ISO/IEC 27000:2018
ISO/IEC 27000:2018 пояснює основи системи управління інформаційною безпекою та її терміни. Це вступ до сімейства стандартів; редакцію 2018 замінено редакцією 2026.
Огляд
Система управління інформаційною безпекою (СУІБ, ISMS) пов’язує рішення керівництва, щоденну роботу та захист інформації. ISO/IEC 27000:2018 допомагає зрозуміти цю логіку й однаково вживати терміни під час навчання та підготовки документів.
Сторінка присвячена редакції 2018. З 3 липня 2026 року її замінює ISO/IEC 27000:2026, який зосереджений на огляді, поняттях і зв’язках між стандартами. Для нового проєкту перевіряйте актуальні редакції документів, на які посилаєтесь.
Для кого створено стандарт
Найбільше він потрібен людям, які мають домовитися про спільний підхід до безпеки: керівникам, відповідальним за СУІБ, ІТ-фахівцям, аудиторам і викладачам. Новачкам він дає основу для читання вимог, досвідченим командам — опору для точних формулювань.
Для яких галузей
Огляд придатний для організацій будь-якого розміру та галузі. Навчальні приклади можуть стосуватися рахунків у бізнесі, медичних записів, дослідницьких даних або державних реєстрів. Вимоги до їхнього захисту залежать від конкретної діяльності, договорів і законодавства.
Як працює СУІБ
СУІБ охоплює людей, відповідальність, правила й ресурси. Команда визначає, яку інформацію захищає, оцінює ризики, обирає заходи та перевіряє результат. Коли змінюється діяльність або з’являються нові ризики, рішення переглядають.
Наприклад, резервна копія стає частиною керованого процесу, коли визначені відповідальний, умови відновлення та спосіб перевірити, що відновлення справді працює.
Поняття, які варто розрізняти
Конфіденційність, цілісність і доступність описують різні цілі захисту. У навчальному прикладі з рахунком це означає: хто може його бачити, чи правильні реквізити та чи можна отримати документ у потрібний час.
Також не змішуйте загрозу, вразливість і ризик. Фішинговий лист, відсутня перевірка платежу та можливий фінансовий збиток — різні частини одного сценарію. Точні визначення й примітки звіряйте з тим документом і редакцією, які використовуєте.
Місце серед інших стандартів
ISO/IEC 27000 дає загальне розуміння. ISO/IEC 27001 встановлює вимоги до СУІБ, ISO/IEC 27002 пояснює заходи захисту, а ISO/IEC 27005 — управління ризиками. Для конкретного завдання обирайте документ за його призначенням.
Що можна зробити на практиці
Візьміть один процес, наприклад погодження рахунків. Опишіть інформацію, учасників, небажану подію та її наслідки. Узгодьте назви понять, відповідального за рішення й спосіб перевірки обраного заходу.
Результатом вправи може бути короткий словник команди та схема процесу з ризиками. Це редакційна навчальна вправа, яку можна розширити під час роботи з вимогами до СУІБ.
Межі застосування
ISO/IEC 27000 не встановлює вимог для сертифікації СУІБ. Таку оцінку проводять за ISO/IEC 27001. Знання термінів саме по собі не доводить, що організація керує ризиками або виконує правові вимоги.
Словник редакції 2018 не охоплює всіх термінів сімейства. Він корисний для читання матеріалів цієї редакції, але нові документи можуть уточнювати поняття або містити власні визначення.
Кому це буде корисно
Практична користь залежить від ролі: від пояснення базових понять до узгодження управлінських рішень і методик.
Для навчальних закладів
Практична користь. Дає викладачам основу для узгодженого викладання управління безпекою.
Що вивчити насамперед. Відмінності між поняттями, навчальними прикладами та вимогами стандартів.
Приклад застосування. Запропонуйте групі пояснити ризик помилкової зміни оцінки в електронному журналі.
Більше про напрям для цієї групиДля студентів
Практична користь. Допомагає читати професійні матеріали без плутанини в базових термінах.
Що вивчити насамперед. Конфіденційність, цілісність, доступність, загроза, вразливість і ризик.
Приклад застосування. Складіть власні приклади для словника лабораторної роботи та звірте їх із визначеннями.
Більше про напрям для цієї групиДля бізнесу
Практична користь. Полегшує розмову керівників та технічної команди про втрати й пріоритети захисту.
Що вивчити насамперед. Відповідальність за ризик, критерії прийнятності та перевірка заходів.
Приклад застосування. Поясніть на прикладі погодження платежу, хто приймає рішення і який ризик залишається.
Більше про напрям для цієї групиДля державних установ
Практична користь. Допомагає установам однаково описувати захист інформації в процесах і закупівлях.
Що вивчити насамперед. Сфера СУІБ, зацікавлені сторони та зв’язок із чинними вимогами.
Приклад застосування. Узгодьте словник для проєкту електронних звернень, окремо визначивши правові вимоги.
Більше про напрям для цієї групиДля військових
Практична користь. Корисний для навчання та дозволених адміністративних процесів, де потрібна спільна термінологія.
Що вивчити насамперед. Управління інформацією з урахуванням спеціальних правил доступу й захисту.
Приклад застосування. На вигаданому прикладі обліку навчального майна опишіть наслідки втрати доступності; спеціальні настанови мають пріоритет.
Більше про напрям для цієї групиДля неприбуткових організацій
Практична користь. Допомагає невеликій команді погодити прості та зрозумілі правила захисту.
Що вивчити насамперед. Інформація про донорів, доступ волонтерів та відповідальність за рішення.
Приклад застосування. Опишіть, що має статися з доступом до списку отримувачів допомоги після завершення волонтерства.
Більше про напрям для цієї групиДля громадян
Практична користь. Дає орієнтир для розуміння заяв організацій про інформаційну безпеку.
Що вивчити насамперед. Різниця між знанням термінів, реальною практикою та сертифікацією СУІБ.
Приклад застосування. Перевіряючи заяву сервісу про сертифікацію, з’ясуйте стандарт і сферу сертифіката; громадяни не зобов’язані впроваджувати цей огляд.
Більше про напрям для цієї групиДля власників стандартів
Практична користь. Допомагає розробникам стандартів і методик узгоджувати термінологію та посилання.
Що вивчити насамперед. Джерело визначення, номер редакції та відмінності після перегляду.
Приклад застосування. Позначте, які визначення методики походять із редакції 2018, і перевірте посилання після виходу редакції 2026.
Більше про напрям для цієї групиІсторія ISO/IEC 27000
Від першого спільного огляду й словника до нового акценту редакції 2026. Історія відрізняє обрану редакцію сторінки від її наступника.
Поява ISO/IEC 27000
Перша редакція об’єднала вступ до СУІБ, термінологію та огляд сімейства стандартів. IEC вказує дату публікації 30 квітня 2009 року.
Друга редакція
ISO/IEC 27000:2012 замінив першу редакцію. Документ зберіг призначення огляду та словника для організацій різних типів.
Третя редакція
Опубліковано ISO/IEC 27000:2014. Ця редакція продовжила розвиток спільної термінологічної основи сімейства СУІБ.
Четверта редакція
ISO/IEC 27000:2016 замінив редакцію 2014. Надалі його замінила редакція 2018, якій присвячена ця сторінка.
П’ята редакція: огляд і словник
Опубліковано ISO/IEC 27000:2018. Саме її структура й термінологія є основою цього матеріалу. У каталозі ISO вона нині позначена як замінена.
Нова редакція змінює акцент
ISO/IEC 27000:2026 замінив редакцію 2018. Шоста редакція зосереджується на огляді, поняттях і взаємозв’язках стандартів СУІБ, а не на ролі термінологічного документа. Це остання підтверджена зміна самого стандарту станом на дату перевірки.