ISO 27001 gap assessment: шаги и результаты

Оценка разрывов по ISO 27001 (gap assessment) сравнивает ваши текущие контроли и документы с пунктами стандарта и набором контролей приложения A и на выходе дает приоритизированный план устранения. Она готовит компанию к сертификационному аудиту, но сама не является сертификатом, и ни одна оценка не может обещать, что сертификация последует.

Что такое оценка разрывов ISO 27001?

ISO/IEC 27001 — международный стандарт для системы управления информационной безопасностью (СМИБ): документированный, построенный на рисках набор политик, процессов и контролей, который поддерживается и улучшается, а не устанавливается один раз. Сертификат выдает аккредитованный орган по сертификации после собственных аудитов; сам стандарт покупается у ISO, и именно его требования являются точкой отсчета для любой оценки.

Оценка разрывов честно отвечает на один вопрос: насколько организация сегодня далека от выполнения этих требований? Она изучает существующее — документы, реальную практику, техническую конфигурацию — и фиксирует расхождения как заключения по пунктам стандарта (пункты с 4 по 10 несут требования системы управления) и по набору контролей приложения A, который в версии 2022 года содержит справочные контроли — 93 штуки, сгруппированные по темам.

Три уточнения, экономящих путаницу впоследствии:

Это упражнение по готовности, а не аудит. Ни аккредитации, ни решения о сертификации, ни формального несоответствия с нумерацией органа по сертификации. На выходе — рабочий план.

Область выбирается, а не навязывается. ISO 27001 не требует сертифицировать всю организацию: областью может быть подразделение, площадка, линия продукции или набор систем, при условии, что граница определена и обоснована. Большинство компаний сначала ограничивают область узко — решение, сокращающее стоимость оценки и сертификации вдвое, и его стоит принять до того, как кто-либо прочтет единственный документ.

Оценка честна в отношении доказательств. Документ, утверждающий одно, и практика, делающая другое, фиксируются как есть, потому что сертификационный аудитор найдет то же расхождение позже, в худший момент.

Процесс оценки

Шесть шагов ниже — как выглядит работающая оценка. Колонка «Результат» — суть таблицы: каждый шаг должен породить артефакт, который вы храните, а не впечатление:

Таблица A: шаг | что происходит | результат

Шаг	Что происходит	Результат
Определение области	Согласование границы СМИБ: какие площадки, отделы, системы и данные входят и почему; выявление заинтересованных сторон и их требований	Записка об области с обоснованием, готовая к повторному использованию на аудите стадии 1
Обзор документов	Чтение существующих политик, процедур и записей на соответствие пунктам 4–10 и приложению A; проверка, описывают документы реальность или намерение	Реестр документов со статусом по каждому пункту: есть / частично / отсутствует, с просмотренными доказательствами
Интервью	Беседы с теми, кто ведет процессы, — ИТ, кадры, операции, финансы, руководство, — и сравнение ответов между ролями; противоречия между двумя отделами тоже заключения	Заметки по каждому процессу с зафиксированными расхождениями практики и документа
Технические проверки	Выборка реальной конфигурации: списки доступа, журналирование, задания резервного копирования и доказательства восстановления, состояние патчей, физический доступ — выборка, а не пентест	Результаты проверки по каждой области контроля, с выборками и датами, чтобы результат можно было перепроверить
Оценка	Присвоение каждому заключению серьезности и трудозатрат; серьезность следует за риском для организации, а не за местом контроли в приложении A	Реестр разрывов: пункт или контроль, текущее состояние, заключение, серьезность, предлагаемый владелец
Отчет и дорожная карта	Сборка заключений в отчет и расстановка последовательности работ: быстрые победы, структурные пункты и документы, которые должны существовать до аудита стадии 1	Отчет gap analysis, дорожная карта устранения с приоритетами, проект декларации о применимости (SoA)

Замечание о методе: стандарт не предписывает, как проводится оценка разрывов, поэтому поставщики различаются. Разделитель полезной оценки от дорогой — дисциплина доказательств (заключения, привязанные к тому, что сертификационный аудитор смог бы перепроверить) и реестр, который ведется за ней. Вопросы управления и аудита в сфере безопасности рассматриваются на странице ИТ-аудита и консалтинга, а более широкий контекст защиты инфраструктуры за СМИБ — на странице цифровой инфраструктуры.

Результаты

Четыре артефакта определяют серьезную оценку. Если предложение не называет все четыре, спросите почему:

Отчет gap analysis. Нарратив: рассмотренная область, метод, заключения по пунктам и областям контроля и резюме для управляющего директора, которое читается за десять минут. Отчет объясняет расхождения; он не просто перечисляет их.

Реестр разрывов. Рабочая база: каждое заключение с указанием пункта или ссылки на приложение A, текущего состояния, серьезности и приоритета. На этом реестре проект дальше работает — он превращает отчет из совета в список задач с владельцами.

Дорожная карта устранения. Расстановка заключений в план: что должно существовать до аудита стадии 1, что принадлежит первым месяцам СМИБ, а что может подождать. Последовательность уважает зависимости: невозможно пересматривать доступ ежеквартально, пока списков доступа не существует.

Проект декларации о применимости (SoA). Документ, перечисляющий все контроли приложения A, применима ли она и почему, и как она реализована. Проект SoA, подготовленный в ходе оценки, — самый крупный эконом времени во всем проекте сертификации, потому что альтернатива — писать 93 решения с чистого листа под давлением сроков.

Результаты приходят в письменной форме и принадлежат заказчику. Поставщик, отказывающийся показать образец отчета до подписания, рассказывает вам кое-что об этом отчете.

Чем оценка не является

Точность в этом экономит споры впоследствии:

Это не сертификат. Только аккредитованный орган по сертификации, работающий по ISO/IEC 17021 и собственной аккредитации органа, может сертифицировать СМИБ. Оценка — консультационная работа; ее заключения не имеют веса перед органом по сертификации, и ни один исход оценки не гарантирует сертификацию: организация может пройти оценку и завалить аудит стадии 2 по заключениям, которые аудитор выработает самостоятельно.

Это не внутренний аудит. Стандарт требует внутренних аудитов и руководства рассмотрением как части эксплуатации СМИБ; это обязательства внутри системы, выполняемые позже, а оценка — работа, доводящая до точки, где они могут состояться.

Это не тест безопасности. Выборка конфигурации — ее часть; пентест или полный технический аудит — отдельное мероприятие с другой областью и глубиной.

Это не правовое заключение. ISO 27001 и законодательство о защите данных пересекаются, но это разные инструменты — см. FAQ ниже, — и ни оценка, ни ее отчет не заменяют консультацию квалифицированного юриста или специалиста по защите данных.

Это не обещание сертификации. Любой поставщик, прямо или косвенно заявляющий о гарантированной сертификации, называющий процент успеха или намекающий на связь с органом по сертификации, который решает независимо, должен трактоваться как предупреждение, а не как преимущество. Независимость — это продукт.

Подготовка к сертификационному аудиту

Настоящая ценность оценки проявляется в последующем проекте сертификации. Как два этих блока соединяются:

Стадия 1 проверяет документацию и область: записку об области СМИБ, оценку и обработку рисков, политики, декларацию о применимости, записи внутренних аудитов и записи руководства рассмотрением. Большинство заключений стадии 1 — недостающие или устаревшие документы, ровно то, что порождает обзор документов и проект SoA из оценки.

Стадия 2 проверяет внедрение и практику: работают ли контроли так, как задокументировано, с выборкой по всей области. Работа по интервью и техническим проверкам из оценки отыгрывает это заранее: команда, уже отвечавшая на вопросы о своих ревизиях доступа и обработке инцидентов, отвечает на них спокойно в аудите.

Наблюдательные аудиты и переоценки идут после сертификации, поэтому дорожная карта должна строить работающую систему, а не набор документов: повторяющиеся ревизии доступа, записываемые инциденты, фиксируемое в записях обучение, восстанавливаемые и проверяемые резервные копии. СМИБ, построенная ради одного аудита, разваливается на первом наблюдательном.

Практические пункты подготовки, которые оценка обычно вскрывает: кто внутри владеет каждой областью контроля, является ли руководство рассмотрением настоящей встречей или подписью, независимы ли внутренние аудиторы от того, что они аудируют, и как хранятся записи между аудитами. Для компании, делающей это впервые, окружающие ИТ-вопросы — журналирование, управление доступом, дисциплина резервного копирования — рассматриваются на странице цифровой инфраструктуры, а обязательства по работе с вендорами и обработке данных — на странице ИТ-аутсорсинга.

Типичные разрывы

Заключения, повторяющиеся в малых и средних компаниях, в приблизительном порядке частоты:

Инвентаризация активов. Нет актуального списка систем, устройств и данных с владельцами. Почти каждый другой контроль зависит от знания того, что существует, поэтому это обычно первый пункт дорожной карты.

Метод оценки рисков. Либо отсутствует, либо унаследован из шаблона без организационного обоснования; сертификационный аудитор спрашивает, как риски были выявлены и обработаны, и «это написал консультант» — ответ, который не проходит.

Управление поставщиками. Нет реестра, какие поставщики касаются данных компании, нет требований безопасности в соглашениях с поставщиками, нет цикла пересмотра. Для компаний, работающих с партнерами по разработке, этот разрыв лежит прямо поверх договорных вопросов, рассматриваемых на странице ИТ-аутсорсинга.

Ревизии доступа. Учетные записи выдаются при найме и никогда не пересматриваются; в списках доступа обнаруживаются ушедшие; права администратора остались за теми, кто покинул роль. Ревизии, существующие на бумаге без записей, — половина заключения.

Обработка инцидентов. Нет определенного процесса, нет списка контактов, нет записей о случившихся инцидентах. Инциденты, о которых компания забыла, — те, что становятся заключениями в аудите.

Обучение осведомленности. Одноразовый слайд онбординга вместо повторяющейся программы с записями. Стандарт спрашивает, осведомлены ли люди о своих обязательствах; датированный список посещаемости отвечает на этот вопрос.

Проверка резервного копирования. Резервные копии настроены и никогда не восстанавливались. Никогда не предпринятое восстановление — непроверенный контроль, и техническая проверка оценки обычно просит доказательство восстановления, а не скриншот расписания.

Как выбрать поставщика

Три вопроса отделяют строгую оценку от дорогого обзора:

Независимость. У оценщика не должно быть доли в решении о сертификации: оценщики не сертифицируют, сертифицируют органы, и поставщик, обещающий и то и другое, описывает конфликт интересов, а не услугу. Независимость также означает, что у оценщика нет продукта, который он сможет продать после: оценка, рекомендующая вашу платформу, — документ продаж с приложенными заключениями.

Метод. Спросите метод до предложения: как согласовывается область, как ранжируются заключения, какие доказательства требуются по каждой области контроля и какие результаты придут. Метод, записанный заранее, — то, что делает заключения защищаемыми перед сертификационным аудитором впоследствии.

Образец отчета. Лучший единичный тест. Редактированный реестр разрывов и отчет показывают ровно то, что вы получите: привязаны ли заключения к пунктам с доказательствами, обоснованы ли серьезности и является ли дорожная карта последовательностью, а не списком пожеланий.

Два практических дополнения для компаний в Турции: подтвердите, работает ли оценщик со стандартами и органами по сертификации, знакомыми клиентам вашего целевого рынка, поскольку требования заказчиков часто называют конкретные схемы; и подтвердите рабочий язык интервью и документов, потому что заключения должны быть пригодны для команд, которые будут их исправлять. Чек-лист RFP для вендоров дает общий метод для оценки такой закупки, а страница ИТ-аудита и консалтинга покрывает более широкий консультационный контекст.

Часто задаваемые вопросы

Сколько занимает оценка разрывов?

Зависит от области, и любой, назначающий длительность до определения области, угадывает. Определяющие факторы — размер области (число площадок, систем и процессов в границе), состояние документации и сколько людей нужно опросить. Область в один отдел с существующими политиками — другое мероприятие, чем область на нескольких площадках с нуля; честный ответ приходит после разговора об области, письменно.

Нужен ли нам ISO 27001 для продаж?

Обычно это требование клиента, а не закона: тендеры, крупные счета и регулируемые закупщики все чаще требуют сертификации, особенно в ПО и услугах. Практический ответ — проверить собственный конвейер: если спросили два серьезных потенциальных клиента, деловой кейс есть; если ни один не спросил, кейс опирается на снижение риска, а не на выручку. Стандарт не требует сертифицировать всю организацию, поэтому ограниченная сертификация может сначала охватить клиентскую часть бизнеса.

Что такое декларация о применимости?

Документ, перечисляющий все контроли приложения A, указывающий, применимы ли они к вашей области и почему, и описывающий, как они реализованы. Стандарт его требует, и его проверяет орган по сертификации; это также самый эффективный артефакт для ранней подготовки, потому что он заставляет решения о контролах быть записанными один раз, а не под давлением аудита. Проект SoA — один из четырех результатов оценки выше.

Как ранжируются разрывы?

По серьезности и приоритету, при этом серьезность привязана к риску для организации, а не к положению контроли в стандарте. Пригодная для работы оценка объясняет себя: что может случиться, если разрыв останется, кто или что подвергается риску и что требуется для его закрытия. Оценки, лишь расставляющие пункты «высокая/средняя/низкая» без причин, порождают споры впоследствии; оценки с письменным обоснованием порождают дорожную карту, по которой идут.

Может ли оценка разрывов заменить аудит?

Нет. Внутренний аудит и руководство рассмотрением — обязательства внутри СМИБ, а сертификационный аудит принадлежит аккредитованному органу по сертификации. Оценка разрывов предшествует обоим и помогает обоим, но не имеет аудиторского статуса — это и есть строка «не сертификат» выше, и любой поставщик, размывающий ее, должен быть попрошен прояснить письменно.

Частично пересекаются, но это не одно и то же. ISO 27001 — стандарт системы управления информационной безопасностью и затрагивает защиту данных только там, где контроли безопасности защищают персональные данные; KVKK и GDPR устанавливают правовые обязанности — правовое основание, права субъекта данных, уведомление о нарушении, правила передачи, — которые СМИБ может поддерживать, но не выполняет сама по себе. Многие компании ведут обе программы с общими артефактами, а правовые вопросы остаются у квалифицированного консультанта; обязательства KVKK/GDPR вокруг вендоров и хостинга рассматриваются на странице ИТ-аутсорсинга.

Источники и стандарты

Сам стандарт — ISO/IEC 27001, опубликованный ISO (https://www.iso.org); оцениваемые требования — пункты 4–10 и набор контролей приложения A, содержащий в версии 2022 года 93 контроли. Сертификацию выполняют аккредитованные органы по сертификации, работающие по ISO/IEC 17021; эта страница не делает никаких заявлений о сертификации.
Утверждения о процессе, результатах и типичных разрывах следуют общей практике оценок разрывов (область, обзор документов, интервью, техническая выборка, реестр разрывов с оценкой серьезности, дорожная карта устранения, проект декларации о применимости); ни длительностей, ни стоимости, ни процентов успеха на этой странице нет.
Утверждения о процессе сертификации (аудит документации стадии 1, аудит внедрения стадии 2, наблюдательные аудиты) следуют опубликованному в стандарте фреймворку сертификации; подтвердите актуальные правила у выбранного органа по сертификации.
На этой странице нигде нет заявления о том, что WorldwideTradeX сертифицирован или аккредитован по ISO 27001, и нет гарантии сертификации; обязанности по защите данных названы, но не интерпретированы — подтвердите применимый режим у квалифицированного консультанта.

Связанные страницы

ИТ-аудит и консалтинг · Цифровая инфраструктура · ИТ-аутсорсинг из Турции · Чек-лист RFP для вендоров · Запросить КП