СУИБ — система управления информационной безопасностью — это не программа и не оборудование, а набор правил, процессов и ролей, который делает защиту управляемой: понятно, что защищаем, кто за это отвечает, какие риски приняты осознанно и как проверяется результат. Международные требования к такой системе задаёт стандарт ISO/IEC 27001:2022.
Коротко
В основе СУИБ — управленческий цикл: определить область и активы, оценить риски, выбрать и внедрить меры, проверить, как они работают, и исправить то, что не сработало. Цикл повторяется, поэтому система не устаревает вместе с угрозами.
Система состоит из четырёх частей, и техника здесь только одна из них.
СУИБ охватывает не только технику, но и людей, подрядчиков и физический доступ в помещения. Утечка из-за сотрудника, который рассказал лишнее, — такой же инцидент информационной безопасности, как взломанный сервер.
Стандарт описывает, что в системе должно быть, но не диктует, какими средствами это сделать. Действующая редакция — ISO/IEC 27001:2022, опубликованная 25 октября 2022 года; в феврале 2024 года к ней вышла поправка Amd 1, добавившая пункты о климатической повестке.
Обязательная часть стандарта — разделы с четвёртого по десятый: контекст организации, лидерство, планирование, обеспечение ресурсами, работа, оценка результатов и улучшение. Приложение A — это каталог, из которого вы выбираете нужное по итогам оценки рисков, а не список, который надо внедрить целиком.
Важно Сертификат по редакции 2013 года больше не действует: органы по сертификации должны были перевести всех клиентов на редакцию 2022 года до 31 октября 2025 года. Если контрагент присылает старый сертификат, запросите актуальный.
Внедрение идёт в порядке, заданном самим стандартом: сначала границы и правила, потом риски, потом меры. Пропустить оценку рисков и начать с покупки средств защиты — самая частая и самая дорогая ошибка.
| Этап | Что делаем | Документ на выходе |
|---|---|---|
| Контекст и область | Определяем процессы, площадки и системы в границах СУИБ, требования клиентов и регуляторов | Описание области применения |
| Политика и роли | Руководство утверждает принципы и назначает ответственных за систему, активы и риски | Политика информационной безопасности, приказ о ролях |
| Инвентаризация | Собираем перечень данных, систем, устройств и подрядчиков, назначаем владельцев | Реестр активов |
| Оценка рисков | Определяем угрозы, вероятность и последствия, расставляем приоритеты | Методика и результаты оценки рисков |
| Обработка рисков | Выбираем меры из Приложения A и решаем, что делать с каждым значимым риском | План обработки рисков, Заявление о применимости |
| Внедрение и обучение | Настраиваем меры, пишем рабочие регламенты, обучаем сотрудников | Регламенты, записи об обучении |
| Проверка | Измеряем, как меры работают, проводим внутренний аудит и анализ со стороны руководства | Отчёты аудита, протокол анализа руководством |
Заявление о применимости (SoA) — ключевой документ всей системы. В нём перечислены необходимые меры с обоснованием, отметкой о том, внедрены они или ещё нет, и обоснованием исключения любой меры из Приложения A. Именно по нему аудитор отличает осознанный выбор от того, что просто забыли.
Оценка рисков решает, куда идут деньги, поэтому она и есть ядро системы. Стандарт ISO/IEC 27005:2022 описывает, как управлять рисками информационной безопасности, и называет четыре решения по каждому значимому риску.
Как считать вероятность и ущерб, какие угрозы встречаются чаще всего и как не превратить реестр рисков в формальность, мы разобрали в отдельной статье о рисках информационной безопасности бизнеса.
Стандарт требует не толстой папки, а конкретного набора записей, по которым видно, что система работает. Минимум по разделам с четвёртого по десятый выглядит так.
Главный критерий качества документа — выполнимость. Регламент, который никто не соблюдает, вреднее его отсутствия: он создаёт иллюзию защищённости и разваливается на первом же аудите.
Сам стандарт в Узбекистане добровольный, но часть его требований дублирует закон. Статья 27 Закона «О персональных данных» № ЗРУ-547 обязывает собственника и оператора принимать правовые, организационные и технические меры для защиты данных, а статья 20 в редакции ЗРУ-1125 — регистрировать в Государственном реестре базы с данными, которые обязаны храниться в Узбекистане (биометрия, генетические данные, данные абонентов связи).
Отдельные отрасли идут дальше. Для коммерческих банков действует Положение о минимальных требованиях к информационной безопасности и кибербезопасности, зарегистрированное под номером 3669 от 18 августа 2025 года и вступившее в силу 20 ноября 2025 года. Для владельцев объектов критической информационной инфраструктуры требования задают закон о кибербезопасности и положение о порядке обеспечения их киберзащиты — мы разобрали их в статье о мониторинге и реагировании на инциденты.
Практический вывод: если вы работаете с персональными данными клиентов, часть СУИБ нужна независимо от планов на сертификацию — как минимум ответственный, регламент доступа, порядок реагирования на инциденты и записи о том, что всё это выполняется.
Сертификат подтверждает не защищённость, а то, что система построена по стандарту и работает. Заказывать его стоит, когда этого требуют клиенты, тендеры или регулятор: сама по себе бумага риски не снижает.
Сертификацию проводит независимый орган, аккредитованный по правилам Международного форума по аккредитации (IAF); сама ISO сертификатов не выдаёт. Проверка идёт в два этапа: сначала аудитор разбирает документы и область применения, затем смотрит, как система работает на практике — от журналов доступа до записей об обучении.
После выдачи сертификата орган проводит надзорные аудиты, а в конце цикла — ресертификацию. Поэтому «получить сертификат и забыть» не выходит: внутренние аудиты, анализ руководством и пересмотр рисков идут постоянно.
Совет Прежде чем закладывать бюджет на сертификацию, спросите у клиента или банка, что именно им нужно. Часто достаточно отчёта об аудите информационной безопасности и описания процессов, а не сертификата.
Компании на 20–50 человек не нужна система крупного банка. Рабочий минимум — восемь-десять документов, которые можно выполнять без отдельного отдела безопасности.
Ошибки почти всегда одинаковые: скачанные чужие политики под другой бизнес; область применения «вся компания» с первого дня; оценка рисков один раз и навсегда; обучение в виде рассылки файла; система без владельца, которую ведёт системный администратор в свободное время. Как сделать обучение работающим, мы описали в статье об обучении сотрудников кибербезопасности.
Начинать стоит не с документов, а с инвентаризации и оценки рисков: до них любой план внедрения будет гаданием, а любой срок — обещанием без основания.
Внедрение СУИБ и подготовку к сертификации по ISO/IEC 27001 мы отдельной услугой не оказываем. Мы делаем то, с чего эта работа начинается, — аудит информационной безопасности от 1 200 $: составляем карту того, что нужно защищать, проверяем серверы, сети, почту, сайты и рабочие места на известные уязвимости, смотрим доступы и порядок работы с персональными данными и собираем отчёт, где у каждого риска есть вероятность, последствия и место в очереди. Это готовый материал для реестра активов и оценки рисков.
Следующий шаг — защита данных и доступов от 4 000 $: роли и двухфакторная аутентификация, шифрование, защита почты от подделки, резервное копирование с проверкой восстановления, межсетевой экран и VPN, регламенты на случай инцидента и обучение сотрудников. По сути это внедрение части мер Приложения A и рабочие регламенты к ним. Состав работ — на странице кибербезопасности для бизнеса, а как заложить те же требования в новую систему заранее — в статье о проектировании защиты информации.
Обсудим вашу задачу
Расскажите, что нужно сделать, — оценим сроки и стоимость и предложим решение.
Антивирус и межсетевой экран закрывают каждый свою дыру. СУИБ — порядок вокруг них: что компания защищает, от каких рисков, кто за это отвечает и как часто проверяют, что защита работает. Без неё непонятно, хватает ли купленного и не заплачено ли за лишнее.
Нет, сертификация добровольная. Её заказывают, когда этого требуют клиенты, тендеры или регулятор. Пользу приносит сама система: приоритеты по рискам, выполнимые правила и регулярная проверка. Сертификат подтверждает это внешнему наблюдателю, но сам по себе риски не снижает.
Нет. Подрядчику передают работы и часть последствий, но не ответственность: по закону о персональных данных отвечает собственник или оператор данных. Поэтому в договоре с подрядчиком фиксируют состав работ, доступы, режим работы с данными и порядок уведомления об инцидентах.
Стандарт требует не толстой папки, а записей, по которым видно, что система работает: политика и область применения, цели, оценка рисков и план их обработки, перечень выбранных мер защиты, результаты внутреннего аудита и разбора руководством, учёт несоответствий. Главный критерий — выполнимость: регламент, который никто не соблюдает, вреднее его отсутствия.
Стандарт ISO/IEC 27001 в Узбекистане добровольный, но закон о персональных данных требует от собственника и оператора правовых, организационных и технических мер защиты — это часть той же работы. Для коммерческих банков и владельцев объектов критической информационной инфраструктуры действуют отдельные обязательные требования.
Часто хватает: прежде чем закладывать бюджет на сертификацию, спросите, что именно им нужно. Нередко достаточно отчёта об аудите информационной безопасности и описания процессов; аудит ИБ у нас стоит от 1 200 $.
Источники
