, чтобы мы могли связаться с вами для дальнейших шагов.

КИИ

Информационная безопасность в финансовом секторе: новый подход к оценке и защите

Постановление № 92 от 06.02.2026: новые правила категорирования КИИ в банках, ежегодная отчётность, штрафы по ст. 13.12.2 КоАП и что делать банкам.

06.11.2026

Читать

Законодательство

Cookie и персональные данные: что нужно учитывать владельцам сайтов

Когда cookie считаются персональными данными, какие можно без согласия, что указать в cookie-баннере и почему мало политики конфиденциальности.

07.11.2026

Читать

Ai / Безопасность ИИ

Этапы подготовки к сертификации ISO/IEC 42001

Что такое ISO/IEC 42001 и как подготовиться к сертификации: структура стандарта, 5 этапов от обследования до аудита, цикл PDCA.

10.11.2026

Читать

Сертификация ISO

10 шагов по внедрению ISO/IEC 27001

Пошаговый план внедрения ISO/IEC 27001 в 10 шагов: от области применения СУИБ до внутреннего аудита. Типовой срок подготовки — 5–12 месяцев.

05.11.2026

Читать

Другие статьи

Все статьи

Получайте новости из мира кибербезопасности, полезные материалы и специальные предложения для бизнеса. Отправляем только актуальную информацию — без лишних писем.

Оставайтесь на шаг впереди

Дайджесты

Акции

Чек-листы

Памятки

Новые услуги

Ультимативный гайд по внедрению стандарта ISO/IEC 27001. Часть 3: оценка эффективности, аудиты и сертификация

Содержание

Шаг 6. Провести оценку эффективности и внутренний аудит

✔ Оценка эффективности процессов ИБ

✔ Проведение внутренних аудитов ИБ

Управление несоответствиями и корректирующими действиями

Шаг 7. Предоставить отчет о функционировании СУИБ руководству.

Шаг 8. Пройти сертификационный аудит на соответствие ISO/IEC 27001.

Читайте также:

Остались вопросы?

Информационная безопасность в финансовом секторе: новый подход к оценке и защите

Cookie и персональные данные: что нужно учитывать владельцам сайтов

Этапы подготовки к сертификации ISO/IEC 42001

10 шагов по внедрению ISO/IEC 27001

Другие статьи

feeds:title