Система управления ИБ по ISO/IEC 27001 для EMI и финтеха
Консультант ISO 27001 для EMI и финтеха строит систему управления информационной безопасностью, которую потом проверит орган по сертификации: контур, оценку рисков, декларацию применимости, политики, записи и внутренний аудит. Мы делаем эту работу вместе с вашей командой, связываем её с тем, что спрашивают регулятор и банки-партнёры, и передаём систему готовой к аккредитованному органу.
Вопрос партнёру · письменный ответ в течение 24 часов
Зачем EMI и финтеху ISO/IEC 27001
Сертификация по ISO/IEC 27001 добровольна. Финтех идёт к ней, потому что банки, партнёры и регуляторы спрашивают, как устроена защита, и сертификат даёт независимое подтверждение.
ISO пишет, что компания сама решает, проходить ли сертификацию, а сертификат выдаёт аккредитованный орган по оценке соответствия; орган по аккредитации независимо подтверждает его компетентность.
Где это пересекается с лицензией
DORA разрешает финансовым организациям ЕС работать только с ИКТ-поставщиками, которые соблюдают надлежащие стандарты информационной безопасности (ст. 28(5)). Заявка платёжной организации по PSD2 включает документ о политике безопасности с оценкой рисков и мерами контроля (ст. 5(1)(j)). СУИБ по ISO/IEC 27001 даёт общую основу для обоих документов и для анкет банков.
Внедрение ISMS в финтехе: что мы строим
Мы строим работающую СУИБ: контур, оценку и обработку рисков, декларацию применимости, политики, записи о работе мер, внутренний аудит и анализ со стороны руководства. Документы пишутся под ваши реальные системы и процессы.
Контур. Какие юрлица, продукты, облачные среды и офисы входят в систему. Для группы с EMI и технологической компанией это первое решение, которое влияет на всё остальное.
Риски. Реестр активов и рисков, оценка, план обработки с владельцами.
Декларация применимости. Каждая мера приложения A с решением, применяется ли она, обоснованием и ссылкой на доказательство.
Политики и процедуры. Только те, которые требуют выбранные меры, и написанные так, как вы реально работаете.
Записи. Журналы доступа, проверки резервного копирования, обучение, разбор инцидентов: то, что показывает, что меры работают.
Внутренний аудит и анализ руководством. Проводим внутренний аудит по стандарту и готовим материалы для анализа.
Каждую находку проверяет человек, а все документы принадлежат вам.
Декларация применимости SoA и приложение A редакции 2022 года
Приложение A ISO/IEC 27001:2022 содержит 93 меры в четырёх темах, 11 из них новые по сравнению с предыдущей редакцией. Декларация применимости показывает по каждой мере, применяется ли она, почему и где доказательство.
По данным UKAS, в редакции 2022 года 24 меры объединены и 58 обновлены. Переход сертификатов на новую редакцию органы по сертификации должны были завершить к 31 октября 2025 года, и при переходе обновлялись именно декларация применимости и план обработки рисков (IAF MD 26). Сегодня сертифицируются по ISO/IEC 27001:2022 с изменением 1:2024 о климатических аспектах.
Типичные решения для финтеха
Меры физической безопасности у полностью облачной EMI часто закрываются через провайдера, и это надо обосновать договором и отчётами провайдера. Меры безопасной разработки обязательны, если продукт пишется своими силами. Исключение без обоснования аудитор запишет как несоответствие.
Аудит ISO 27001: этап 1 и этап 2
Первичный сертификационный аудит проходит в два этапа, после чего идёт трёхлетний цикл с ежегодными надзорными аудитами и ресертификацией. Аудит проводит и решение о сертификате принимает аккредитованный орган по сертификации.
Документ IAF MD 5:2023 рассчитывает время первичного аудита как сумму этапа 1 и этапа 2 и указывает, что в первом трёхлетнем цикле на надзорные аудиты ежегодно уходит около трети времени первичного аудита.
Мы готовим компанию к обоим этапам: проводим внутренний аудит, закрываем несоответствия, собираем доказательства и проходим с ответственными вопросы аудитора. Если вам нужно сначала ответить банку, выверенная база СУИБ сразу закрывает большую часть анкеты по безопасности.
ISO 27001 и DORA: одна база контролей
ISO/IEC 27001 закрывает большую часть мер защиты и управления, которые требует DORA, а DORA добавляет свои требования: отчётность об инцидентах в часах, реестр ИКТ-договоров и ежегодный пересмотр системы с отчётом для органа. Мы строим СУИБ так, чтобы обе рамки опирались на одни документы.
По DORA система управления ИКТ-рисками документируется и пересматривается не реже раза в год (ст. 6(5)). Реестр информации о договорах на ИКТ-услуги передаётся органу целиком по запросу (ст. 28(3)). Мы добавляем эти элементы в СУИБ и делаем таблицу соответствия мер ISO требованиям DORA. Лицензионную часть ведёт наша практика лицензирования; подробности подготовки описаны в руководстве по ISO 27001 для финтеха.
Факты о стандарте и сертификации
Требование
Что это значит
Источник
ISO/IEC 27001:2022, третья редакция, октябрь 2022 года, изменение 1:2024
Сертифицируются по редакции 2022 года с изменением
Решение о контуре СУИБ и реестр активов и рисков с планом обработки
Декларацию применимости по 93 мерам приложения A с обоснованиями и ссылками на доказательства
Политики и процедуры под ваши реальные процессы и записи, которые показывают работу мер
Отчёт внутреннего аудита, материалы анализа руководством и список того, что осталось до сертификационного аудита
Что нужно от вас
Решение руководства о цели: сертификация, ответ банку или ИКТ-раздел лицензии
Владельца СУИБ с вашей стороны и время ИТ-команды или подрядчика
Перечень систем, облачных сервисов и поставщиков
Подписанное письмо о рамках работ
Границы работы
Сертификат выдаёт аккредитованный орган по сертификации; мы готовим компанию к его аудиту
Решение о сертификации и о несоответствиях принимает орган, его выбор и договор с ним остаются за вами
Сами мы сертификатом ISO/IEC 27001 не обладаем и выдать его не можем
Юридическое заключение о соответствии DORA или другим законам даёт юрист
Риски готовиться к ISO 27001 своими силами, с чат-ботом или фрилансером
Своими силами
Команда пишет 40 политик и откладывает записи. На этапе 2 аудитор просит журналы и протоколы за несколько месяцев, а их нет.
Чат-бот
Генерирует декларацию применимости с мерами, которых у вас нет, и с исключениями без обоснования. Аудитор сверяет SoA с практикой построчно.
Фрилансер
Продаёт комплект шаблонов под чужой контур. Документы расходятся с вашей облачной архитектурой, и правление подписывает то, чего не понимает.
Частые вопросы
Срок зависит от контура, числа систем и того, сколько мер уже работает с записями. Аудитору на этапе 2 нужны доказательства работы мер за период, поэтому записи стоит начинать вести как можно раньше. Реалистичный срок до сертификационного аудита мы называем после платной 30-минутной консультации и короткого разбора вашего текущего состояния.
Аккредитованный орган по сертификации, которого вы выбираете сами; орган по аккредитации подтверждает его компетентность. Консультант готовит систему, проводит внутренний аудит и закрывает несоответствия, а сертификат выдаёт только орган. При выборе органа стоит проверить, что его аккредитация признаётся там, где работают ваши банки и регуляторы.
Документ СУИБ, в котором по каждой из 93 мер приложения A ISO/IEC 27001:2022 указано, применяется ли мера, почему и где доказательство. Аудитор читает его первым и сверяет с практикой. Для финтеха важно честно обосновать исключения, например физические меры у полностью облачной компании, и связать каждую меру с записью или настройкой.
Как отдельное условие лицензии сертификат в DORA и PSD2 не назван. Заявка платёжной организации включает документ о политике безопасности, а DORA требует от финансовых организаций работать с поставщиками, соблюдающими надлежащие стандарты ИБ. СУИБ по ISO/IEC 27001 даёт для этого общую основу, а сертификат часто ускоряет разговор с банками.
Цена зависит от контура, числа юрлиц, систем и поставщиков, наличия политик и записей и того, нужна ли помощь с исправлениями настроек. После платной 30-минутной консультации мы фиксируем объём и цену в письме о рамках работ. Цена фиксированная. Стоимость сертификационного аудита определяет выбранный вами орган по сертификации отдельно.
Большую часть мер защиты и управления закрывает. DORA добавляет классификацию и отчётность об инцидентах в часах, реестр информации по ИКТ-договорам, обязательные условия договоров и ежегодный пересмотр системы с отчётом для органа. Мы встраиваем эти элементы в СУИБ и готовим таблицу соответствия, чтобы одна база документов работала на обе рамки.
