Крупный корпоративный клиент требует сертификат ISO 27001. Можно ли пройти процедуру самостоятельно, без консультантов?

Мы команда из 18 человек в Джидде, проходили это в прошлом году. Отдали 38.000 SAR консультантам и 18.000 SAR аккредитованным аудиторам. Весь процесс занял ровно 5,5 месяцев. Если бы делали сами, нашему DevOps-инженеру пришлось бы месяца на 3 полностью забросить разработку, а это вышло бы в разы дороже.

Не вешайте это на DevOps-инженера. ISO 27001 — это вообще не про фаерволы и шифрование. Больше половины стандарта — административка: найм в HR, физическая безопасность офиса, договоры с подрядчиками, учет активов. Инженер напишет техническую часть, но полностью застрянет на менеджменте процессов.

Консультанта выбирайте очень аккуратно. Полно дельцов которые просто копируют стандартные Word-шаблоны за 40.000 SAR. Когда придет аудитор и спросит: «Кто отвечает за этот регламент?», сотрудники даже не поймут о чем речь. Ищите тех, кто будет выстраивать процессы вместе с вами, а не продавать рыбу.

мы сначала тоже думали по шаблонам из инета сами сделать, через 2 месяца просто утонули в бумажках. когда внешний аудитор на 1 этапе сразу завалил пришлось срочно нанимать консультанта. если есть жесткие 6 месяцев не советую рисковать.

Поскольку ваш заказчик — полугос из Саудовской Аравии, уточните, нужен ли им строго ISO 27001 или они ждут еще и соответствия NCA ECC (Essential Cybersecurity Controls)? Внимательно перечитайте ТЗ: в саудовском госсекторе требования NCA часто жестче стандартов ISO, лучше сразу спросить об этом консультанта.

Важное юридическое замечание: консультанты и аудиторская фирма не могут быть одной компанией или аффилированными лицами — это прямое нарушение правил аккредитации. При запросе КП обязательно проверяйте валидность аккредитации аудиторов (например, IAS, UKAS или соответствие требованиям SASO).

Первым делом максимально сузьте область сертификации (scope). Сертифицируйте не всю компанию целиком, а только инфраструктуру софта и команду разработки, задействованную у клиента. Чем меньше область, тем меньше проверяемых активов, быстрее процесс и ниже ценник консультантов.

Вы правы. Если на один вопрос вы получаете три разных ответа вопрос задан неправильно.

Если напишете результат здесь это поможет и другим.

Я долго занимался этим вопросом. Без измерений мы всегда приходим к одному и тому же.

Пишите, если есть вопросы отвечу по мере возможности.

об этом много говорят, но у нас так никогда не было и короче не стесняйтесь спрашивать молчание всегда обходится дороже.

это мое мнение не утверждаю что оно единственно верное.

У нас было так. Безопасность не бывает абсолютной; цель — сделать атаку нецелесообразной.

Интересно, есть ли те, кто делает иначе.

Расскажу, что было у меня, вдруг пригодится. Процесс, по которому не ведется учет, не улучшается, потому что вы не знаете, что именно улучшать.

Конечно, если ваша ситуация отличается, всё меняется.

Здесь нужно провести различие. Если ругать за ложные тревоги, никто больше не будет присылать уведомления.

Интересно, есть ли те, кто делает иначе.

Здесь нужно провести различие. Если включена двухфакторная аутентификация, украденный пароль бесполезен.

Проверено опытом.

Вы правы, я сам проходил через это. Большинство инцидентов начинается не с уязвимости, а с украденного пароля.

Я бы пошел этим путем.

При выполнении этого часто совершают одну ошибку. Автоматический отчет о сканировании и пентест — это не одно и то же.

Исправьте, если я ошибаюсь.

Хочу задать вопрос... Большинство инцидентов начинается не с уязвимости, а с украденного пароля.

Решения работающие в малом масштабе, рушатся при росте, я узнал это слишком поздно. Исправьте если я ошибаюсь.

Не могли бы вы это пояснить? честно доступность резервной копии в той же сети и под той же учетной записью делает ее частью цели атаки.

Оставлю как заметку пригодится.