Подготовка к ISO 27001 для финтех-компании: план, документы, аудит
Как финтех-компании подготовиться к ISO/IEC 27001:2022: контур СУИБ, оценка рисков, 93 меры приложения A, SoA, внутренний аудит и связь с DORA в лицензии.
Подготовка финтех-компании к ISO/IEC 27001 — это построение системы управления информационной безопасностью (СУИБ) по версии стандарта 2022 года и её проверка до сертификационного аудита: контур, оценка рисков, выбор мер из 93 мер приложения A, Положение о применимости (SoA), внутренний аудит и анализ со стороны руководства. Сертификат выдаёт независимый аккредитованный орган по сертификации. INNOVA готовит компанию к этому аудиту: документы СУИБ, реестр рисков, SoA, внутренний аудит и закрытие технических пробелов.
О безопасности финтех-компанию спрашивают банки и партнёры, часто анкетой по безопасности. Для лицензии электронных денег в Эстонии с 17 января 2025 года заявка описывает ИКТ-системы по регламенту ЕС о цифровой операционной устойчивости (DORA).
Сверено 21 октября 2026: ISO/IEC 27001:2022 и ISO/IEC 27002:2022 (состав мер), IAF MD 26 и бюллетень UKAS о переходе на версию 2022 года, Закон Эстонии о платёжных учреждениях и учреждениях электронных денег (§ 15).
Готовите финтех к ISO 27001 или к ИКТ-разделу лицензии? Соберём контур, реестр рисков и SoA и проведём внутренний аудит до сертификационного. Кибербезопасность и ISO/IEC 27001 → · Записаться на платную консультацию 30 минут (USD 99, засчитывается в стоимость проекта)
Что проверяет сертификационный аудит
Стандарт состоит из обязательных требований к системе (разделы 4–10) и приложения A с мерами безопасности. Аудитор проверяет обе части.
| Раздел ISO/IEC 27001:2022 | Что должно быть у компании |
|---|---|
| 4. Контекст | Границы СУИБ (scope): какие продукты, системы, офисы и облака входят |
| 5. Лидерство | Политика информационной безопасности, роли и ответственность |
| 6. Планирование | Процесс оценки и обработки рисков, Положение о применимости (SoA), цели безопасности |
| 7. Поддержка | Ресурсы, компетенции, осведомлённость сотрудников, управление документированной информацией |
| 8. Функционирование | Выполнение плана обработки рисков, контроль изменений и внешних поставщиков |
| 9. Оценка | Мониторинг, внутренний аудит, анализ со стороны руководства |
| 10. Улучшение | Несоответствия, корректирующие действия, постоянное улучшение |
93 меры приложения A: четыре темы
В версии 2022 года приложение A содержит 93 меры в четырёх темах: организационные (37), кадровые (8), физические (14) и технологические (34). В SoA компания указывает, какие меры применимы, почему и как они выполняются, а исключения обосновывает. Переход с версии 2013 года завершился 31 октября 2025 года, поэтому готовиться имеет смысл только по версии 2022 года.
План подготовки финтех-компании
- Контур СУИБ. Что проверить при определении границ: продакшн-среда обработки платежей, облачные аккаунты, API и интеграции с банками, CI/CD, поддержка клиентов и подрядчики с доступом к данным.
- Реестр активов и оценка рисков. Данные клиентов и платежей, ключи и секреты, учётные записи администраторов, поставщики облака и KYC.
- План обработки рисков и SoA. Какие меры приложения A закрывают каждый риск, кто владелец меры, какой срок.
- Политики и процедуры. Политика безопасности, доступ и MFA, управление изменениями, резервные копии с проверкой восстановления, реагирование на инциденты, работа с подрядчиками.
- Технические меры. Харднинг серверов, журналирование и оповещения, управление уязвимостями, тест на проникновение по согласованным рамкам.
- Внутренний аудит и анализ со стороны руководства. Проверка СУИБ по всем разделам и мерам SoA, список несоответствий и корректирующие действия до сертификационного аудита.
Срок подготовки зависит от размера контура и от того, что уже работает в компании; его мы называем в смете после согласования рамок.
ISO 27001, DORA и лицензия: как связаны
- DORA (регламент (ЕС) 2022/2554) применяется с 17 января 2025 года к финансовым организациям ЕС, в том числе к учреждениям электронных денег и платёжным учреждениям. Регламент задаёт требования к управлению ИКТ-рисками, ИКТ-инцидентам, тестированию цифровой операционной устойчивости и рискам ИКТ-подрядчиков.
- Лицензия EMI в Эстонии. В заявке в Finantsinspektsioon компания описывает ИКТ-системы и порядок использования ИКТ-услуг по DORA и прикладывает описание политики безопасности (Закон о платёжных учреждениях и учреждениях электронных денег, § 15 ч. 1 п. 9 и 19). Требования к самой лицензии разобраны на странице EMI-лицензия в Эстонии.
- Как помогает ISO 27001. Реестр рисков, политики и процедуры СУИБ дают основу для ИКТ-раздела заявки и для требований DORA; соответствие DORA проверяют по самому регламенту.
Что делает INNOVA
- Согласуем рамки письменно (scope letter): цели, даты, контакты, системы, которые трогать нельзя.
- Готовим комплект документов СУИБ: политики, реестр рисков, SoA.
- Проверяем сайты, серверы и офисную IT, исправляем найденное сами или вместе с вашим подрядчиком и перепроверяем.
- Проводим внутренний аудит и даём список того, что осталось до сертификационного аудита.
- Для финтех-лицензии готовим политики, реестр рисков и технические меры; саму лицензионную заявку ведёт наша практика лицензирования.
Мы сами работаем по собственной СУИБ на базе ISO/IEC 27001:2022. Стоимость — фиксированная смета после согласования рамок.
Вопросы и ответы
Кто выдаёт сертификат ISO 27001?
Независимый аккредитованный орган по сертификации, по итогам сертификационного аудита. Консультант, который готовил компанию, сертификат не выдаёт.
С чего начать подготовку к ISO 27001 в финтех-компании?
С границ СУИБ и оценки рисков: какие продукты, системы и подрядчики входят в контур и какие риски у данных клиентов и платежей. От этого зависят SoA, список политик и технические меры.
Сколько мер приложения A нужно выполнить?
В версии 2022 года приложение A содержит 93 меры. Применимые меры компания выбирает по результатам оценки рисков и фиксирует в Положении о применимости вместе с обоснованием исключений.
Нужен ли ISO 27001 для EMI-лицензии в Эстонии?
Закон Эстонии требует в заявке описания ИКТ-систем по DORA и описания политики безопасности. Сертификата ISO 27001 в перечне документов § 15 закона нет. СУИБ по стандарту даёт готовую основу для этого раздела заявки.
Сертификаты по версии 2013 года ещё действуют?
Переходный период по IAF MD 26 закончился 31 октября 2025 года. Подготовку и сертификацию ведут по ISO/IEC 27001:2022.
Следующие шаги
Пришлите одной строкой, какой продукт и какие системы должны войти в контур и есть ли срок от банка, партнёра или регулятора. Ответим письменно в течение 24 часов и предложим рамки работы. Кибербезопасность и ISO/IEC 27001 → · Связаться
Читайте также: EMI-лицензия в Эстонии, выбор юрисдикции для финтеха, криптолицензии в 2026 году.
Источники (сверено 21 октября 2026):
- ISO/IEC 27001:2022, Information security management systems — Requirements (разделы 4–10, приложение A); ISO/IEC 27002:2022 (93 меры, 4 темы)
- IAF MD 26:2023, Transition requirements for ISO/IEC 27001:2022; UKAS, Technical Bulletin «Transition to ISO/IEC 27001:2022»
- Регламент (ЕС) 2022/2554 (DORA), ст. 2 и ст. 64; EIOPA, Digital Operational Resilience Act
- Makseasutuste ja e-raha asutuste seadus, § 15 ч. 1 п. 9 и 19, RT I, 11.07.2026, 53
Решение о сертификации принимает орган по сертификации, о лицензии — регулятор.
Материал носит информационный характер и не является юридической или налоговой консультацией. Актуально на дату публикации.