Услуги в области обеспечения соответствия ISO 27001

Применение риск-ориентированного подхода к построению системы управления информационной безопасностью (далее – СУИБ) на базе общепризнанного международного стандарта ISO/IEC 27001 позволяет создать интегрированную в общую систему управления организации инфраструктуру безопасности, учитывающую бизнес-требования и цели организации. Стандарт устанавливает требования к «контролям» безопасности (контроль – процесс, обеспечивающий достижение системой поставленных целей), подлежащим внедрению в соответствии с индивидуальными потребностями организации.

«ДиалогНаука» является действующим участником Программы ассоциированных консультантов BSI ACP и оказывает услуги по разработке и внедрению СУИБ.

Каждая организация может преследовать разные цели при внедрении СУИБ, например:

• создание внутреннего инструмента для эффективного управления информационной безопасностью и принятия тактических и/или стратегических решений;
• создание конкурентных преимуществ товара и/или услуг организации с точки зрения информационной безопасности (маркетинг);
• демонстрация деловым партнерам приверженности принципам информационной безопасности;
• необходимость соблюдения требований контрактов и условий тендеров (требования клиентов / заказчиков / партнеров по защите информации).

Для обеспечения комплексной кибербезопасности АСУ ТП АО «ДиалогНаука» предлагает следующие этапы работ:

В соответствии со стандартом ISO/IEC 27001 СУИБ должна создаваться таким образом, чтобы обеспечить выбор адекватных и соразмерных мер по обеспечению информационной безопасности. Меры должны быть направлены на поддержание определенных владельцами информационных активов свойств безопасности (конфиденциальности, целостности и/или доступности) и обеспечение заданного «целевого» уровня информационной безопасности.

Для определения текущего уровня зрелости процессов в рамках СУИБ организации может проводиться аудит информационной безопасности (оценка текущего уровня соответствия требованиям международного стандарта ISO/IEC 27001).

Все работы по созданию и внедрению СУИБ можно разбить на следующие основные этапы:

• определение области действия СУИБ;
• проведение обследования с целью идентификации и классификации информационных активов, входящих в область действия СУИБ;
• проведение оценки и анализа рисков информационной безопасности;
• разработка политики информационной безопасности организации;
• определение защитных мер контроля и их обоснование для минимизации рисков (выбор средств контроля);
• разработка нормативно-методических документов, формализующих процессы обеспечения информационной безопасности в рамках СУИБ;
• внедрение процессов СУИБ;
• проведение контрольного аудита информационной безопасности на соответствие требованиям ISO / IEC 27001;
• подготовка к сертификации СУИБ компании на соответствие требованиям стандарта ISO 27001.

«ДиалогНаука» может выполнить любые этапы работ, связанные с построением системы управления информационной безопасностью и подготовкой её к последующей сертификации в случае необходимости.