Ще кілька років тому вимогу про сертифікат ISO/IEC 27001 можна було побачити хіба що в закупівлях банків і великих телеком-операторів. Тепер її все частіше ставлять державні замовники, фінансові установи і міжнародні компанії, які закуповують в Україні послуги з розробки, хостингу, кол-центрів чи обробки даних. Для малого і середнього бізнесу це і проблема, і шанс: конкурентів з сертифікатом поки небагато.
Де найчастіше вимагають сертифікат
- Закупівлі ІТ-послуг і програмного забезпечення для державних органів та державних підприємств.
- Банки, страхові компанії, платіжні сервіси, які перевіряють постачальників за вимогами регулятора.
- Міжнародні донорські та гуманітарні програми, де постачальник отримує доступ до персональних даних.
- Великі приватні замовники з власними політиками управління постачальниками.
Головна помилка: братися за сертифікат після оголошення тендеру
Від початку підготовки до отримання сертифіката зазвичай минає кілька місяців: треба провести оцінку ризиків, написати політики, запустити процеси, провести внутрішній аудит і лише потім пройти двоетапний сертифікаційний аудит. Якщо тендер оголошено і на подачу пропозицій дали місяць, отримати сертифікат вчасно майже нереально. Тому компаніям, які регулярно беруть участь у закупівлях, варто планувати сертифікацію заздалегідь, разом з бюджетом на наступний рік.
ДСТУ чи міжнародний
Перед стартом варто уважно прочитати типові тендерні вимоги замовників, з якими ви працюєте. Державні замовники часто пишуть «ДСТУ ISO/IEC 27001», міжнародні програми чекають сертифікат від органу з іноземною акредитацією. Стандарт один, тож за потреби можна отримати обидва документи на основі однієї системи.
Як підготуватися без поспіху
- Визначити область сертифікації: які послуги, офіси і команди в неї входять. Вона має відповідати тому, що ви продаєте в тендерах.
- Провести оцінку ризиків і скласти заяву про застосовність заходів контролю.
- Написати і затвердити політики, призначити відповідальних.
- Попрацювати за новими правилами хоча б кілька тижнів, щоб накопичились записи.
- Провести внутрішній аудит і аналіз з боку керівництва.
- Пройти сертифікаційний аудит у два етапи.
Найдовше зазвичай триває не написання документів, а запуск процесів і збирання доказів. Аудитору мало побачити політику, йому потрібні записи про те, що вона виконується.
Що перевіряють у сертифікаті
Тендерний комітет дивиться не лише на наявність документа. Перевіряють строк дії, область сертифікації (чи охоплює вона саме ті послуги, що закуповуються), назву і акредитацію органу сертифікації. Сертифікат, у якому область описана як «управлінська діяльність офісу», не допоможе продати послугу з хостингу.
Детальніше про те, як проходить сертифікація ISO 27001 в Україні, скільки триває підготовка і на що звертати увагу в тендерній документації, можна прочитати на сайті BALTUM.
