Вход для слушателей Сведения об образовательной организации
Оставить заявку
Назад

Внедрение ISO/IEC 27001: система менеджмента информационной безопасности

ISO/IEC 27001 устанавливает требования к системе менеджмента информационной безопасности (СМИБ): как её создать, внедрить, поддерживать и постоянно улучшать, как оценивать и обрабатывать риски информационной безопасности. Действующее издание — ISO/IEC 27001:2022 с изменением 1:2024; издание 2013 года отменено (данные ISO).

Помогаем построить СМИБ по требованиям стандарта: определяем область действия, выстраиваем оценку и обработку рисков, готовим политику, ведомость применимости и другие документы, проводим внутренний аудит и готовим организацию к сертификационному аудиту.

Политику информационной безопасности устанавливает высшее руководство организации (ГОСТ Р ИСО/МЭК 27001-2021, п. 5.2). Сертификация по ISO/IEC 27001 добровольная: её проводит орган по сертификации по договору с организацией (184-ФЗ, ст. 21). Мы готовим систему, решение о сертификате принимает орган по сертификации.

Оставить заявку Что входит

Кому это нужно

  • Организации любого типа, размера и сферы деятельности: требования стандарта обобщённые и рассчитаны на все организации (ГОСТ Р ИСО/МЭК 27001-2021, разд. 1).
  • Компании, которым нужно управлять рисками нарушения конфиденциальности, целостности и доступности информации — именно эти риски выявляются при оценке (ГОСТ Р ИСО/МЭК 27001-2021, п. 6.1.2).
  • Организации, которым сертификат ISO/IEC 27001 нужен по договору с заказчиком: для некоторых отраслей сертификация — договорное требование (ISO).
  • Организации с действующей системой менеджмента, например по ISO 9001: стандарт построен по общей высокоуровневой структуре систем менеджмента, поэтому СМИБ можно встроить в единую систему (ГОСТ Р ИСО/МЭК 27001-2021, введение).
  • Организации, чья СМИБ построена по ISO/IEC 27001:2013: это издание отменено, действующее — 2022 года (ISO).

Что вы получаете

  • Документы СМИБ: область действия, политика информационной безопасности, методика и отчёт об оценке рисков, ведомость применимости, план обработки рисков, цели и планы.
  • Отчёт о внутреннем аудите с несоответствиями и рекомендациями.
  • Система, подготовленная к аудиту органа по сертификации. Сертификат выдаёт орган по сертификации по результатам своего аудита.

Что входит в работу

  1. Анализ внешних и внутренних факторов, заинтересованных сторон и их требований к информационной безопасности; определение области действия СМИБ и её границ (ГОСТ Р ИСО/МЭК 27001-2021, пп. 4.1–4.3).
  2. Проект политики информационной безопасности и распределения ролей, обязанностей и полномочий для утверждения высшим руководством (пп. 5.2, 5.3).
  3. Методика оценки рисков информационной безопасности: критерии принятия и оценки рисков, идентификация рисков и их владельцев, анализ последствий и вероятности, уровни рисков (п. 6.1.2).
  4. Обработка рисков: выбор мер, сверка их с перечнем мер приложения А, ведомость применимости с обоснованиями, план обработки рисков для согласования владельцами рисков (п. 6.1.3).
  5. Цели информационной безопасности и планы их достижения; требования к квалификации и осведомлённости работников (пп. 6.2, 7.2, 7.3).
  6. Порядок создания, обновления и управления документированной информацией СМИБ (п. 7.5).
  7. Внутренний аудит системы и подготовка к сертификационному аудиту в органе по сертификации.

Как мы работаем?

  1. 01 Диагностика Изучаем процессы, информационные системы и действующие меры защиты, определяем область действия СМИБ.
  2. 02 Риски Строим методику, вместе с владельцами рисков оцениваем риски и выбираем меры их обработки.
  3. 03 Документы Готовим политику, ведомость применимости, план обработки рисков и процедуры; утверждает их руководство.
  4. 04 Аудит Проводим внутренний аудит, устраняем несоответствия и сопровождаем сертификационный аудит.

Важно знать

Онлайн-консультация

Рассчитаем стоимость: внедрение ISO/IEC 27001: система менеджмента информационной безопасности

Ответьте на несколько вопросов и получите индивидуальный расчёт стоимости и сроков.

  • Бесплатная консультация
  • Расчёт стоимости и сроков
  • Понятные условия
  • Поддержка на всех этапах
Направления — можно выбрать несколько

Как мы обрабатываем данные — в Политике обработки персональных данных. Чтобы отличить человека от программы, браузер перед отправкой решает короткую вычислительную задачу нашего сервера; сторонним сервисам при этом ничего не передаётся.

Частые вопросы

Вопросы: внедрение ISO/IEC 27001: система менеджмента информационной безопасности

Обязательна ли сертификация по ISO 27001?

Нет. Добровольное подтверждение соответствия проводится по инициативе заявителя на условиях договора между заявителем и органом по сертификации (184-ФЗ, ст. 21). Внедрить стандарт можно и без сертификации: проходить ли её, организация решает сама (ISO).

Какая редакция ISO/IEC 27001 действует сейчас?

ISO/IEC 27001:2022 — третье издание, опубликовано в октябре 2022 года. К нему выпущено изменение ISO/IEC 27001:2022/Amd 1:2024 о вопросах изменения климата. Издание 2013 года и поправки к нему отменены (по данным ISO).

Чем ГОСТ Р ИСО/МЭК 27001-2021 отличается от ISO/IEC 27001:2022?

ГОСТ Р ИСО/МЭК 27001-2021 утверждён приказом Росстандарта от 30.11.2021 № 1653-ст, введён с 1 января 2022 года и идентичен ISO/IEC 27001:2013 с техническими поправками 2014 и 2015 годов. Издание 2022 года он не воспроизводит.

ISO 27001 и ISO/IEC 27001 — это один стандарт?

Да. Официальное обозначение — ISO/IEC 27001: стандарт совместно издали ISO и Международная электротехническая комиссия (IEC), его ведёт подкомитет 27 совместного технического комитета ISO/IEC JTC 1 (ISO).

Что входит в требования ISO/IEC 27001?

Контекст организации и область действия СМИБ, лидерство и политика, оценка и обработка рисков информационной безопасности с ведомостью применимости, цели, ресурсы, квалификация и осведомлённость работников, документированная информация (ГОСТ Р ИСО/МЭК 27001-2021, разд. 4–7). Выбранные меры сверяют с перечнем мер приложения А (п. 6.1.3).

Нормативная база

Справочная информация, не юридическая консультация. Состав работ по вашему объекту определяем на консультации.

Другие направления

Направление «Системы менеджмента ISO»

Ещё по направлению

Политика обработки персональных данных

×

Редакция от 13.10.2026.

1. Общие положения

Настоящая Политика определяет порядок обработки и меры защиты персональных данных оператором — индивидуальный предприниматель Гасымова Эльмира Георгиевна (ОГРНИП 326760000037491, ИНН 761018411963, адрес: 152935, Ярославская обл., г. Рыбинск, ул. Фурманова, д. 9, кв. 358) (далее — Оператор).

Сайт akapr.ru содержит сведения о ООО «Академия предпринимательства» как об организации, осуществляющей образовательную деятельность. Заявки и обращения, отправленные через формы сайта, обрабатывает Оператор.

Политика издана во исполнение ч. 2 ст. 18.1 Федерального закона от 27.07.2006 № 152-ФЗ «О персональных данных» и опубликована на сайте, через который собираются персональные данные.

Термины используются в значениях, установленных ст. 3 Закона о персональных данных.

2. Цели, состав данных и сроки

Для каждой цели ниже указаны категории субъектов, перечень данных, правовое основание, способы и сроки обработки.

2.1. Обработка заявки с сайта и консультация

  • Субъекты: посетители сайта, оставившие заявку.
  • Данные: имя, номер телефона, ответы на вопросы формы (кто обращается, выбранные направления услуг, число сотрудников; в форме по промышленной безопасности — также категория работников и известность областей аттестации), раздел сайта, с которого отправлена заявка, дата и время заявки, IP-адрес отправителя.
  • Чтобы отличить человека от программы, браузер перед отправкой заявки решает короткую вычислительную задачу, которую выдаёт сервер сайта. Сторонние сервисы для этого не используются.
  • Основание: согласие субъекта (п. 1 ч. 1 ст. 6 Закона); действия по запросу субъекта до заключения договора (п. 5 ч. 1 ст. 6).
  • Способ: автоматизированная обработка — запись, хранение, использование для связи, удаление.
  • Срок хранения: 1 год с даты заявки; затем данные уничтожаются, если не возникла иная цель обработки.

2.2. Заключение и исполнение договора об оказании услуг

  • Услуги: консультации, разработка документов, аудит и сопровождение, организация обучения в образовательных организациях-партнёрах и работ, которые выполняют исполнители, имеющие лицензию, аккредитацию или членство в саморегулируемой организации.
  • Субъекты: заказчики — физические лица, представители заказчиков — организаций, работники, направляемые на обучение (слушатели).
  • Данные: ФИО, контактные данные, должность, сведения об образовании, паспортные данные, сведения о работодателе — в объёме, необходимом для договора, для оформления заявки на обучение или для выполнения работ исполнителем.
  • Основание: договор с субъектом (п. 5 ч. 1 ст. 6 Закона); для данных слушателей — их согласие (п. 1 ч. 1 ст. 6).
  • Сроки: в течение действия договора и сроков хранения, установленных законодательством о бухгалтерском учёте и архивном деле.

2.2.1. Передача данных образовательным организациям и исполнителям

  • Обучение проводит образовательная организация-партнёр, имеющая лицензию на образовательную деятельность (по охране труда — также аккредитацию Минтруда России). Она самостоятельно является оператором персональных данных слушателей в части обучения, выдачи документов о квалификации и внесения сведений в государственные информационные системы.
  • Работы, требующие лицензии, аккредитации или членства в саморегулируемой организации, выполняет исполнитель с таким допуском. Он самостоятельно является оператором персональных данных, которые обрабатывает при выполнении работ.
  • Данные слушателей и работников заказчика (ФИО, должность, сведения об образовании, копия паспорта, телефон, адрес электронной почты, сведения о работодателе) передаются образовательной организации или исполнителю только с отдельного согласия субъекта, в котором получатель назван по наименованию, и только после принятия решения о заказе.
  • Данные заявки с сайта образовательным организациям и исполнителям не передаются.

2.3. Информационные и рекламные сообщения

  • Только при отдельном согласии, которое даётся необязательной отметкой в форме (ст. 18 Федерального закона «О рекламе», ст. 15 Закона о персональных данных).
  • Данные: имя, номер телефона. Срок: до отзыва согласия.

2.4. Статистика посещений (Яндекс Метрика)

  • Только после согласия посетителя в баннере на сайте. До согласия счётчик не загружается.
  • Данные: файлы cookie, сведения о браузере и устройстве, IP-адрес, действия на сайте. Запись содержимого полей формы (Вебвизор) не ведётся.
  • Обработчик: ООО «Яндекс» по условиям использования сервиса Яндекс Метрика.
  • Согласие отзывается кнопкой «Настройки cookie» в подвале сайта.

3. Порядок и условия обработки

  • Персональные данные граждан РФ записываются, систематизируются, накапливаются, хранятся, уточняются и извлекаются с использованием баз данных, находящихся на территории Российской Федерации (ч. 5 ст. 18 Закона).
  • Трансграничная передача персональных данных не осуществляется.
  • Оператор использует облачную платформу Cloud.ru Evolution ООО «Облачные технологии» (виртуальные машины, Object Storage); заявки хранятся в центрах обработки данных на территории России. Уведомление о заявке направляется на электронную почту Оператора через почтовый сервис Mail.
  • Доступ к данным имеют только Оператор и его работники, которым он необходим для выполнения обязанностей.
  • Оператор не принимает решений, порождающих юридические последствия, на основании исключительно автоматизированной обработки.

4. Меры защиты

  • Назначен ответственный за организацию обработки персональных данных.
  • Передача данных с сайта ведётся по защищённому протоколу HTTPS; хранилище заявок закрыто от публичного доступа.
  • Доступ к хранилищу ограничен сервисной учётной записью; ключи доступа хранятся отдельно от кода сайта.
  • Собирается минимально необходимый объём данных; данные уничтожаются по достижении целей обработки.
  • Об инцидентах с персональными данными Оператор уведомляет Роскомнадзор в сроки ч. 3.1 ст. 21 Закона.

5. Права субъекта

Субъект вправе получить сведения об обработке своих данных, потребовать их уточнения, блокирования или уничтожения, отозвать согласие, обжаловать действия Оператора в Роскомнадзоре или в суде (ст. 14–17 Закона).

Запросы направляются на e-mail academybusinesstech@list.ru или почтой по адресу: 152935, Ярославская обл., г. Рыбинск, ул. Фурманова, д. 9, кв. 358. Ответ даётся в течение 10 рабочих дней с даты получения запроса; срок может быть продлён не более чем на 5 рабочих дней с уведомлением субъекта (ч. 1–2 ст. 20 Закона).

При отзыве согласия Оператор прекращает обработку и уничтожает данные в течение 30 дней, если иное не предусмотрено законом или договором (ч. 5 ст. 21 Закона).
×

Редакция от 13.10.2026.

Отмечая поле согласия в форме заявки на сайте akapr.ru, я свободно, своей волей и в своём интересе даю согласие индивидуальный предприниматель Гасымова Эльмира Георгиевна (ОГРНИП 326760000037491, ИНН 761018411963, адрес: 152935, Ярославская обл., г. Рыбинск, ул. Фурманова, д. 9, кв. 358) на обработку моих персональных данных на следующих условиях.

Цель

Рассмотрение моей заявки, связь со мной для консультации, расчёт стоимости и сроков, подготовка договора по моему запросу.

Данные

Имя, номер телефона, ответы на вопросы формы, дата и время заявки, IP-адрес отправителя.

Действия и способы

Сбор, запись, систематизация, накопление, хранение, уточнение, извлечение, использование, блокирование, удаление и уничтожение — с использованием средств автоматизации, в базах данных на территории Российской Федерации.

Оператор использует облачную платформу ООО «Облачные технологии» (Cloud.ru) с хранением данных в России и почтовый сервис Mail для уведомлений о заявках. Трансграничная передача не осуществляется.

Данные заявки не передаются образовательным организациям (в том числе ООО «Академия предпринимательства») и исполнителям работ. Передача моих данных для обучения или выполнения работ возможна только по отдельному согласию, в котором будет названа организация-получатель.

Срок и отзыв

Согласие действует 1 год с даты заявки или до его отзыва. Отозвать согласие можно, направив заявление на academybusinesstech@list.ru или по адресу: 152935, Ярославская обл., г. Рыбинск, ул. Фурманова, д. 9, кв. 358.

Подробнее — в Политике обработки персональных данных.