ISO/IEC 27001
ISO/IEC 27001 визначає вимоги до системи управління інформаційною безпекою: як оцінювати ризики, обирати заходи захисту та перевіряти їх результативність.
Огляд
Система управління інформаційною безпекою (СУІБ) поєднує відповідальність керівництва, робочі процеси, людей і технології. Вона допомагає зберігати конфіденційність, цілісність і доступність інформації, включно з паперовими документами та хмарними сервісами.
Ця сторінка пояснює вимоги та їх застосування. Для впровадження й аудиту потрібне офіційне видання стандарту; огляд не відтворює його повний текст.
Для кого призначений стандарт
Керівництво визначає цілі й ресурси; фахівці з безпеки та власники процесів керують ризиками; кадрові, юридичні та закупівельні команди забезпечують відповідні процедури. Аудитори перевіряють, чи система працює на практиці.
Стандарт придатний для малих і великих організацій. Обсяг роботи залежить від їхніх процесів та ризиків, а не від однакового набору документів для всіх.
Для яких галузей
Галузевих обмежень немає. Практичні приклади: захист клієнтських середовищ в ІТ, доступність послуг у фінансах, медичні записи в лікарні, виробнича документація на підприємстві та реєстри в органі влади.
Галузеве законодавство та договори враховують окремо. Сертифікат не підтверджує автоматичного виконання всіх вимог щодо персональних даних чи критичної інфраструктури.
Контекст, межі та відповідальність
Спочатку визначають, які послуги, підрозділи, місця та інформація входять до СУІБ, і враховують залежності від постачальників. Керівництво затверджує політику, розподіляє відповідальність та забезпечує ресурси.
Зміна Amd 1:2024 до міжнародної редакції уточнює контекст: потрібно визначити релевантність зміни клімату; зацікавлені сторони можуть мати пов’язані з нею вимоги.
Оцінювання та оброблення ризиків
Організація встановлює критерії оцінювання й прийняття ризиків. Для конкретного процесу з’ясовує, що може статися з інформацією, наскільки це ймовірно та які наслідки матиме; визначає власника ризику і пріоритет дій.
Результат — план оброблення ризиків із заходами, відповідальними та строками. Власники ризиків погоджують план і прийняття залишкового ризику; оцінку переглядають при суттєвих змінах.
Заходи захисту та декларація застосовності
Додаток A містить 93 заходи у 4 групах: організаційні, щодо людей, фізичні та технологічні. Необхідні заходи визначають за ризиками й вимогами та звіряють із додатком, щоб нічого важливого не пропустити; можна додавати інші заходи.
Декларація застосовності (Statement of Applicability, SoA) пояснює необхідні заходи, причини їх включення, стан впровадження й обґрунтування виключень із додатка A. Сам список із позначками не доводить виконання стандарту.
Щоденна робота та докази
Політики мають перетворюватися на виконувані процедури: надання й відкликання доступу, роботу з постачальниками, реагування на інциденти, резервування та навчання. Для обраних заходів визначають відповідальних і зберігають докази виконання.
Наприклад, для звільнення працівника корисно перевірити, хто відкликає доступ до сервісів, як це підтверджується та чи повернуто носії. Це навчальний приклад перевірки процесу, а не готова універсальна процедура.
Аудит, вдосконалення та сертифікація
Результативність оцінюють за показниками, внутрішніми аудитами та аналізом керівництва. Виявлену невідповідність виправляють, встановлюють її причину й перевіряють, чи коригувальна дія запобігла повторенню.
Незалежна сертифікація стосується СУІБ організації в зазначених межах, а не особистої кваліфікації працівника. Вона не гарантує відсутності інцидентів. Перед покладанням на сертифікат перевіряють сферу, редакцію, строк дії та орган, який його видав.
Українське видання та пов’язані документи
ДСТУ ISO/IEC 27001:2023 є ідентичним прийняттям ISO/IEC 27001:2022. Рік 2023 у національному позначенні не означає окремої міжнародної редакції. Міжнародна зміна Amd 1:2024 має власне позначення; її національне прийняття слід перевіряти окремо.
Розділ 3 ISO/IEC 27001 відсилає до ISO/IEC 27000 щодо термінів. На цій сторінці наведено 77 словникових статей редакції 2018 року. Це архівне джерело: ISO/IEC 27000:2018 замінено на ISO/IEC 27000:2026, тому для поточного застосування потрібно перевіряти чинний текст нормативного посилання.
ISO/IEC 27002 пояснює заходи захисту, а ISO/IEC 27005 — роботу з ризиками. Вони допомагають застосовувати вимоги ISO/IEC 27001, але мають інше призначення.
Кому це буде корисно
Картки показують, як кожна група може використати підхід СУІБ у своїй роботі або навчанні. Наведені приклади є навчальними сценаріями.
Для навчальних закладів
Практична користь. Побудувати навчання навколо керування ризиками та перевірки процесів.
Що вивчити насамперед. Межі СУІБ, ролі, ризики та докази виконання.
Приклад застосування. Розібрати захист навчальної платформи та розподілити відповідальність між кафедрою й ІТ.
Більше про напрям для цієї групиДля студентів
Практична користь. Зрозуміти, як технічні заходи пов’язані з управлінськими рішеннями.
Що вивчити насамперед. Оцінка ризиків, декларація застосовності та внутрішній аудит.
Приклад застосування. Для уявної компанії обґрунтувати резервування та спосіб перевірки відновлення.
Більше про напрям для цієї групиДля бізнесу
Практична користь. Узгодити безпеку з послугами, договорами та ресурсами компанії.
Що вивчити насамперед. Власники ризиків, постачальники, контроль доступу та показники.
Приклад застосування. Перевірити шлях доступу підрядника до клієнтських даних від надання до відкликання.
Більше про напрям для цієї групиДля державних установ
Практична користь. Організувати керування безпекою публічної послуги та відповідальність її учасників.
Що вивчити насамперед. Сфера СУІБ, вимоги законодавства, підрядники та безперервність.
Приклад застосування. Описати ризики реєстру та перевірити відновлення доступності в навчальному сценарії.
Більше про напрям для цієї групиДля військових
Практична користь. Застосувати управлінський підхід у дозволених адміністративних і забезпечувальних процесах.
Що вивчити насамперед. Відповідальність, доступ, постачальники; спеціальні вимоги перевіряють окремо.
Приклад застосування. На умовних несекретних даних перевірити відкликання доступу в логістичному процесі.
Більше про напрям для цієї групиДля неприбуткових організацій
Практична користь. Захищати дані благодійників і отримувачів допомоги з урахуванням ресурсів команди.
Що вивчити насамперед. Доступ волонтерів, хмарні сервіси, ризики та відповідальні.
Приклад застосування. Визначити, хто має доступ до реєстру допомоги та хто видаляє доступ після проєкту.
Більше про напрям для цієї групиДля громадян
Практична користь. Розуміти, що означає сертифікація сервісу та які в неї межі.
Що вивчити насамперед. Сфера сертифіката, строк дії та відмінність між СУІБ і захистом окремого продукту.
Приклад застосування. Перевірити, чи охоплює сертифікат постачальника саме потрібну послугу; особиста сертифікація не потрібна.
Більше про напрям для цієї групиДля власників стандартів
Практична користь. Узгоджувати власні вимоги з логікою СУІБ без необґрунтованих заяв про еквівалентність.
Що вивчити насамперед. Вимоги до управління, заходи додатка A та межі зіставлення.
Приклад застосування. Порівняти вимогу щодо доступу з відповідним заходом і окремо позначити потрібні управлінські докази.
Більше про напрям для цієї групиІсторія ISO/IEC 27001
Від першої міжнародної редакції до українського прийняття, кліматичної зміни та завершення переходу сертифікації. Станом на 8 вересня 2026 року ISO публікує редакцію 2022 зі зміною 2024.
Перша міжнародна редакція
14 жовтня 2005 року ISO опублікувала першу редакцію ISO/IEC 27001. Вона закріпила вимоги до створення, роботи та вдосконалення СУІБ для організацій різних типів.
Друга редакція
ISO/IEC 27001:2013 замінила редакцію 2005 року. Вимоги охоплювали контекст організації, оцінювання й оброблення інформаційних ризиків та постійне вдосконалення.
Редакція 2022 та оновлений додаток A
25 жовтня 2022 року вийшла третя редакція. Додаток A узгоджено з ISO/IEC 27002:2022: 93 заходи у 4 групах замість 114 у 14 групах; додано вимогу планувати зміни СУІБ.
Прийняття як ДСТУ
Наказ УкрНДНЦ № 210 від 17 серпня 2023 року прийняв ДСТУ ISO/IEC 27001:2023 (ISO/IEC 27001:2022, IDT). Наказ № 223 від 28 серпня 2023 року уточнив позначення стандартів, які він замінює. Це українське прийняття міжнародної редакції 2022 року.
Зміна щодо клімату
23 лютого 2024 року опубліковано ISO/IEC 27001:2022/Amd 1:2024. Вона стосується врахування зміни клімату в контексті організації та вимог зацікавлених сторін; це зміна до редакції 2022 року, а не нова повна редакція.
Завершення строку переходу сертифікації
IAF MD 26:2023 установив 31 жовтня 2025 року кінцевим строком переходу сертифікованих клієнтів на ISO/IEC 27001:2022 у відповідній системі акредитованої сертифікації. Це строк переходу сертифікації, а не дата прийняття стандарту в Україні.