ISO/IEC 27001 е международен стандарт, който определя изискванията за създаване, внедряване, поддържане и непрекъснато подобряване на система за управление на сигурността на информацията (СУСИ).
Стандартът предоставя рамка за систематично управление на рисковете, свързани със сигурността на информацията. Системата за управление има за цел да запази конфиденциалността, интегритета и наличността на информацията чрез прилагане на процес за управление на риска и да даде увереност на заинтересованите страни, че рисковете се управляват по подходящ начин.
ISO/IEC 27001 не се ограничава до информационните технологии и техническите средства за защита. Системата за управление интегрира сигурността на информацията в процесите и цялостната управленска структура на организацията и я отчита при разработването на процеси, информационни системи и механизми за контрол.
 
Актуално издание на ISO/IEC 27001
ISO/IEC 27001:2022 е третото издание на международния стандарт. То заменя ISO/IEC 27001:2013 и включените към него технически поправки от 2014 г. и 2015 г. Основната промяна спрямо предходното издание е привеждането на стандарта в съответствие с хармонизираната структура на стандартите за системи за управление и с ISO/IEC 27002:2022.
 
За кого е приложим ISO/IEC 27001
ISO/IEC 27001 е приложим за организации от всякакъв вид и големина, независимо от естеството на тяхната дейност.
Стандартът може да бъде прилаган както от ИТ компании и разработчици на софтуер, така и от финансови институции, публични организации, производствени предприятия, доставчици на услуги, консултантски организации и други организации, които създават, обработват, съхраняват или обменят информация.
Системата за управление се изгражда съобразно конкретния контекст, потребностите, целите, рисковете, процесите, размера и структурата на организацията. 

 
Какво осигурява ISO/IEC 27001
Системата за управление по ISO/IEC 27001 създава структурирана рамка, чрез която организацията може да:

• идентифицира и оценява рисковете за сигурността на информацията;
• определя и прилага подходящи начини за третиране на риска и необходимите механизми за контрол;
• управлява достъпа до информация и свързаните с нея активи;
• определя роли и отговорности по отношение на сигурността на информацията;
• управлява рисковете, свързани с доставчици, вериги за доставки на ИКТ продукти и услуги и облачни услуги;
• планира и управлява инциденти, свързани със сигурността на информацията;
• осигурява подходящо ниво на сигурност на информацията при прекъсвания;
• отчита приложимите правни, законови, регулаторни и договорни изисквания;
• извършва мониторинг, измерване, анализ и преценяване на резултатността на системата;
• подобрява непрекъснато управлението на сигурността на информацията.

 
Управление на риска по ISO/IEC 27001
Управлението на риска е основен елемент на ISO/IEC 27001. Организацията трябва да дефинира и прилага процес за оценяване на риска за сигурността на информацията, който позволява рисковете да бъдат идентифицирани, анализирани и преценявани по последователен начин.
Оценяването на риска отчита възможната загуба на конфиденциалност, интегритет и наличност на информацията в обхвата на системата за управление.
Въз основа на резултатите от оценяването организацията определя подходящи начини за третиране на риска и необходимите механизми за контрол. Разработва се план за третиране на риска, а собствениците на риска следва да дадат съгласие с плана и с приемането на остатъчните рискове.
Основни изисквания на ISO/IEC 27001
Изискванията към системата за управление на сигурността на информацията са структурирани в раздели 4–10:
4. Контекст на организацията
Определяне на вътрешните и външните обстоятелства, потребностите и очакванията на заинтересованите страни и обхвата на системата за управление на сигурността на информацията.
5. Лидерство
Ангажираност на висшето ръководство, политика за сигурност на информацията и определяне на организационни роли, отговорности и пълномощия.
6. Планиране
Действия за справяне с рискове и възможности, оценяване и третиране на риска за сигурността на информацията, определяне на цели и планиране на измененията.
7. Поддържане
Осигуряване на необходимите ресурси, компетентност, осведоменост, комуникация и управление на документираната информация.
8. Работа
Планиране и контрол на процесите, оценяване на риска за сигурността на информацията и прилагане на плана за третиране на риска.
9. Преценяване на резултатността
Мониторинг, измерване, анализ и преценяване, вътрешни одити и преглед на системата от ръководството.
10. Подобряване
Непрекъснато подобряване, управление на несъответствията и предприемане на коригиращи действия.
Приложение A – механизми за контрол на сигурността на информацията
Приложение A на ISO/IEC 27001 съдържа списък с механизми за контрол на сигурността на информацията, съгласувани с механизмите за контрол в ISO/IEC 27002:2022. Те се използват в контекста на процеса за третиране на риска.
Механизмите за контрол са организирани в четири групи:

• организационни механизми за контрол;
• механизми за контрол на персонала;
• механизми за контрол за физическа сигурност;
• технологични механизми за контрол.

Те обхващат области като политики за сигурност, управление на активи и достъп, взаимоотношения с доставчици, използване на облачни услуги, управление на инциденти, непрекъснатост на бизнеса, неприкосновеност и защита на личните данни, физическа сигурност, управление на технически уязвимости, защита от злонамерен софтуер, резервиране, регистриране и мониторинг, мрежова сигурност, криптография и сигурно разработване.
Механизмите за контрол от Приложение A не представляват универсален списък от мерки, които всяка организация трябва автоматично да приложи. Организацията определя необходимите механизми за контрол въз основа на резултатите от оценяването и третирането на риска и проверява чрез Приложение A дали не е пропуснат необходим механизъм. При необходимост могат да бъдат определени и допълнителни механизми за контрол.

Декларация за приложимост
Важен елемент от системата за управление е Декларацията за приложимост (Statement of Applicability – SoA).
В нея организацията определя:

• необходимите механизми за контрол;
• обосновката за тяхното включване;
• дали необходимите механизми са внедрени;
• обосновката за изключване на който и да е от механизмите за контрол от Приложение A.

Декларацията за приложимост показва кои механизми за контрол са необходими за организацията, кои са внедрени и как е обосновано тяхното включване или изключване.

Внедряване на ISO/IEC 27001
КОНСЕХО предоставя консултантски услуги за разработване и внедряване на системи за управление на сигурността на информацията съгласно ISO/IEC 27001 – от първоначалния GAP анализ и определянето на необходимите действия до подготовката за сертификационен одит.
 
Запитване за оферта