Крупный корпоративный клиент требует от нас сертификат ISO 27001. Что это вообще такое и так ли он нужен?

Главное — не рубите с плеча ответом типа «у нас этого сертификата нет». Многие крупные конторы соглашаются на условный аппрув, если сказать «мы запустили проект по внедрению ISO 27001, аудит запланирован через полгода» и приложить ваши текущие базовые регламенты по безопасности.

В актуальной версии ISO/IEC 27001:2022 меры контроля из Приложения А сократили до 93 пунктов. Для софтверной компании ключевыми будут: безопасный жизненный цикл разработки (SDLC), логирование доступа к репозиториям кода, анонимизация тестовых данных и разделение прод- и дев-сред.

Мы в Мадриде командой из 11 человек прошли сертификацию в прошлом году. Отдали 5.000 евро внешнему консультанту и 3.500 евро аккредитованным аудиторам за первый год. Ушло 5 месяцев на всё. Выглядит недешево, но ради контракта на 120.000 евро в год такие вложения отбиваются моментально.

Если беретесь за это только ради одного клиента, советую сто раз подумать. Это не просто бумажка, которую получил и повесил в рамочку — каждый год придется проходить надзорный аудит и платить за него. А в компании из девяти человек постоянная бюрократия с журналами учета и формами оценки рисков заметно тормозит разработку.

Сначала от этих сотен страниц требований стандарта просто глаза на лоб лезут. честно но когда начинаешь разбираться понимаешь, что это просто формализация того что нормальная команда разработки и так делает на автомате.

А к каким именно данным клиента у вас будет доступ? Если вы просто крутите свой код на их серверах и не храните клиентские данные у себя в офисе, можно сузить область сертификации (scope). Это уменьшит и геморрой, и ценник почти в два раза.

у нас была похожая история с телекомом мы закрыли уязвимости показали им отчет по внешнему пентесту и выбили отсрочку на 6 месяцев. так что сразу не сливайтесь, поборитесь.

На испанском рынке крупные корпорации и структуры с госучастием рассматривают соответствие ISO 27001 как базовый порог входа для подрядчиков. Получение этого сертификата станет стратегическим шагом, который обеспечит вам серьезное конкурентное преимущество при дальнейших B2B-продажах.

Расскажу что было у меня, вдруг пригодится. Без измерений мы всегда приходим к одному и тому же.

Я бы пошел этим путем.

Частично согласен, частично нет. Любой пункт, не зафиксированный письменно, в будущем обе стороны будут помнить по-разному.

Удачи.

Хочу предупредить. Если путь уведомления длинный, уведомление не приходит; а не пришедшее уведомление — это поздно обнаруженный инцидент.

Удачи.

Пишу это чтобы вы не совершили ту же ошибку. Автоматический отчет о сканировании и пентест — это не одно и то же.

Оставлю как заметку пригодится.

если углубиться в детали: Если путь уведомления длинный уведомление не приходит; а не пришедшее уведомлние — это поздно обнаруженный инцидент.

решения, работающие в малом масштабе, рушатся при росте, я узнал это слишком поздно... оставлю как заметку пригодится.

У нас так же. Больше всего времени у нас уходило на то что было непонятно кто принимает решения.

Если на один вопрос вы получаете три разных ответа, вопрос задан неправильно.

Здесь нужно провести различие. Ошибка, сделанная на стороне стандарт ISO 27001, обычно исправима, но дорого.

Если напишете результат здесь, это поможет и другим.

Очень актуальная тема.

Если смотреть на процесс в целом картина меняется. Не полагайтесь на одну меру защиты; действуйте слоями.

Исправьте, если я ошибаюсь.

Редко встретишь текст с такой ясностью изложения. Время обнаружения проблемы напрямую определяет ее стоимость.

Проверено опытом.