ISO 27001

ISO/IEC 27001 — международный стандарт, который описывает требования к системе управления информационной безопасностью (СУИБ). Он не задаёт конкретные технические настройки, а определяет, какие процессы должна выстроить компания: как выявляются риски для данных, кто за что отвечает, как фиксируются инциденты и как проверяется, что защита работает.

Как это работает

Организация определяет область действия СУИБ, проводит оценку рисков для информации, выбирает меры защиты из приложения к стандарту и составляет Декларацию о применимости (Statement of Applicability), где обосновывает, какие меры внедряются, а какие нет. Далее ведутся внутренние аудиты, анализ со стороны руководства и постоянное улучшение. Сертификацию выдаёт независимый аккредитованный орган, сертификат действует на ограниченный срок с ежегодными проверками.

Где встречается

В финтехе и платёжных сервисах стандарт часто запрашивают партнёры: банки-эквайерыБанк-эквайерБанк-эквайер — банк, который подключает бизнес к приёму оплат по банковским картам, заключает с ним договор эквайринга, проводит транзакции и отвечает за расчёты с продавцом., процессинговые компании и крупные платёжные провайдеры. В криптовалютных биржах и кастодиальныхКастодиальный кошелёкКастодиальный кошелёк — криптокошелёк, закрытые ключи от которого хранит третья сторона (биржа или сервис), а пользователь управляет средствами через логин и пароль. кошельках он используется как подтверждение зрелости процессов хранения ключей и доступа. В гемблинге и беттинге сертификат нужен при работе с регуляторами и крупными B2BB2B в iGamingB2B в iGaming — модель, в которой компания продаёт технологии, игровой контент, платежи или услуги букмекерам и онлайн-казино, а не конечным игрокам.-партнёрами, где важна защита данных игроков. В дейтинге и нутреНутраНутра (nutraceuticals) — товары для здоровья и БАДы, которые продаются в перфоманс-маркетинге через арбитраж трафика и партнёрские программы. стандарт встречается реже, но его наличие повышает доверие к обработке персональных данных и медицинских или поведенческих сведений.

На что влияет

Сертификация влияет на условия партнёрства, прохождение due diligenceDue DiligenceDue diligence — комплексная проверка контрагента, партнёра или сделки до её заключения: законность, финансы, репутация и комплаенс-риски. и готовность к проверкам со стороны регуляторов. Она не отменяет требования GDPRGDPRGDPR (Общий регламент ЕС по защите данных, Регламент 2016/679) — правила обработки персональных данных жителей ЕС и ЕЭЗ, которые действуют и на компании за пределами Европы., PCI DSSPCI DSSPCI DSS — стандарт безопасности данных индустрии платежных карт, обязательный по договорам с банками и платежными системами для всех, кто хранит, обрабатывает или передает данные карт. или локальных законов, а дополняет их. Наличие сертификата не гарантирует отсутствие утечек, поэтому его стоит рассматривать как подтверждение процессов, а не как абсолютную защиту.

Частые ошибки

Частая ошибка — считать, что сертификат покрывает всю компанию автоматически. На деле он распространяется только на заявленную область действия СУИБ. Вторая ошибка — формальное заполнение Декларации о применимости без реальной оценки рисков. Третья — разовая подготовка к аудиту без поддержания процессов: сертификационный аудит проходит, но через год система деградирует, и это выявляется при надзорной проверке.