ISO/IEC 27001:2022 · Черногория
Внедрение стандарта ISO 27001 в Черногории
Обозначение в Черногории: MEST ISO/IEC 27001:2023
ISO/IEC 27001 — ведущий международный стандарт системы менеджмента информационной безопасностью (ISMS). Определяет, как организация выявляет риски для информации и систематически ими управляет — через людей, процессы и технологии.
Что такое ISO/IEC 27001:2022?
ISO 27001 защищает три свойства информации: конфиденциальность, целостность и доступность. Редакция 2022 года принесла модернизированное Приложение A с 93 контролями по четырём темам (организационные, кадровые, физические и технологические), включая новые контроли для облачных сервисов, оповещения об угрозах и безопасного кодирования.
Сегодня сертификат практически стал пропуском для серьёзных B2B-контрактов в ИТ-секторе, финансах и работе с государственным сектором — клиенты благодаря ему сокращают собственные проверки поставщиков. Кроме того, ISMS — естественная основа для приведения в соответствие с директивой NIS2, GDPR и отраслевыми нормами информационной безопасности.
ISO/IEC 27001 и Закон об информационной безопасности
Законодательная обязанность — срок июнь 2027 года
Закон об информационной безопасности (Сл. лист ЧГ, № 113/2024) вступил в силу 5 декабря 2024 года и гармонизирует Черногорию с директивой ЕС NIS2 — Черногория стала одной из первых стран Западных Балкан, сделавших это. Закон вводит категории «ключевых» и «важных субъектов»: государственные органы, операторов критической инфраструктуры и хозяйственные общества из чувствительных отраслей (энергетика, транспорт, здравоохранение, финансы, цифровая инфраструктура, публичные услуги и др.), независимо от их размера.
Из них только ключевые субъекты обязаны получить сертификат MEST ISO/IEC 27001 в течение 30 месяцев с момента вступления закона в силу — не позднее июня 2027 года; важные субъекты применяют предписанные меры безопасности без обязательного сертификата. Внедрение ISMS реально занимает несколько месяцев: инвентаризация информационных активов, оценка рисков, применение контролей из Приложения A и внутренний аудит. Чем раньше начать, тем меньше давление перед самим сроком.
Если вы не уверены, распространяется ли закон на вашу организацию, или сколько времени вам реально нужно для приведения в соответствие, свяжитесь с нами — бесплатно оценим объём работ и предложим план, который уложится в срок.
Этапы внедрения
Реальные этапы, через которые мы ведём каждый проект — от подготовки до сертификата, который приходит только в конце:
Улучшение и корректирующие действия
Шаги следуют структуре пунктов 4–10 самого стандарта, поэтому прогресс проекта одновременно является доказательством соответствия на аудите.
Контекст организации и область применения ISMS
Анализируем внутренние и внешние вопросы и заинтересованные стороны, точно определяем область применения — какие локации, процессы и системы входят в ISMS.
Лидерство и политика безопасности
Руководство утверждает Политику информационной безопасности, распределяются роли и ответственность, обеспечиваются ресурсы.
Оценка и обработка рисков
Сердце стандарта: инвентаризация информационных активов, выявление угроз и уязвимостей, оценка рисков и выбор контролей из Приложения A. Результат — План обработки рисков и Заявление о применимости (SoA).
Поддержка: ресурсы, компетенции, документация
Процедуры и записи, обучение и повышение осведомлённости — от фишинг-тестов до правил чистого стола и управления паролями.
Операционное применение контролей
Контроли из SoA переходят на практику: управление доступом, криптография, резервное копирование, инциденты, безопасность поставщиков, непрерывность.
Мониторинг, измерение и внутренний аудит
Показатели результативности, внутренний аудит всей ISMS и анализ со стороны руководства — обязательные доказательства для сертификации.
Улучшение и корректирующие действия
Несоответствия анализируются и устраняются; система входит в цикл PDCA постоянного улучшения.
Путь к сертификату
Сертификацию проводит независимый аккредитованный орган по сертификации в два этапа.
Предпосылка всего: система внедрена и применяется на практике — все требования стандарта выполнены, проведён внутренний аудит и анализ со стороны руководства.
Проверка того, документирована ли ISMS в соответствии со стандартом и готова ли к Этапу 2.
Интервью с сотрудниками и анализ доказательств того, что контроли действительно работают.
Сертификат сроком действия 3 года после устранения несоответствий.
Ежегодные проверки поддержания системы; на третий год — ресертификация.
Иллюстративный, типичный сценарий, который мы часто слышим от клиентов, — не описывает конкретного, названного клиента.
“До ISO/IEC 27001 мы даже не знали, сколько у нас на самом деле информационных активов — серверы, базы, договоры, доступы сотрудников, всё разбросано без учёта. В ходе внедрения мы составили реестр активов, классифицировали данные по конфиденциальности, оценили информационные риски и написали план непрерывности бизнеса на случай отказа системы. Сертификат был поводом, но сегодня мы точно знаем, что защищаем и от чего.”
— частый сценарий наших клиентов
Преимущества внедрения стандарта
Международно признанное доказательство серьёзной защиты данных — всё чаще условие для контрактов и тендеров.
Риски обрабатываются до инцидента, что снижает вероятность дорогостоящих утечек данных.
Прочная основа для NIS2, GDPR и законов об информационной безопасности.
Выделение на рынке, особенно в ИТ, финансовом и телекоммуникационном секторах.
Связь со смежными стандартами
NIST Cybersecurity Framework (CSF) и ISO 27001 отлично дополняют друг друга: функции NIST (Govern, Identify, Protect, Detect, Respond, Recover) напрямую сопоставляются с контролями Приложения A, поэтому организации, работающие с американским рынком, часто используют оба. ISO 27701 расширяет ISMS на конфиденциальность, ISO 22301 углубляет непрерывность бизнеса, а ISO 42001 охватывает управление искусственным интеллектом на тех же принципах.
Проводим обучение по всем стандартам, которые мы внедряем — от базового понимания до внутреннего аудитора.
Часто задаваемые вопросы об ISO/IEC 27001:2022
Сколько длится внедрение ISO 27001?
Для малых и средних организаций обычно 4–8 месяцев, в зависимости от зрелости процессов, объёма системы и загруженности команды. Для крупных систем — свыше 500 сотрудников, несколько локаций или интегрированная система из нескольких стандартов — проект реально длится больше года; таких клиентов мы также ведём.
Является ли ISO 27001 обязательным?
Для большинства организаций это добровольный стандарт. Закон об информационной безопасности (Сл. лист ЧГ 113/2024), действующий с декабря 2024 года и гармонизирующий Черногорию с директивой ЕС NIS2, вводит категории «ключевых» и «важных субъектов» — независимо от размера, это органы государства, операторы критической инфраструктуры и хозяйственные общества из чувствительных отраслей (энергетика, транспорт, здравоохранение, финансы, цифровая инфраструктура, публичные услуги и др). Сертификат MEST ISO/IEC 27001 в течение 30 месяцев с момента вступления закона в силу — не позднее июня 2027 года — закон требует только от ключевых субъектов. Важные субъекты применяют предписанные меры безопасности без обязательного сертификата, а для всех остальных сертификат добровольный — но его всё чаще требуют клиенты, тендеры и договоры. Кого это касается и какие сроки действуют, объясняем на странице NIS2 и Закон об информационной безопасности.
Что такое Приложение A?
93 контроля безопасности по 4 темам: организационные, кадровые, физические и технологические. Выбираются на основе оценки рисков и документируются в Заявлении о применимости (SoA).
В чём разница между ISO 27001 и NIST CSF?
ISO 27001 — сертификационный стандарт системы менеджмента; NIST CSF — добровольная система лучших практик. Они отлично дополняют друг друга и взаимно сопоставляются.
Сколько действует сертификат?
Три года, с обязательными ежегодными надзорными проверками, а затем ресертификация.
Сколько стоит внедрение ISO 27001?
Фиксированной цены, единой для всех, не существует — стоимость зависит от отрасли организации, её размера и числа сотрудников, выбранного стандарта и текущего состояния системы. Пришлите нам краткое описание вашей организации, и мы бесплатно подготовим ориентировочное предложение, адаптированное под вас.
Сертификат MEST EN ISO/IEC 27001 — что это значит?
Когда речь идёт о сертификате MEST EN ISO/IEC 27001 (то есть сертификате ISO/IEC 27001:2022), имеется в виду подтверждение, которое независимый аккредитованный орган по сертификации выдаёт организации, чья система соответствует всем требованиям данного стандарта. Национальная редакция стандарта в Черногории имеет содержание, идентичное международной редакции — те же требования, те же пункты, только под национальным обозначением — поэтому на тендерах встречаются оба обозначения одного и того же стандарта.
Почему обозначения различаются, а стандарт один и тот же?
Каждая страна — член европейской и международной системы стандартизации — включает один и тот же стандарт в собственный национальный каталог и добавляет к нему национальный префикс — в Черногории это MEST. Содержание, структура, пункты и все требования, которые аудитор проверяет при сертификации, остаются полностью идентичными независимо от того, какое обозначение указано в документе. Поэтому сертификат, выданный по одному обозначению, полностью покрывает и другое — речь идёт не о двух стандартах, а об одном и том же, только под двумя названиями.
Наша основная деятельность — внедрение стандартов: мы готовим вашу организацию так, чтобы сертификационный аудит прошёл без сюрпризов, а понятия «сертификация ISO/IEC 27001:2022» и «сертификат MEST EN ISO/IEC 27001» объясняем потому, что клиенты именно так их и ищут. Что включают в себя сертификация, аккредитация, IAF и надзорные аудиты — читайте на странице Сертификация / Сертификат ISO, а об обозначениях на тендерах — на странице Стандарты ISO на тендерах.
Стандарты, которые складываются в соты
Каждый стандарт сохраняет свою форму, но вместе они образуют единую, прочную интегрированную систему менеджмента (ИСМ) — без пробелов и пересечений. Нажмите на шестиугольник, чтобы открыть этот стандарт.
Подробнее об интегрированной системе менеджмента
Интегрированная система менеджмента (ИСМ) объединяет два или более стандартов ISO — например, ISO/IEC 27001 с ISO 9001 или ISO 14001 — в единую общую систему документации, целей и внутренних проверок, вместо того чтобы каждый стандарт существовал в своей параллельной процедуре.
Единая структура (структура высокого уровня — HLS), которую разделяют все современные стандарты ISO. Благодаря ей политика качества, управление рисками, внутренние аудиты и анализ со стороны руководства могут быть общими сразу для нескольких стандартов.
Каждый стандарт по отдельности решает одну часть бизнеса — качество, окружающую среду, безопасность, информацию. Когда организация внедряет несколько из них, разрозненные системы быстро дублируют одну и ту же документацию и одних и тех же аудиторов.
Меньше дублирования процедур, более простое управление, более сильный контроль над процессами, более эффективное использование ресурсов и более лёгкая подготовка к объединённому сертификационному аудиту.
ISO/IEC 27001 можно внедрить самостоятельно или как часть интегрированной системы — решение зависит от числа стандартов, на которые вы нацелены, и от того, внедряете ли вы их одновременно или постепенно.
Проверьте готовность вашей организации
Ответьте на несколько вопросов и получите ориентировочную оценку текущего уровня готовности вашей организации (ISO/IEC 27001).
Эта самооценка даёт только ориентировочный результат готовности. Она не является сертификацией, официальным аудитом или формальным подтверждением соответствия.
Некоторые из наших референций
Более 400 организаций в Черногории и регионе прошли внедрение вместе с нами — от банков и государственных органов до производства, ИТ, лабораторий и гостиничного бизнеса.
Это лишь часть наших клиентов. Подробнее о нас →
Запросите бесплатную консультацию
Оценим объём работ и предложим реалистичный план и бюджет для вашей организации. Позвоните нам или отправьте запрос — отвечаем в течение 24 часов.