Аудит по ISO 27001 редко становится экзаменом на идеальность. Его цель — не поймать компанию на ошибке, а проверить, насколько реально работает менеджмент информационной безопасности: есть ли понятные правила, оценены ли риски, контролируются ли доступы, обучены ли сотрудники и готова ли организация защищать данные клиентов, партнеров и собственные бизнес-процессы.

Для компаний в Казахстане тема становится особенно актуальной: цифровизация, онлайн-сервисы, удаленная работа и требования партнеров усиливают внимание к защите информации. Именно поэтому многие организации рассматривают ISO 27001 в Казахстане не просто как формальную сертификацию, а как инструмент доверия и устойчивости бизнеса.

Почему возникают несоответствия при аудите ISO 27001

ISO 27001 — это международный стандарт, который помогает построить систему управления информационной безопасностью. Но внедрить документы на бумаге недостаточно. Аудитор смотрит не только на наличие политик и процедур, но и на то, как они применяются в ежедневной работе.

Чаще всего несоответствия появляются из-за разрыва между описанными требованиями и реальной практикой. Например, в политике доступа указано, что права сотрудников пересматриваются ежеквартально, но фактически такой пересмотр не проводится. Для бизнеса это похоже на ситуацию, когда инструкция по пожарной безопасности висит на стене, но никто не знает, где находится огнетушитель.

Перед аудитом важно проверить ключевые элементы системы. Особое внимание обычно уделяется следующим зонам:

• оценка и обработка рисков информационной безопасности;
• управление доступами к информационным системам;
• документирование политик, процедур и записей;
• обучение сотрудников и повышение осведомленности;
• контроль подрядчиков и внешних поставщиков;
• реагирование на инциденты;
• проведение внутренних аудитов и анализа со стороны руководства.

Если хотя бы один из этих блоков существует только формально, вероятность несоответствия заметно возрастает. Хорошая новость в том, что большинство таких проблем можно выявить и устранить заранее — до сертификационного аудита.

1. Неполная или формальная оценка рисков

Одна из самых частых проблем — поверхностная оценка рисков. Компании иногда составляют реестр рисков «для галочки»: указывают очевидные угрозы, но не анализируют реальные активы, бизнес-процессы, вероятность инцидентов и последствия для организации.

Стандарт информационной безопасности ISO 27001 требует, чтобы риск-ориентированный подход был основой всей системы. Это значит, что компания должна понимать, какие данные она защищает, кто имеет к ним доступ, какие угрозы наиболее вероятны и какие меры управления нужны для снижения рисков.

Типичные несоответствия в этой области:

• нет утвержденной методики оценки рисков;
• не определены владельцы информационных активов;
• реестр рисков не обновляется после изменений в бизнесе;
• меры по обработке рисков не связаны с реальными угрозами;
• отсутствуют доказательства выполнения плана обработки рисков.

Чтобы избежать таких замечаний, оценку рисков нужно делать не как разовый документ, а как управленческий инструмент. Если в компании появился новый сервис, подрядчик, филиал или информационная система, риски следует пересмотреть.

2. Ошибки в управлении доступами

Доступы — это одна из самых чувствительных тем аудита. Даже надежная система может стать уязвимой, если бывшие сотрудники сохраняют учетные записи, а действующие пользователи имеют больше прав, чем им нужно для работы.

Аудиторы часто проверяют, как компания выдает, изменяет и отзывает доступы. Важно не только наличие процедуры, но и доказательства ее выполнения: заявки, согласования, журналы, результаты регулярного пересмотра прав.

Распространенные несоответствия выглядят так:

• нет формализованного процесса предоставления доступов;
• права пользователей не пересматриваются регулярно;
• учетные записи уволенных сотрудников не блокируются вовремя;
• администраторские права выданы без достаточного обоснования;
• отсутствует контроль паролей и многофакторной аутентификации там, где она необходима.

Для бизнеса это не просто техническая деталь. Неконтролируемые доступы могут привести к утечке коммерческой информации, финансовым потерям и конфликтам с клиентами или регуляторами.

3. Документы есть, но система не работает

Еще одно частое несоответствие — чрезмерная «бумажность» системы. Компания может иметь политики, регламенты, инструкции и формы, но сотрудники не используют их в работе или даже не знают об их существовании.

Система информационной безопасности с циклическим использованием ISO 27001 строится на принципе постоянного улучшения: планирование, внедрение, проверка и корректировка. Поэтому документы должны не пылиться в папке, а помогать управлять процессами.

Например, если есть процедура реагирования на инциденты, должны быть записи о тестировании, расследовании событий, корректирующих действиях. Если есть политика резервного копирования, должны быть доказательства выполнения копий и проверки восстановления данных.

4. Недостаточное обучение сотрудников

Информационная безопасность — это не только IT-отдел. Сотрудник, который открывает подозрительное вложение, пересылает файл не тому адресату или хранит пароль на стикере, может создать серьезный риск для компании.

Поэтому аудиторы обращают внимание на обучение персонала. Важно показать, что сотрудники понимают свои обязанности, знают базовые правила защиты информации и проходят регулярное информирование.

На практике несоответствия часто возникают, когда:

• обучение проводится нерегулярно;
• нет записей о прохождении инструктажей;
• новые сотрудники не знакомятся с правилами ИБ при трудоустройстве;
• программа обучения не учитывает роли сотрудников;
• руководство не участвует в развитии культуры безопасности.

Обучение не обязательно должно быть скучной лекцией на три часа. Короткие практические сессии, тесты, памятки и разбор типовых ситуаций часто работают лучше, чем тяжелые презентации на 80 слайдов.

5. Слабый контроль подрядчиков

Многие компании передают часть процессов внешним поставщикам: IT-поддержку, хостинг, облачные сервисы, бухгалтерские или сервисные функции. Но если подрядчик получает доступ к данным, он становится частью контура информационной безопасности.

Типовое несоответствие — отсутствие оценки поставщиков с точки зрения рисков ИБ. Договор есть, услуги оказываются, но требования к защите информации не прописаны или не контролируются.

Чтобы снизить риски, стоит проверять:

• какие данные получает подрядчик;
• какие меры защиты он применяет;
• есть ли соглашение о конфиденциальности;
• определены ли требования к уведомлению об инцидентах;
• проводится ли периодическая оценка поставщика.

Такой подход особенно важен для компаний, которые планируют получить ISO 27001 сертификат и работают с корпоративными клиентами, банками, IT-компаниями или международными партнерами.

6. Неполное управление инцидентами

Инциденты информационной безопасности случаются даже в зрелых организациях. Вопрос не в том, можно ли исключить их полностью, а в том, насколько быстро компания обнаруживает проблему, реагирует на нее и делает выводы.

Несоответствия появляются, если сотрудники не знают, куда сообщать о подозрительных событиях, инциденты не регистрируются, причины не анализируются, а корректирующие действия не выполняются. В итоге компания теряет возможность учиться на ошибках.

Хорошая система должна включать понятный канал сообщения об инцидентах, распределение ролей, сроки реакции, журнал событий и анализ повторяющихся проблем.

7. Формальный внутренний аудит и анализ руководства

Перед внешним аудитом компания должна провести внутренний аудит и анализ системы со стороны руководства. Это не формальность, а возможность увидеть слабые места заранее.

Частые ошибки:

• внутренний аудит проводится без программы и критериев;
• аудиторы проверяют «сами себя» без независимости;
• результаты не содержат конкретных выводов;
• корректирующие действия не отслеживаются;
• руководство не рассматривает показатели результативности системы.

Менеджмент информационной безопасности требует участия руководства. Если топ-менеджмент воспринимает ISO 27001 только как задачу IT-отдела, система будет работать ограниченно. Аудитор обязательно обратит внимание на лидерство, ресурсы и принятие решений.

Как подготовиться к аудиту ISO 27001

Подготовка начинается не за неделю до визита аудитора, а на этапе внедрения системы. Важно проверить, соответствуют ли процессы требованиям стандарта и есть ли объективные доказательства их выполнения.

BALTUM BUREAU в Казахстне помогает компаниям выстроить понятный и практичный подход к ISO 27001: от анализа текущего состояния до подготовки к сертификации. Это особенно полезно для бизнеса, который хочет не просто пройти аудит, а реально повысить доверие клиентов и устойчивость процессов.