ISO/IEC 27001 — международный стандарт, устанавливающий требования к созданию, функционированию и постоянному улучшению системы менеджмента информационной безопасности (СМИБ, тур. BGYS) организации. Он защищает конфиденциальность, целостность и доступность информации на основе оценки рисков. Приложение A действующей версии 2022 года содержит 93 меры обеспечения безопасности, разделённые на четыре темы; сертификат выдаётся аккредитованными органами сроком на три года.
Область применения стандарта
ISO/IEC 27001 совместно издают Международная организация по стандартизации (ISO) и Международная электротехническая комиссия (IEC). Действующий текст — третье издание, опубликованное в октябре 2022 года; в 2024 году было принято изменение (Amd 1:2024), добавившее изменение климата в анализ контекста организации. Переходный период с версии 2013 года завершился 31 октября 2025 года; сегодня действующие сертификаты выдаются по версии 2022 года.
Стандарт — это не перечень технологий, а система менеджмента. Разделы 4–10, построенные по той же структуре, что и ISO 9001, регулируют контекст организации, лидерство, оценку рисков, обеспечение, операционную деятельность, оценку результатов и улучшение. Руководство по внедрению мер безопасности вынесено в отдельный стандарт — ISO/IEC 27002.
Приложение A: 93 меры, 4 темы
| Тема | Количество мер | Примеры |
|---|---|---|
| Организационные | 37 | Политика информационной безопасности, права доступа, отношения с поставщиками, облачные сервисы, управление инцидентами, непрерывность бизнеса |
| Кадровые | 8 | Проверка перед приёмом на работу, соглашение о конфиденциальности, обучение и повышение осведомлённости, удалённая работа |
| Физические | 14 | Доступ в офис и серверную, защита оборудования, политика «чистого стола», мониторинг физической безопасности |
| Технологические | 34 | Аутентификация, резервное копирование, ведение журналов, шифрование, защита от вредоносного ПО, безопасная разработка |
114 мер версии 2013 года были объединены, обновлены и сокращены до 93. Одиннадцать мер новые: анализ угроз (threat intelligence), безопасность при использовании облачных сервисов, готовность ИКТ к обеспечению непрерывности бизнеса, мониторинг физической безопасности, управление конфигурациями, удаление информации, маскирование данных, предотвращение утечки данных, мониторинг, веб-фильтрация и безопасная разработка.
Как это работает?
- Определяется область применения системы: какие подразделения, площадки и процессы в неё входят.
- Оцениваются информационные активы и связанные с ними риски.
- По каждому риску принимается решение об обработке: снижение, принятие, избежание или передача.
- Готовится Заявление о применимости (Statement of Applicability), в котором указывается, какие из 93 мер применяются и почему другие исключены.
- Вводятся политики и меры, проводится обучение персонала.
- Проводятся внутренний аудит и анализ со стороны руководства, после чего аккредитованный орган проводит двухэтапный сертификационный аудит.
Сертификат действует три года и поддерживается ежегодными надзорными аудитами. Подробно шаги описаны в статье как получить сертификат ISO 27001.
Какие данные защищаются в логистике?
- Коммерческие данные клиентов: стоимость по инвойсам, сведения о продавце и покупателе, фрахтовые договорённости. Попадание этих данных к конкуренту — прямой коммерческий ущерб.
- Данные о перевозках: госномер, маршрут, текущее местоположение, время доставки. Для дорогостоящих грузов эта информация напрямую влияет на риск хищения.
- Таможенные данные: содержание деклараций, коды ГТИП (турецкая товарная номенклатура, аналог ТН ВЭД) и сведения о таможенной стоимости, права доступа к системам BİLGE и NCTS.
- Персональные данные: паспортные и визовые данные водителей, удостоверения личности; контактные данные получателей. В Турции они подпадают под Закон № 6698 о защите персональных данных (KVKK), а регламент о разрешении TİO также обязывает его владельцев соблюдать это законодательство.
- Интеграции: клиентские порталы, устройства отслеживания, e-CMR и подключения к ERP.
Отраслевые риски рассматриваются в статье ISO 27001 в логистике, а физическая безопасность цепи поставок — в статье ISO 28000.
Типичные ошибки
- Ограничивать область применения только ИТ-отделом, хотя больше всего доступа к данным имеют операционный и таможенный отделы.
- Копировать Заявление о применимости из шаблона, не увязывая его с реальными рисками.
- Не контролировать доступ субподрядных перевозчиков и внешних таможенных брокеров к системам.
Чем может помочь Волтим Глобал?
Волтим Глобал имеет сертификаты ISO 28000 (система менеджмента безопасности цепи поставок) и ISO 50001 (система энергетического менеджмента). В услугах, где передаются данные о местоположении и перевозке, например отслеживание в реальном времени, правила доступа к данным и их передачи могут быть отдельно согласованы с клиентом.