ISO 27001

ПЕРЕВІРЕНО РЕДАКЦІЄЮ ЮДЕЙ

Коротка відповідь. ISO 27001: що перевірити до звернення, як підготувати документи й не пропустити строк. Юридичне роз’яснення команди ЮДЕЙ для практичного рішення без зайвого… Для правильної відповіді потрібно співвіднести факти, документи та чинну на дату дії редакцію норми, а не покладатися лише на загальну назву процедури.

ТемаІнтелектуальна власність і дані

Головна метазафіксувати право й допустимий обсяг використання, а також створити доказовий ланцюг для припинення порушення

ПеревіркаФакти · документи · строки

Що означає тема «ISO 27001» на практиці

Питання «ISO 27001» потрібно розглядати як конкретну юридичну задачу, а не як універсальну форму або готову відповідь. У межах цього напряму важливі належність інтелектуальних прав, ліцензування, докази створення, обробка даних і реагування на порушення. Один і той самий термін чи зовні схожа ситуація можуть мати різні наслідки залежно від статусу учасників, змісту документа, послідовності подій і дати, на яку застосовується законодавство.

Практична робота починається з визначення результату: що саме має змінитися після звернення, хто уповноважений ухвалити рішення та яким документом буде підтверджено результат. Для автору, правовласнику, ІТ-компанії, роботодавцю або володільцю персональних даних це допомагає не витрачати час на процедуру, яка не вирішує первинну проблему, і завчасно оцінити можливі заперечення іншої сторони.

Вихідна ситуація та практичний контекст

Що таке «ISO 27001»

ISO/IEC 27001 — міжнародний стандарт побудови Системи менеджменту інформаційної безпеки (ISMS). Він задає вимоги до ризик-орієнтованих процесів, ролей, політик та контролів, а також до внутрішніх аудитів і аналізу з боку керівництва. Мета — захист конфіденційності, цілісності та доступності даних і безперервне поліпшення.

Версія 2022: додано/оновлено контролі в Додатку A (тепер 93 контролі у 4 групах: організаційні, людські, фізичні, технологічні). Зокрема: threat intelligence, cloud services, data masking, DLP, monitoring activities, configuration management, information deletion, secure coding, web filtering, physical security monitoring, ICT readiness for BC.

Кому підходить послуга

SaaS/PaaS/IaaS, фінтех, e-commerce, маркетплейсам, яким потрібне швидке vendor/onboarding у корпораціях.
Аутсорс/аутстаф-компаніям ІТ, що обробляють дані клієнтів і проходять due diligence.
Виробництву та сервісам, де є персональні/комерційні дані, ІІоТ, підрядники.
Експортерам послуг/продуктів у ЄС/UK/US, де часто вимагають ISO 27001 або SOC 2.
Стартапам, які готуються до масштабування й інвестицій.

Переваги для бізнесу

Швидший sales-onboarding: сертифікат і Statement of Applicability (SoA) знімають бар’єри в тендерах.
Менше інцидентів і простоїв: формалізовані безпекові процеси, журнали та моніторинг.
Довіра партнерів і клієнтів: прозорі докази, ролі, метрики ефективності контролів.
Сумісність із ринковими вимогами: легке мепінгування на SOC 2, ISO 27701, 27017/27018.
Оптимізація витрат: один проєкт покриває вимоги кількох замовників і продуктів.

Потрібен швидкий старт? Проведемо консультацію (4 000 грн, до 60 хв): отримаєте карту прогалин, пріоритети та календар сертифікації.

Що саме ми робимо

Стратегія та межі ISMS

Описуємо обсяг (scope): процеси, майданчики, інформаційні активи, хмари/on-prem.
Визначаємо зацікавлені сторони й юридичні/контрактні вимоги.

Gap-аналіз і ризик-менеджмент

Порівнюємо практики з вимогами ISO 27001:2022.
Будуємо реєстр активів, модель загроз, оцінку ризиків і план обробки ризиків.

Контролі та політики (Annex A)

Проєктуємо та впроваджуємо контролі: керування доступом, криптографія, логування/моніторинг, резервування, керування вразливостями, безпека постачальників, DevSecOps, безперервність (ICT readiness), реагування на інциденти, DLP, класифікація інформації тощо.
Готуємо короткі політики/SOP: IS policy, AUP, BYOD, SDLC, change, backup/restore, BC/DR, incident response, vendor/SLA, key management.

Документи ISMS

SoA, реєстр ризиків, ризик-тритмент план, матриця відповідності, обов’язки ролей, журнали та метрики.
Навчання персоналу й записи про компетентність.

Технічні докази

Налаштовуємо сканування вразливостей/SBOM, SIEM/логування, копії/тест відновлення, MFA/SSO, конфіг-бенчмарки.
За потреби — пентест застосунків/інфраструктури.

Аудити та сертифікація

Готуємо внутрішній аудит і Management Review.
Супроводжуємо Stage 1/Stage 2 у сертифікаційному органі, закриваємо зауваження.

Інтеграції

Розширюємо до ISO 27701 (приватність), 27017/27018 (хмара/PII).
Мепимо контролі на SOC 2 для вимог клієнтів із США.

Етапи надання послуги

Діагностика й скопінг
Визначаємо scope, вимоги замовників, канали збуту, системи/дані.
Gap-аналіз і план
Фіксуємо прогалини, затверджуємо календар і пріоритети ризиків.
Розробка політик і контролів
Впроваджуємо процеси, налаштовуємо інструменти, розгортаємо журнали/метрики.
Пілот і навчання
Запускаємо процедури, тренуємо команди, виправляємо відхилення.
Внутрішній аудит і MRM
Перевіряємо ефективність, оформлюємо CAPA, готуємо докази.
Сертифікація (Stage 1/2)
Супровід аудиторів, усунення зауважень, отримання сертифіката.
Підтримка й поліпшення
Квартальні рев’ю ризиків і KPI, оновлення SoA, тестування DR/BC.

Що ви отримаєте

Сертифікат ISO/IEC 27001 (на визначений scope).
SoA, реєстр активів/ризиків, план обробки ризиків.
Комплект політик і процедур українською/англійською.
Журнали/метрики (інциденти, резервування, доступи, вразливості).
Звіти внутрішнього аудиту та MRM, план CAPA.
Матеріали для продажів/тендерів: one-pager безпеки, відповіді на опитники.

Важливі нюанси

Не всі 93 контролі обов’язкові. Ви обираєте обґрунтований набір у SoA; решта — «не застосовується» з поясненням.
Хмара = спільна відповідальність. Чітко розмежовуємо обов’язки з провайдерами AWS/Azure/GCP.
Докази важливіші за політики. Порожні документи не пройдуть — потрібні логи, журнали, метрики.
Постачальники: реєстр, оцінювання, SLA/безпекові вимоги, контроль змін.
OTA/релізи: change management, secure SDLC, секрет-менеджмент, код-рев’ю.
Приватність: для PII додаємо ISO 27701 і DPIA, узгоджуємо політики з privacy-вимогами.
Безперервність: ICT readiness for BC, регулярні тести відновлення й RTO/RPO.

Потрібні дані від клієнта

Опис продуктів/послуг, архітектура та середовища (dev/test/stage/prod).
Список систем/активів, реєстр облікових записів і прав доступу.
Наявні політики, журнали, інструменти (IdP, SIEM, MDM, backup, scanner).
Перелік постачальників/контрактів, вимоги клієнтів/тендерів.
План релізів/OTA, підрядники (аутсорс/фриланс).
Мови документів і ринки збуту (UA/EU/UK/US).

Часті питання (FAQ)

Скільки триває підготовка до сертифікації?
Типово 8–16 тижнів до Stage 1/2 (залежить від масштабу й зрілості процесів).

Чи обов’язковий пентест?
Стандарт прямо не вимагає, але рекомендується як технічний доказ ефективності контролів.

Чим ISO 27001 відрізняється від SOC 2?
ISO — сертифікація системи менеджменту; SOC 2 — аудиторський звіт про ефективність контролів у часі (Type II). Часто ринок приймає будь-який із них.

Чи потрібен окремий CISO?
Ні. Достатньо власника ISMS і визначених ролей; частину функцій можемо взяти на себе.

Чи можна поєднати з ISO 9001/14001/45001?
Так. Будуємо інтегровану систему з єдиними аудитами та документами.

Що з віддаленою роботою?
Запроваджуємо MDM/MAM, політику домашніх мереж, MFA/SSO, шифрування дисків і захист каналів.

Як підтримувати сертифікат?
Щороку — наглядові аудити, щокварталу — рев’ю ризиків/KPI, DR-тести і оновлення SoA.

Чому обирають «Юдей»

Комплекс «під ключ»: від scope і gap-аналізу до сертифіката та нагляду.
Технічна глибина: DevSecOps, хмара, zero trust, журнали/метрики замість «паперового ISO».
Двомовні політики й шаблони відповідей на опитники безпеки клієнтів.
Оптимізація бюджету: одна програма — кілька вимог (ISO/SOC 2/27701).
Підтримка після аудиту: квартальні огляди, оновлення контролів, підготовка до ре-сертифікації.

Як розпочати

Надішліть опис продукту/архітектури, перелік систем і постачальників. Повернемося з персональним планом ISO 27001, термінами й кошторисом. За потреби стартуємо з консультації за 4 000 грн.

Які факти потрібно встановити до початку дій

Спочатку складіть нейтральну хронологію: дата кожної події, учасники, зміст домовленості або рішення, спосіб обміну документами та фактичні наслідки. Окремо позначте факти, які підтверджені оригіналом, електронними даними, реєстром чи повідомленням про вручення. Те, що відоме лише зі слів учасника, не слід подавати як безспірний факт — для нього потрібно знайти незалежне підтвердження.

Контрольні питання перед рішенням

Які факти вже підтверджені документами, а які поки є лише припущенням?
Який строк є критичним і чим підтверджується дата його початку?
Чи передбачений обов’язковий досудовий, адміністративний або реєстраційний етап?
Які негативні наслідки може спричинити кожний варіант рішення?
Як буде виконано результат після отримання рішення, дозволу або підписання документа?

Документи та докази: базовий чекліст

Точний пакет залежить від обставин, але якісна підготовка завжди передбачає перевірку походження, чинності, повноти й взаємної узгодженості документів. Копії потрібно зіставити з оригіналами, а електронні матеріали — зберегти так, щоб можна було підтвердити автора, дату, адресата і незмінність змісту.

листування, повідомлення та докази дати їх отримання
платіжні документи, акти, витяги, реєстрові дані або інші первинні докази
документи про особу, статус і повноваження заявника чи представника
хронологію подій із датами, учасниками та вже вчиненими діями
чинну редакцію договору, рішення, заяви або іншого ключового документа
письмову відповідь органу, контрагента чи іншої сторони, якщо її вже отримано

Якщо документа немає, зафіксуйте, хто його створив або зберігає, чи можна отримати витяг, дублікат або офіційну відповідь. У спірній ситуації важлива не кількість файлів, а зв’язок кожного доказу з конкретною обставиною та можливість пояснити його походження.

Покроковий алгоритм підготовки

01
Скласти хронологію та звірити дати, адже від них можуть залежати строки подання заяви, відповіді або оскарження.
02
Зібрати первинні документи й перевірити, чи не суперечать один одному імена, суми, адреси, реквізити та повноваження.
03
Перевірити чинну на дату дії норму та спеціальну процедуру саме для потрібного органу, реєстру або суду.
04
Підготувати письмову позицію: факти, правова підстава, докази, конкретна вимога та спосіб підтвердження подання.
05
Після подання зберегти квитанцію або реєстраційний номер, контролювати відповідь і завчасно готувати альтернативний крок.
06
Сформулювати бажаний правовий результат одним реченням і відокремити його від емоційної оцінки ситуації.

Перед фінальним поданням корисно зробити контрольне читання матеріалів очима адресата: чи зрозуміло, чого ви просите, на які факти посилаєтеся, де міститься кожний доказ і чому обраний спосіб захисту відповідає проблемі. Така перевірка часто виявляє суперечності раніше, ніж їх використає опонент або орган.

Типові ризики та як ними керувати

Ризик не завжди означає, що від дії потрібно відмовитися. Його слід описати, оцінити й визначити контрольний захід: додатковий документ, альтернативну вимогу, резервний строк, забезпечення доказу або попередню комунікацію. Для теми «ISO 27001» особливо варто перевірити такі помилки:

покладатися на переказ норми з неофіційного джерела замість чинного тексту та спеціального порядку
подати неповний або суперечливий комплект документів і створити підставу для відмови чи додаткової перевірки
пропустити строк через неправильне визначення дати вручення, події або моменту, коли особа дізналася про порушення
надати пояснення, яке не узгоджується з документами та надалі послаблює переговорну або процесуальну позицію
не перевірити виконуваність майбутньої домовленості, вимоги чи судового рішення до початку витратної процедури
змішати в одному зверненні кілька різних вимог без належних адресатів, доказів і процесуальної форми

Практична модель прийняття рішення

Робочий сценарій

Спочатку зафіксуйте вихідний стан і бажаний результат, потім порівняйте щонайменше два законні варіанти. Для кожного варіанта запишіть документи, строк, прямі витрати, ризик відмови та спосіб виконання результату. Обирайте не той шлях, який виглядає найшвидшим на старті, а той, де зрозумілі повноваження, доказова база й наслідки для пов’язаних правовідносин.

Якщо рішення впливає на майно, податки, сімейний статус, дозвіл, роботу або можливість судового захисту, перевіряйте суміжні наслідки окремо. Документ, прийнятний для одного органу, не завжди автоматично підтверджує ту саму обставину перед іншим.

Коли варто залучити юриста

Професійна перевірка особливо доцільна, якщо вже є відмова, претензія, судова справа, перевірка, арешт, значна сума або невідворотний строк. Юрист має не просто переказати норму, а перевірити документи, запропонувати варіанти, пояснити ризики кожного з них і зафіксувати погоджений план. Для теми «ISO 27001» корисно надати матеріали заздалегідь, щоб консультація була предметною.

ОФІЦІЙНЕ ПЕРШОДЖЕРЕЛО

Правила, форми й строки можуть змінюватися. Перед поданням перевірте чинну редакцію акта та спеціальні вимоги компетентного органу.

Закон України «Про захист персональних даних»

Поширені запитання

Чи достатньо прочитати загальне правило?

Ні. Загальна норма задає рамку, але практичний результат залежить від спеціальної процедури, статусу учасників, документів і дати події. Перевіряйте також перехідні положення та офіційні вимоги адресата.

Чи можна діяти без усіх документів?

Іноді процедуру можна розпочати, але спочатку слід визначити, які докази є обов’язковими, чим допустимо замінити відсутній документ і чи не створить раннє подання ризик відмови або суперечливих пояснень.

Що робити після негативної відповіді?

Зафіксуйте дату отримання, отримайте повний текст мотивів, перевірте порядок і строк оскарження. Потім зіставте кожний мотив із доказом та оберіть між усуненням недоліків, повторним зверненням і оскарженням.