Заключительный период календаря перехода на ISO/IEC 27001:2022

Срок, установленный документом IAF MD 26 для перехода на ISO/IEC 27001:2022, составлял 36 месяцев, и это окно закрылось: сертификаты ISO/IEC 27001:2013 без завершённого перехода должны были истечь или быть отозваны после 31 октября 2025 года.

То есть действительный сегодня сертификат системы менеджмента информационной безопасности должен быть выдан по ISO/IEC 27001:2022. Сертификат, ссылающийся на издание 2013 года, не считается актуальным доказательством соответствия.

У графика были и промежуточные вехи: готовность органов по аккредитации к оценке издания 2022 года и переход органов по сертификации к проведению первичной сертификации и ресертификации только по изданию 2022 года были частью этого процесса.

Просроченный сертификат нельзя спасти «переходом»; процесс проходит как новая сертификация. Это означает полный цикл аудита вместо надзорного аудита и более длительный график.

Тем временем коммерческая сторона продолжает работать: предъявление устаревшего сертификата как действующего приводит к провалу due diligence клиента, договорным спорам и проблемам при оценке поставщиков.

Пересмотр 2022 года реорганизовал меры контроля Приложения A: они объединены в четыре темы, добавлены новые меры. Положение о применимости (SoA) необходимо перестроить согласно этой новой структуре.

На практике самая сложная часть — не сопоставление существующих мер контроля с новой нумерацией, а создание реально работающей практики для вновь добавленных мер контроля. Сопоставление — это работа с таблицей, внедрение — это работа с процессом.

Сертификат системы менеджмента информационной безопасности не означает, что организация никогда не столкнётся с нарушением; он показывает, что организация знает свои информационные активы, оценила риски и применяет выбранные ею меры контроля.

Ядром системы являются оценка рисков и выбор мер контроля. Перечень мер контроля в приложении к стандарту не является перечнем обязательств: организация решает, какие меры применять, на основе своей оценки рисков, и обосновывает те, которые не применяет.

Этот документ обоснования является наиболее тщательно проверяемым пунктом при аудите: неприменение меры контроля не является дефектом, а вот отсутствие обоснования — является.

В заключительный период перехода одновременно возникают два риска: график аудитора уплотняется, а время на закрытие обнаруженного несоответствия сокращается. При сочетании этих факторов действие сертификата может быть прервано.

Поэтому работа, которую нужно проделать в этот заключительный период, состоит не в том, чтобы начинать новое упражнение, а сначала чётко определить текущее положение: какие пункты выполнены, каких записей не хватает и когда можно получить дату аудита.

Реорганизация набора мер контроля — самая заметная задача перехода: меры сопоставляются с новой группировкой, и заявление о применимости обновляется в соответствии с этой структурой. Технически это упражнение по сопоставлению; сами меры перестраивать не нужно.