Сертификация ГОСТ Р ИСО/МЭК 27001-2021 в Набережных Челнах

Сертификация по ГОСТ Р ИСО/МЭК 27001-2021 — это коммерческая услуга по подготовке системы менеджмента информационной безопасности к сертификационному аудиту и сопровождению до получения сертификата соответствия. Реестр Гарант проводит обследование, помогает выстроить процессы, готовит документы и сопровождает заказчика во взаимодействии с выбранным аккредитованным органом по сертификации.

ГОСТ Р ИСО/МЭК 27001-2021 устанавливает требования к системе менеджмента информационной безопасности, или СМИБ. Сертификат подтверждает, что компания управляет защитой информации системно: оценивает риски, выбирает меры защиты, контролирует выполнение процедур и улучшает систему. Одних политик «для галочки» для этого недостаточно.

Сертификат может потребоваться корпоративным заказчикам, тендерным площадкам, инвесторам и партнёрам. Чаще всего его запрашивают у ИТ-аутсорсеров, разработчиков программного обеспечения, финтех-компаний, дата-центров, облачных провайдеров и подрядчиков, работающих с информацией заказчика.

Что входит в сопровождение сертификации

На первой консультации определяем цель проекта, область СМИБ и требования заказчика или тендерной документации. Затем проводим gap-анализ, фиксируем разрывы между текущими процессами и ГОСТ Р ИСО/МЭК 27001-2021, формируем план работ и готовим компанию к внешнему аудиту.

В услугу входят:

• gap-анализ по ГОСТ Р ИСО/МЭК 27001-2021;
• определение области СМИБ;
• разработка политики и целей информационной безопасности;
• оценка рисков и подготовка плана их обработки;
• формирование реестра активов;
• подготовка Перечня применимости, или Statement of Applicability, SoA;
• разработка регламентов управления доступом, инцидентами, изменениями, резервным копированием, поставщиками и непрерывностью бизнеса;
• обучение сотрудников;
• внутренний аудит;
• анализ со стороны руководства;
• подготовка корректирующих действий;
• предаудит;
• помощь в выборе аккредитованного органа по сертификации;
• сопровождение внешнего сертификационного аудита;
• поддержка после выдачи сертификата.

Сертификат выдаёт не консультант. Реестр Гарант сопровождает внедрение СМИБ и подготовку к аудиту, а соответствие требованиям ГОСТ Р ИСО/МЭК 27001-2021 подтверждает выбранный аккредитованный орган по сертификации.

Стоимость сопровождения начинается от 11 000 ₽. Итоговую сумму рассчитываем после короткого брифа и оценки области СМИБ.

Позвоните: +7 920-898-17-18.

Кому подходит сертификация по ГОСТ Р ИСО/МЭК 27001-2021

Услуга подходит компаниям, которым нужно документально подтвердить управление информационной безопасностью перед заказчиком, партнёром, инвестором или тендерной комиссией.

Когда сертификат не нужен

ГОСТ Р ИСО/МЭК 27001-2021 относится к добровольным стандартам. Небольшой студии или интернет-магазину без корпоративных контрактов сертификат может не дать коммерческой выгоды, если ни один заказчик не включает его в требования. В такой ситуации разумнее направить ресурсы на резервное копирование, контроль доступа, обучение сотрудников и выполнение обязательных требований Федерального закона № 152-ФЗ.

К сертификации можно вернуться, когда конкретный заказчик включит её в договор, техническое задание или тендерную документацию.

Сертификат СМИБ также не заменяет лицензирование деятельности по технической защите конфиденциальной информации. Если компания собирается сама оказывать такие услуги, ей требуется изучить порядок лицензирования ФСТЭК России. Сертификацию по ГОСТ Р ИСО/МЭК 27001-2021 можно рассматривать отдельно как подтверждение зрелости менеджмента информационной безопасности.

Если заказчик просит «сертификат ISO», но не уточняет стандарт, формулировку нужно согласовать до начала проекта. ISO 9001 относится к системе менеджмента качества, а ГОСТ Р ИСО/МЭК 27001-2021 регулирует систему менеджмента информационной безопасности. У этих проектов различаются документы, область проверки и состав аудита.

Что подтверждает сертификат

Сертификат по ГОСТ Р ИСО/МЭК 27001-2021 подтверждает соответствие заявленной области СМИБ требованиям национального стандарта. Область может охватывать отдельный продукт, сервис, процесс, подразделение, площадку или их сочетание.

Границы области фиксируются в документах системы. В них указывают, какие подразделения, информационные активы, процессы, площадки и услуги входят в систему менеджмента информационной безопасности. Узкая область уменьшает объём проекта, но заказчик вправе потребовать включить в неё конкретные процессы, связанные с его договором.

Сертификат не подтверждает безопасность всей компании без ограничений. Его действие связано с заявленной областью, которую рассматривает аудитор. Если в тендере указан конкретный сервис или площадка, именно они должны быть отражены в области СМИБ.

На аудите проверяют не только наличие документов. Аудитор изучает записи, журналы, протоколы, результаты внутренних проверок и доказательства того, что сотрудники действительно выполняют установленные процедуры.

Почему компании обращаются за сертификацией

Сертификат нужен для решения прикладных коммерческих задач:

• допуска к тендерам;
• выполнения требований корпоративных клиентов;
• подтверждения зрелости процессов перед инвесторами;
• прохождения анкет безопасности поставщика;
• снижения операционных и регуляторных рисков;
• подготовки доказательной базы после инцидента;
• повышения доверия к ИТ-сервису, облачной платформе или подрядчику.

А что будет, если у компании есть политики, но нет записей об их выполнении? На внешнем аудите такой комплект не подтверждает работу СМИБ. Аудитор ожидает увидеть результаты оценки рисков, записи по доступам, сведения об инцидентах, документы обучения, отчёт внутреннего аудита и анализ со стороны руководства.

Этапы сертификации ГОСТ Р ИСО/МЭК 27001-2021

1. Первая консультация

Уточняем задачу, требования заказчиков или тендеров, предполагаемую область СМИБ и формат работы. На этом этапе важно понять, требуется ли сертификат для всей компании, одного сервиса, отдельной площадки или конкретного подразделения.

2. Обследование и gap-анализ

Сравниваем текущие процессы с требованиями ГОСТ Р ИСО/МЭК 27001-2021. Проверяем, как компания управляет активами, доступами, инцидентами, рисками, подрядчиками, изменениями, резервным копированием и непрерывностью бизнеса.

Результат gap-анализа:

• перечень выявленных разрывов;
• список недостающих документов;
• оценка зрелости процессов;
• приоритеты устранения несоответствий;
• план-график работ;
• распределение зон ответственности.

3. Проектирование СМИБ

Формируем структуру системы под деятельность заказчика, а не по универсальному шаблону. Определяем роли, ответственность руководства и сотрудников, цели информационной безопасности, заинтересованные стороны и порядок управления рисками.

Размер области, число площадок, количество сотрудников и сложность процессов определяют состав проектной команды и объём интервью. Небольшая область с одним сервисом требует меньше документов, чем холдинг с несколькими площадками и большим числом подрядчиков.

4. Оценка рисков и план обработки

Компания определяет, какие активы нужно защищать, от каких угроз и с какими последствиями. На основании оценки рисков выбирают меры защиты, назначают ответственных и формируют план обработки рисков.

В проект входят:

• методика оценки рисков;
• реестр активов;
• реестр рисков;
• отчёт по оценке рисков;
• план обработки рисков;
• обоснование выбранных мер.

5. Подготовка документов и записей

Готовим политику и цели информационной безопасности, регламенты, инструкции и формы записей. Документы должны соответствовать реальным процессам компании. Если процедура не выполняется, её наличие само по себе не помогает на аудите.

В состав документированной информации входят:

• политика информационной безопасности;
• цели и показатели СМИБ;
• описание области системы;
• распределение ролей и ответственности;
• методика оценки рисков;
• реестр активов;
• реестр рисков;
• план обработки рисков;
• Перечень применимости;
• регламенты управления доступом;
• порядок управления инцидентами;
• порядок управления изменениями;
• процедура резервного копирования;
• требования к поставщикам;
• процедуры обеспечения непрерывности бизнеса;
• записи об обучении;
• документы внутренних аудитов;
• материалы анализа со стороны руководства;
• корректирующие действия.

6. Перечень применимости

Перечень применимости, или Statement of Applicability, SoA, фиксирует меры из Приложения А, которые компания применяет, исключает или считает неприменимыми. Для каждого решения требуется обоснование.

SoA связывает оценку рисков, выбранные меры защиты и фактические процессы. Если документ составлен формально или не соответствует области СМИБ, аудитору сложно проверить логику выбора. Это становится причиной замечаний и несоответствий.

7. Обучение сотрудников

Сотрудники должны понимать свои роли в СМИБ и знать, какие процедуры они выполняют. Обучение касается управления доступом, реагирования на инциденты, работы с информацией, резервного копирования, требований к подрядчикам и других процессов, включённых в область системы.

Результаты обучения подтверждают протоколы, списки участников, программы и иные записи, предусмотренные системой.

8. Внутренний аудит и анализ руководства

Внутренний аудит показывает, насколько процессы соответствуют требованиям стандарта и внутренним регламентам. Проверяющий изучает не только документы, но и фактические записи.

После внутреннего аудита руководство анализирует состояние СМИБ, выявленные проблемы, результаты оценки рисков и потребность в улучшениях. Затем компания выполняет корректирующие действия и сохраняет доказательства их выполнения.

9. Предаудит и выбор органа

Перед внешней проверкой проводим предаудит. Он помогает выявить разрывы, которые ещё можно устранить до обращения в орган по сертификации.

При выборе органа учитываем область его аккредитации, компетентность в нужной отрасли, географию работ, язык документов и требования заказчика к признанию сертификата. Важно заранее проверить, принимает ли конкретный тендер или корпоративный клиент сертификат выбранного органа.

10. Внешний сертификационный аудит

Аккредитованный орган проводит аудит заявленной области СМИБ. Аудитор проверяет соответствие требованиям стандарта, применимость выбранных мер, работу процессов, внутренний аудит, анализ руководства и записи.

Если выявлены несоответствия, орган отражает их в отчёте. Реестр Гарант помогает разобрать замечания, подготовить корректирующие действия и сопроводить повторную проверку.

11. Поддержка после выдачи сертификата

После получения сертификата СМИБ нужно поддерживать. Компания продолжает вести записи, проводить внутренние проверки, анализировать риски, обучать сотрудников и улучшать процессы.

Поддержка после выдачи сертификата включает мониторинг, подготовку к надзорным аудитам и помощь в устранении выявленных несоответствий.

Сроки проекта

Точный срок до внешнего аудита определяем после gap-анализа. Он зависит от размера компании, зрелости процессов, численности персонала, количества площадок, области СМИБ, отраслевых требований и риск-профиля.

Отдельная доработка уже работающей системы занимает меньше времени, чем внедрение СМИБ с нуля. Если в компании есть политики, реестры, записи и внутренние проверки, проект сосредоточится на устранении разрывов. При отсутствии базовых процессов потребуется подготовить реестр активов, оценить риски, разработать процедуры, обучить сотрудников и провести внутренний аудит.

На срок также влияет формат работы. Дистанционно интервью, подготовка документов и обучение проходят по согласованному графику. Очный выезд возможен при необходимости и согласуется отдельно с учётом области СМИБ, количества площадок и состава работ.

План-график с этапами, ответственными и ожидаемыми результатами фиксируем после обследования.

Стоимость сопровождения

Стартовая цена сопровождения сертификации по ГОСТ Р ИСО/МЭК 27001-2021 составляет от 11 000 ₽. Это начальная стоимость, а не универсальная цена полного проекта.

Чтобы рассчитать стоимость под вашу область СМИБ, позвоните: +7 920-898-17-18.

Пример из практики

Клиент из сферы ИТ-аутсорса готовился к тендеру, где заказчик требовал ISO/IEC 27001. Политики информационной безопасности в компании были, но единой методики оценки рисков и Перечня применимости не хватало, а реестр активов вёлся фрагментарно.

Что сделали по шагам: провели gap-анализ, определили область СМИБ, собрали реестр активов, настроили методику оценки рисков и процедуру управления изменениями, подготовили SoA, обучили сотрудников и провели внутренний аудит. Затем помогли выбрать аккредитованный орган и сопроводили внешний аудит. Компания прошла проверку с минимальными замечаниями, получила сертификат и была допущена к тендеру.

Какие документы понадобились:

• Политика и цели информационной безопасности, распределение ролей и ответственности.
• Методика оценки рисков, реестр активов, отчёт по рискам и план их обработки.
• Перечень применимости (Statement of Applicability, SoA).
• Регламенты управления доступом, инцидентами, резервным копированием, поставщиками и непрерывностью.
• Протоколы обучения, отчёты внутреннего аудита и анализа со стороны руководства.

Требования стандарта к системе менеджмента информационной безопасности

ГОСТ Р ИСО/МЭК 27001-2021 описывает систему взаимосвязанных процессов, которые помогают защищать информацию от утечки, искажения и недоступности. В центре системы находится управление рисками.

Компания определяет контекст деятельности и заинтересованные стороны, устанавливает границы СМИБ, распределяет ответственность и планирует работу. Затем она внедряет процессы, оценивает результативность и постоянно улучшает систему.

Структура системы включает:

• контекст организации;
• лидерство;
• планирование;
• поддержку;
• операционную деятельность;
• оценку результативности;
• улучшение.

Контрольные меры собраны в Приложении А, или Annex A. Подробное описание мер приводит смежный стандарт ISO/IEC 27002. На сертификационном аудите проверяют не только выбор мер, но и их применимость к конкретной области СМИБ.

Три распространённые ошибки

Миф об обязательности. Сертификация по ГОСТ Р ИСО/МЭК 27001-2021 добровольна сама по себе. Обязательные требования устанавливают законы и регуляторы, а СМИБ помогает управлять ими системно и подтверждать выполнение процессов.

Набор политик без работающего риск-менеджмента. Компания может иметь документы, но не вести оценку рисков, не обновлять SoA и не сохранять записи о выполнении процедур. Внешний аудитор оценивает работу системы, а не объём папки с политиками.

Подмена стандарта регуляторными требованиями. ГОСТ Р ИСО/МЭК 27001-2021 не заменяет отраслевые документы по технической защите информации, лицензии и аттестации. Эти рамки решают разные задачи.

Обязательные требования и ответственность

Отсутствие сертификата по ГОСТ Р ИСО/МЭК 27001-2021 само по себе не влечёт штраф. Ответственность возникает за нарушение обязательных требований по защите информации, персональных данных и конфиденциальных сведений.

Федеральный закон № 152-ФЗ регулирует обработку персональных данных. Федеральный закон № 187-ФЗ устанавливает требования в сфере безопасности критической информационной инфраструктуры. Федеральный закон № 149-ФЗ «Об информации, информационных технологиях и о защите информации» закрепляет общие правила обращения с информацией и её защиты.

КоАП РФ предусматривает ответственность, в частности:

• статья 13.11 касается нарушений при обработке персональных данных;
• статья 13.12 касается нарушения правил защиты информации;
• статья 13.14 касается разглашения сведений с ограниченным доступом.

Полномочия распределены между ведомствами. Роскомнадзор контролирует соблюдение требований к персональным данным. ФСТЭК России устанавливает требования по технической защите информации. ФСБ России отвечает за применение средств криптографической защиты в пределах своих полномочий.

Аккредитованные органы проводят сертификацию систем менеджмента. Их аккредитацию подтверждает Федеральная служба по аккредитации, или Росаккредитация.

Сертификация не отменяет требования законодательства. Она помогает распределить ответственность, оценить риски, закрепить процедуры и собрать доказательства выполнения обязательных требований.

Отраслевые сценарии

ИТ-аутсорсинг и разработка программного обеспечения

В области СМИБ фиксируют защиту исходного кода и репозиториев, управление доступами и уязвимостями, безопасные практики разработки и контроль поставщиков. Для таких компаний сертификат часто становится условием допуска к корпоративному тендеру.

Если заказчику нужно подтвердить безопасность самого программного продукта, а не только системы менеджмента, он может отдельно запросить оценку по схеме Common Criteria, связанной со стандартом ISO/IEC 15408. Такая оценка не заменяет сертификацию СМИБ.

Финтех и платёжные сервисы

Для финтех-компаний важны управление инцидентами, контроль доступа, криптографическая защита и взаимодействие с банками-партнёрами. СМИБ связывают с антифрод-процессами и требованиями контрагентов.

Доказательства нужны не только аудитору. Их могут запросить банки, платёжные партнёры и корпоративные клиенты.

E-commerce и логистика

В этой области в СМИБ включают защиту персональных данных покупателей, управление инцидентами и непрерывность бизнеса. Сбой склада, платёжного шлюза или логистической системы влияет на выполнение заказов и выручку.

Сертификат становится дополнительным аргументом в переговорах с крупными контрагентами и маркетплейсами.

Дата-центры и облачные провайдеры

Для дата-центров и облачных сервисов важны разграничение ответственности между провайдером и клиентом, физическая и логическая безопасность, мониторинг событий безопасности и управление доступом.

Область СМИБ должна ясно показывать, какие процессы контролирует провайдер, а какие зависят от клиента. Это снижает риск разночтений при аудите и согласовании договора.

Подрядчики для госсектора

В техническом задании важно корректно указать требуемый стандарт, область сертификации и ожидаемый результат. ГОСТ Р ИСО/МЭК 27001-2021 нужно связать с внутренними требованиями заказчика по защите информации, не подменяя ими сам стандарт.

Ошибка в формулировке стандарта в техническом задании может привести к спору на этапе приёмки.

Как работаем по всей России

Реестр Гарант оказывает услугу дистанционно по всей России. Консультации, интервью, подготовку документов, обучение и рабочие встречи проводим онлайн. Очный выезд возможен при необходимости и согласуется отдельно с учётом региона, количества площадок и состава проекта.

На стороне заказчика нужна небольшая проектная команда. Её участники предоставляют исходные сведения, участвуют в интервью, согласуют область СМИБ, подтверждают процессы и обеспечивают доступ к необходимым записям.

Результат проекта зависит от сотрудничества заказчика с консультантами. Компания должна предоставить достоверные сведения об активах, процессах, подрядчиках, рисках и фактических мерах защиты. Формальный комплект документов без участия сотрудников не обеспечивает готовность к аудиту.

Телефон для консультации: +7 920-898-17-18.

Документы и исходные данные

Для начала проекта понадобятся:

• карточка компании;
• описание сертифицируемой области;
• сведения о подразделениях и площадках;
• реестр активов;
• схема данных;
• перечень информационных систем;
• сведения о подрядчиках;
• действующая политика информационной безопасности;
• методика оценки рисков;
• реестр рисков;
• заявление о применимости;
• записи по доступам;
• записи об инцидентах;
• документы обучения;
• отчёты внутренних аудитов;
• материалы анализа со стороны руководства.

Если часть документов отсутствует, это не блокирует проект. Gap-анализ покажет, какие материалы нужно разработать, какие процессы уже работают и какие записи предстоит сформировать.

Критерии готовности к внешнему аудиту

Перед обращением в орган по сертификации должны быть определены границы СМИБ, проведена оценка рисков и подготовлен план обработки рисков. Перечень применимости должен объяснять выбор мер, а сотрудники должны понимать свои обязанности.

Минимальный набор подтверждений включает:

• работающие процедуры управления доступом;
• записи об инцидентах или подтверждение отсутствия инцидентов за выбранный период;
• записи обучения;
• результаты внутреннего аудита;
• анализ со стороны руководства;
• корректирующие действия;
• актуальные сведения об активах и рисках;
• доказательства выполнения ключевых процедур.

Перед внешним аудитом проверяем, согласуются ли документы между собой. Область СМИБ должна совпадать с фактическими процессами, реестр активов должен поддерживать оценку рисков, а SoA должен соответствовать выбранным мерам и их обоснованию.

Поддержка после выдачи сертификата

Выдача сертификата не завершает работу СМИБ. Компания продолжает вести записи, контролировать доступы, пересматривать риски, обучать сотрудников и анализировать инциденты.

Поддержка после сертификации нужна для:

• подготовки к надзорным аудитам;
• обновления документов;
• контроля корректирующих действий;
• пересмотра области СМИБ;
• актуализации реестра активов и рисков;
• проверки работы мер защиты;
• подготовки сотрудников к интервью с аудитором.

Изменение продукта, площадки, подрядчика или структуры компании может потребовать пересмотра области системы и связанных документов.

Дополнительные работы

Основная услуга страницы связана с сертификацией по ГОСТ Р ИСО/МЭК 27001-2021. Отдельным проектом заказчику могут понадобиться смежные работы, если их прямо требуют клиенты, тендеры или отраслевые процессы.

Контур информационной безопасности для тендеров и корпоративных заказчиков

Крупные заказчики и банки оценивают подрядчика не по одному сертификату. Они смотрят, как компания защищает информацию, оценивает риски и восстанавливает процессы после сбоя.

В зависимости от задачи могут рассматриваться:

• сертификация по ГОСТ Р ИСО/МЭК 27001-2021 как основа системы менеджмента информационной безопасности;
• сертификация по ГОСТ Р ИСО 22301 для управления непрерывностью бизнеса;
• внедрение ГОСТ Р ИСО 31000 для единого подхода к оценке рисков;
• регистрация в реестре операторов персональных данных Роскомнадзора, если компания обрабатывает персональные данные и для неё применяются соответствующие требования.

Смежные направления оценивают отдельно после проверки задачи, области применения и исходных документов. Их стоимость не включена автоматически в сопровождение по ГОСТ Р ИСО/МЭК 27001-2021.

Состав комплекта, отдельные этапы и итоговую смету согласуем после изучения исходных данных. Эти работы не заменяют основную услугу и подключаются только при наличии соответствующей задачи.

О компании и распределении ответственности

Реестр Гарант работает с 2015 года. Компания сопровождает подготовку СМИБ, помогает выбрать аккредитованный орган по сертификации и ведёт проект до внешнего аудита и получения результата по договору.

Реестр Гарант не подменяет орган по сертификации. Консультант готовит систему, документы и сотрудников, а аккредитованный орган проводит проверку и выдаёт сертификат соответствия ГОСТ Р ИСО/МЭК 27001-2021.

Такое разделение важно для заказчика: подготовка к аудиту и независимая оценка соответствия являются разными действиями.

Частые вопросы

Для чего нужен сертификат ГОСТ Р ИСО/МЭК 27001-2021?

Сертификат нужен для участия в тендерах, выполнения требований корпоративных клиентов и инвесторов, а также для подтверждения зрелости процессов информационной безопасности. Он показывает, что у компании действует система управления рисками, ролями, процедурами и доказательствами выполнения, а не только набор политик.

Реестр Гарант сам выдаёт сертификат?

Нет. Реестр Гарант сопровождает внедрение СМИБ, подготовку документов, внутренний аудит и взаимодействие с органом. Сертификат соответствия ГОСТ Р ИСО/МЭК 27001-2021 выдаёт выбранный аккредитованный орган по сертификации, аккредитацию которого подтверждает Росаккредитация.

Что входит в услугу?

В услугу входят gap-анализ, определение области СМИБ, разработка документов, оценка рисков, подготовка SoA, обучение сотрудников, внутренний аудит, анализ со стороны руководства, корректирующие действия, предаудит, помощь в выборе органа и сопровождение внешнего аудита.

Сколько времени занимает подготовка?

Точный график определяем после gap-анализа. На срок влияют размер компании, количество площадок, численность персонала, зрелость процессов, область СМИБ и риск-профиль. Внедрение с нуля требует больше этапов, чем доработка уже работающей системы.

Можно ли сертифицировать только одно направление?

Да. Область СМИБ можно определить для отдельного продукта, сервиса, подразделения или площадки. Границы фиксируются в документах и проверяются на аудите. Узкая область сокращает объём работ, но должна включать процессы, которые заказчик требует подтвердить в тендере или договоре.

Что будет, если внешний аудит выявит несоответствия?

Аудитор фиксирует несоответствия в отчёте. Реестр Гарант помогает разобрать замечания, подготовить корректирующие действия и сопроводить повторную проверку. Предаудит и внутренний аудит позволяют выявить значительную часть разрывов до обращения в орган по сертификации.

Нужно ли выбирать ГОСТ Р или ISO/IEC 27001:2022?

Основная услуга этой страницы предназначена для подготовки к сертификации по ГОСТ Р ИСО/МЭК 27001-2021. Если сертификат нужен зарубежному клиенту или для международного тендера, заказчик может потребовать ISO/IEC 27001:2022. Выбор зависит от требований заказчика, географии и возможностей выбранного органа.

Нужен ли сертификат, если уже есть регламенты по 152-ФЗ?

Внутренние регламенты помогают выполнить обязательные требования законодательства о персональных данных. Сертификация по ГОСТ Р ИСО/МЭК 27001-2021 решает другую задачу: выстраивает систему управления информационной безопасностью, включая риск-менеджмент, роли, внутренний аудит, анализ руководства и постоянное улучшение.

Можно ли пройти проект дистанционно?

Да. Реестр Гарант работает дистанционно по всей России. Интервью, подготовка документов, обучение и рабочие встречи проходят онлайн. Очный выезд возможен при необходимости и согласуется отдельно.

Сведения о стандартах и нормативных требованиях

Российский национальный стандарт ГОСТ Р ИСО/МЭК 27001-2021 действует и идентичен ISO/IEC 27001:2013. Международная организация по стандартизации опубликовала ISO/IEC 27001:2022 как текущую редакцию; к ней опубликована поправка 2024 года. Поэтому в договоре и закупочной документации важно указать точную редакцию, область сертификации и требования заказчика к признанию сертификата. Наличие российского сертификата само по себе не подтверждает соответствие требованиям конкретной международной закупки.

Сведения сверены 13 октября 2026 года по официальным источникам.

Источники по редакциям: карточка российского ГОСТ в Росстандарте и страница ISO/IEC 27001 на сайте ISO.

Связанные материалы

• международная сертификация ISO и её отличия от российской
• Common Criteria (ISO/IEC 15408)
• лицензия ФСТЭК под ключ
• сертификация ISO 9001