Помогли компании атомной отрасли пройти сертификацию ISO/IEC 27001:2022 без несоответствий

Крупная компания атомной отрасли.

Подготовить систему менеджмента информационной безопасности (СМИБ) к сертификационному аудиту и получить международный сертификат соответствия стандарту ISO/IEC 27001:2022 от TÜV AUSTRIA.

Дополнительное требование — пройти аудит с первого раза, без замечаний, чтобы не задерживать заключение международных контрактов.

Необходимость сертификации возникла со стороны бизнеса: для работы с иностранными заказчиками требовалось подтверждение соответствия международным стандартам.

При этом:
✘ отсутствовало системное понимание, что такое ISO/IEC 27001 и как к нему готовиться;
✘ часть процессов ИБ и ИТ находилась на низком уровне зрелости;
✘ ИТ-инфраструктура была устаревшей;
✘ значительная часть процессов была «бумажной» — с большим количеством согласований и регламентов;
✘ высокий уровень бюрократии и сложная организационная структура;
✘ персонал с большим стажем, но без практики современных подходов к ИБ.

Ключевой риск — выявление несоответствий на аудите, что могло привести к срыву сроков международных проектов.

1. Масштабная инфраструктура и большое количество сотрудников;

2. Работа в отрасли с повышенными требованиями к безопасности;

3. Необходимость выстраивать процессы «с нуля», а не просто дорабатывать существующие;

4. Параллельная задача — повышение уровня осведомлённости сотрудников в вопросах ИБ;

5. Длительное взаимодействие с топ-менеджементом для объяснения ценности изменений.

Проект был реализован поэтапно и охватывал как управленческие, так и технические аспекты.

1. Анализ текущего состояния
Провели обследование бизнес-процессов, определили контекст компании и требования бизнеса к ИБ.

2. Gap-анализ и оценка рисков
Оценили соответствие требованиям ISO/IEC 27001:2022, выявили разрывы и провели оценку ИТ- и ИБ-рисков с формированием плана их обработки.

3. Формирование системы документации
Разработали и актуализировали комплект документов, включая:

• регламенты операционной деятельности;
• требования по соблюдению ИБ сотрудниками;
• инструкции для руководителей;
• стандарты безопасной разработки ПО.

Все документы создавались с учётом реальных процессов и задач бизнеса, а не «под аудит».

4. Внедрение процессов и сбор артефактов
Организовали трансформацию процессов ИБ и ИТ:

• перераспределили роли и зоны ответственности;
• спроектировали целевую ИТ-инфраструктуру и план модернизации;
• определили состав ключевых СЗИ и план их внедрения;
• обучили сотрудников основам ИБ (фишинг, пароли, работа с данными);
• сформировали подтверждающие артефактов

Особый упор по пожеланию заказчика был уделен процессам управления доступом, резервного копирования и обеспечения непрерывности.

5. Подготовка к сертификации и сопровождение аудита
Сопроводили заказчика на всех этапах взаимодействия с органом сертификации, включая выбор органа по сертификации, предварительную проверку готовности в рамках внутренних аудитов, сбор доказательной базы для аудиторов, а также консультационную поддержку во время проведения самого аудита.

1. Сертификационный аудит TÜV AUSTRIA пройден с первого раза, без несоответствий.

2. Получен международный сертификат ISO/IEC 27001:2022.

3. Исключены риски задержки международных контрактов.

4. Существенно повышено доверие со стороны иностранных заказчиков.

5. Сформирована устойчивая система управления ИБ и база для последующих аудитов.

Также за несколько лет сотрудничества c Infosecurity заказчику удалось:
✔ модернизировать ИТ-инфраструктуру;
✔ внедрить ключевые средства защиты;
✔ кратно повысить уровень зрелости процессов ИБ и ИТ;
✔ сформировать культуру информационной безопасности внутри компании.