ISO/IEC 27001 для фінансових компаній: вимога регулятора чи конкурентна перевага

Зміст статті:

• 1. Чому саме фінансовий сектор
• 2. Що дає стандарт
• 3. Сертифікат і регуляторні вимоги
• 4. Як іде процес
• 5. Типові знахідки аудиторів у фінансових компаніях
• 6. Міжнародний сертифікат чи ДСТУ
• 7. З чого почати

Фінансові компанії в Україні живуть між вимогами Національного банку, очікуваннями партнерів і зростанням кібератак. Міжнародний стандарт ISO/IEC 27001 допомагає звести ці вимоги в одну систему і показати її зовнішнім перевіряльникам.

Чому саме фінансовий сектор

• Партнери з ЄС працюють за регламентом DORA і перевіряють своїх постачальників ІКТ-послуг.
• Банки і платіжні системи вимагають доказів захисту даних від контрагентів.
• Інвестори і аудитори оцінюють операційні ризики, зокрема кіберризики.

Що дає стандарт

ISO/IEC 27001 вимагає оцінити ризики, обрати заходи з переліку з 93 контролів і довести, що вони працюють. У результаті компанія має реєстр ризиків, політики доступу, процедури реагування на інциденти, контроль постачальників і регулярний внутрішній аудит. Саме ці елементи найчастіше просять показати під час перевірок.

Сертифікат і регуляторні вимоги

Сертифікат не замінює виконання вимог НБУ чи DORA, але значна частина вимог збігається. Компанія з налагодженою системою ISO/IEC 27001 проходить регуляторні перевірки спокійніше, бо документи і записи вже є.

Як іде процес

Типові знахідки аудиторів у фінансових компаніях

Права доступу не переглядаються роками, особливо у підрядників. План безперервності є, але ніколи не тестувався. Постачальники хмарних і ІТ-послуг не оцінювались з точки зору безпеки. Інциденти обговорюють у месенджерах, але не реєструють. Усе це виправляється без великих витрат, якщо помітити до сертифікаційного аудиту.

Міжнародний сертифікат чи ДСТУ

Вимоги однакові: ДСТУ ISO/IEC 27001:2023 є перекладом міжнародного стандарту. Відрізняється акредитація органу сертифікації. Для партнерів з ЄС зазвичай потрібен міжнародний сертифікат.

З чого почати

Визначити область сертифікації: які продукти, процеси і площадки до неї входять. Для фінансової компанії це часто ядро ІТ, процесинг і робота з даними клієнтів. Далі оцінка ризиків, план обробки ризиків і заява про застосовність, яка показує, які контролі обрано і чому.

Корисно одразу продумати, як система ISO/IEC 27001 поєднуватиметься з іншими вимогами: PCI DSS для платіжних даних, захистом персональних даних, вимогами партнерів з ЄС. Одна система з кількома наборами вимог дешевша в підтримці, ніж кілька паралельних.

Підготовка, внутрішній аудит, потім сертифікаційний аудит акредитованим органом у два етапи. Сертифікат діє три роки з щорічними наглядовими аудитами. Обсяг аудиту розраховують за кількістю працівників і складністю діяльності. Детальніше про етапи і вимоги на сторінці сертифікація ISO/IEC 27001.