Сертификация ISO 27001: Что она требует и что спросить у аутсорсингового партнера

Кратко

Сертификат показывает, что аудитор обнаружил действующую систему безопасности в заявленной области действия, поэтому прочитайте область действия и Заявление о применимости, прежде чем доверять логотипу. Срок действия сертификата 2013 года истекает 31 октября 2025 года, а поправки к PDPA Малайзии добавляют юридические обязанности, которые не охватываются никаким сертификатом.

Спросите аутсорсингового поставщика, как он защищает данные, и ответ обычно приходит в виде логотипа и слов “ISO 27001 certified”. Это сертификация ISO 27001 выполняет свою маркетинговую функцию. Если вы финансовый директор или директор по персоналу, собирающийся передать платежные ведомости или записи клиентов команде в Малайзии, логотип мало что решает. Стандарт описывает, как компания должна управлять информационной безопасностью, а сертификат — это подтверждение аудитора о том, что система существовала в заявленной области действия на даты аудита.

Область действия — это то, где покупатели могут быть введены в заблуждение. Сертификат может охватывать один этаж одного офиса, в то время как ваша работа выполняется из другого здания. Это также может быть издание 2013 года, которое рынок должен был оставить позади 31 октября 2025 года.

Рассматривайте сертификат как первый документ в вашей комплексной проверке, а не последний. И помните, что поправки к PDPA Малайзии добавляют юридический уровень, который никакой сертификат не заменяет. Разделы ниже подробно разбирают стандарт, чтобы вы могли проверить поставщика на соответствие ему.

Что доказывает сертификация ISO 27001?

Сертификация ISO 27001 доказывает, что независимый аудитор обнаружил действующую систему управления информационной безопасностью в названной организации, в заявленной области действия, на момент проведения аудита. Она не доказывает, что вся компания безопасна или что каждый объект охвачен, и не может обещать, что инциденты не произойдут. Стандарт прямо указывает, что сертификация применяется только в пределах заявленной области действия и не гарантирует предотвращение инцидентов, как Обзор ISO/IEC 27001 записи. Таким образом, заявление о сфере действия определяет, что означает сертификат. Сертификат, в котором указан один центр доставки, ничего не говорит о втором центре или субподрядчике. Для покупателя сертификат является доказательством существования дисциплинированного процесса, в рамках которого будет выполняться ваша работа, но только если сфера действия соответствует вашему обязательству и сертификат все еще действителен.

Покупатели переоценивают сертификаты одним предсказуемым способом. Команда по закупкам видит сертификат на веб-сайте поставщика, ставит галочку в поле безопасности и движется дальше. Никто не открывает строку с описанием области действия. Никто не спрашивает, указана ли в нем площадка доставки, которую вы будете использовать.

В рамках области действия поставщик определил свои риски, выбрал меры контроля и проверил их аудитором. За ее пределами у вас нет никаких аудиторских доказательств. Многие компании ограничивают действие сертификата подразделением, которое продает услуги клиентам, чувствительным к безопасности, и это разумное решение. Это вредит вам только тогда, когда ваша работа выполняется с площадки, которую область действия исключает.

Что должна включать система управления информационной безопасностью?

Система управления информационной безопасностью (СУИБ) звучит громоздко. По сути, это документооборот и привычки: что защищается, кто за это отвечает, как компания проверяет свою работу. Пункты с 4 по 10 стандарта ISO/IEC 27001 устанавливают требования, и они работают как управленческий цикл:

• Пункт 4, контекст: кто заинтересован в безопасности компании и где находится граница системы. Область действия начинается здесь.
• Пункт 5, лидерство: высшее руководство владеет политикой и распределяет роли. Система, которой никто из высшего руководства не владеет, имеет тенденцию к деградации.
• Пункт 6, планирование: здесь находится оценка рисков, с целями безопасности и планом обработки для каждого риска.
• Пункт 7, поддержка: бюджет, люди с нужными навыками, обучение осведомленности и документы, на которых основана система.
• Пункт 8, эксплуатация: выполнение плана обработки, затем повторная оценка при каждом изменении.
• Пункт 9, оценка производительности: мониторинг, внутренний аудит и анализ со стороны руководства.
• Пункт 10, улучшение: исправление несоответствий и ужесточение системы.

Вот почему сертификат имеет вес. Покупка программного обеспечения не поможет поставщику пройти аудит. Кто-то должен занимать назначенную роль, составлять оценку рисков, проводить внутренние аудиты и показывать, что руководство ознакомилось с результатами.

Та же структура показывает, где скрывается слабая программа, и пункт 9 — это то место, куда следует смотреть. Внутренний аудит и анализ со стороны руководства ослабевают первыми, когда команда доставки занята, но именно они обеспечивают честность других пунктов. Спросите поставщика, что выявил его последний внутренний аудит. Реальный ответ назовет последующее изменение; слабый — потянется к папке с политиками.

Как работают оценка рисков и Заявление о применимости?

Какие меры контроля применяет компания, определяется ее оценкой рисков, и Заявление о применимости — это то место, где это решение фиксируется. В соответствии с ISO/IEC 27001, компания оценивает свои риски информационной безопасности, выбирает меры контроля для их обработки и фиксирует этот выбор в Заявлении о применимости, или SoA.

SoA говорит покупателю больше, чем что-либо другое в пакете. В нем перечислены меры контроля, указанные в стандарте, отмечены те, которые применяет компания, и приведена причина для каждой исключенной меры. Исключение не является автоматически красным флагом: поставщик, который не пишет программное обеспечение, мало нуждается в мерах контроля безопасного кодирования. Исключение, которое затрагивает ваши данные, такое как обработка носителей, удаленная работа или отношения с поставщиками, заслуживает прямого вопроса.

Также запросите версию и дату SoA. Если она предшествует текущей редакции стандарта, система не была обновлена. Некоторые поставщики хотят сначала подписать соглашение о конфиденциальности, потому что документ подробно описывает их состояние безопасности, что является нормальным запросом. Категорический отказ поделиться им или даже провести вас по нему во время звонка — худший знак.

Бесплатная консультация. Если вы сравниваете аутсорсинговых партнеров для Малайзии и хотите, чтобы кто-то еще взглянул на анкету безопасности, запишитесь на бесплатную консультацию с командой SummitNext чтобы обсудить вопросы, которые важны для вашего взаимодействия.

Что изменилось в издании 2022 года?

Издание 2013 года содержало 114 мер контроля. Издание 2022 года содержит 93, сгруппированные по четырем темам: организационные, человеческие, физические и технологические. Руководство по переходу TUV SUD подробно описывает перегруппировку, а также страница обзора стандарта приводит те же цифры.

Эти темы совпадают с вопросами, которые вы бы в любом случае задали поставщику:

• Организационные аспекты: политики, роли и управление поставщиком своими собственными поставщиками.
• Персонал: как отбирается и обучается персонал, как организована удаленная работа и что происходит в день увольнения.
• Физические аспекты: защищенные зоны, работа с посетителями и оборудование на производственной площадке.
• Технологические аспекты: права доступа, логирование, защита данных и инструменты, используемые вашей командой.

Это наше сопоставление, а не стандартное. Оно все равно работает как контрольный список. Если вы приобретаете контакт-центр или команду бэк-офиса, сосредоточьте свои вопросы на темах персонала и физической безопасности, поскольку отбор и безопасность на площадке определяют большую часть того, что происходит с вашими данными ежедневно.

Меньшее количество не означает более легкий стандарт. Средства контроля были объединены и реорганизованы, и каждое положение по управлению по-прежнему применимо. Если поставщик говорит вам, что сертификат 2022 года получить проще, потому что там меньше средств контроля, отнеситесь к этому скептически.

Как работает сертификация ISO 27001 и как долго она действует?

Орган по сертификации проводит первый аудит в два этапа. Затем сертификат действует три года, с надзорными аудитами не реже одного раза в каждый календарный год, за исключением годов, в которые проводится ресертификация, согласно Обзор ISO/IEC 27001.

Вы можете проверить это на бумаге. Ищите дату выдачи, дату истечения срока действия и надзорные аудиты между ними. Надзорный аудит, проведенный более года назад, вне года ресертификации? Спросите почему.

И получите сам сертификат, а не скриншот логотипа. В нем указаны орган по сертификации, стандарт и его редакция, область действия и даты. Маркетинговая страница редко содержит всю эту информацию.

Сертификат 2013 года все еще приемлем?

Сертификат ISO/IEC 27001:2013 прошел свой переходный срок, который истек 31 октября 2025 года, поэтому поставщика, который все еще ссылается на него, следует попросить предоставить доказательства наличия редакции 2022 года. Как Руководство по переходу TUV SUD поясняет, редакция 2022 года заменила 114 средств контроля редакции 2013 года на 93 средства контроля в четырех темах, поэтому Заявление о применимости, основанное на старом списке, также устарело. Может быть невинная причина, например, веб-сайт, который никто не обновлял. Поставщик может иметь действующий сертификат 2022 года. Решение простое: запросите текущий сертификат, его редакцию, заявление об области действия и дату последнего аудита. Поставщик, который не может предоставить сертификат 2022 года после крайнего срока, не имеет сертификата, на который вы можете полагаться в соответствии с текущей редакцией, по состоянию на дату этой публикации.

Старые сертификаты 2013 года лежат в файлах поставщиков, потому что никто давно не открывал эту папку. Если вы найдете такой, недобросовестность маловероятна. Запросите замену и расценивайте медленный ответ как информацию.

Что следует спросить у аутсорсингового партнера об ISO 27001?

Попросите партнера письменно подтвердить, что сертификат распространяется на площадку и услугу, которые вы будете использовать. Он также должен охватывать данные, с которыми будет связано ваше взаимодействие. Семь запросов выполняют большую часть работы:

• Название и орган сертификации: точный стандарт и его редакция, указанные в сертификате, а также орган по сертификации, который его выдал. Запросите полный документ, а не значок.
• Заявление об области действия: формулировка области действия, проверенная на соответствие месту предоставления услуг и услуге, которую вы будете приобретать. Адрес и вид деятельности должны совпадать.
• Версия Заявления о применимости: номер версии и дата, а также список исключенных средств контроля с обоснованием. Версия, написанная для редакции 2013 года, устарела.
• Срок действия и дата последнего надзорного аудита: дата истечения срока действия сертификата и дата последнего надзорного аудита, соотнесенные с трехлетним циклом.
• Разделение данных клиентов: как ваши данные отделены от данных других клиентов, в системах и ролях доступа, а также на самой площадке. Спросите, где это соглашение описано в документированных средствах контроля поставщика.
• Субпроцессоры: каждая третья сторона, которая имеет доступ к вашим данным, например, хостинг или телефония. Спросите, входит ли каждая из них в область действия поставщика или имеет собственное подтверждение, и проверьте, что говорится в контракте об изменениях в этом списке.
• Условия уведомления об инцидентах: как быстро поставщик уведомляет вас об инциденте, по какому каналу и с какой детализацией. Сопоставьте это с обязанностями по уведомлению, которые вы несете сами.

Ни один из этих вопросов не является враждебным. Поставщик с работающей системой отвечает, опираясь на уже имеющиеся у него документы. Медленные ответы или общие заверения говорят о чем-то в системе, стоящей за сертификатом.

Для более широкого обзора выбора поставщика см. этот фреймворк для выбора партнера по BPO, а для операций, ориентированных на клиента, руководство по выбору партнера по аутсорсингу поддержки клиентов охватывает операционную сторону того же решения. Если вы все еще решаете, что именно аутсорсить, Что BPO означает для вашей операции излагает модель.

Какое место занимает PDPA Малайзии наряду с сертификатом?

Сертификат не заменяет соблюдение законодательства. Закон Малайзии о поправках к Закону о защите персональных данных 2024 года (Закон A1727) вводился поэтапно, и два его этапа важны для любого, кто передает на аутсорсинг работу, связанную с персональными данными. Согласно резюме отчета о защите данных, обязательства обработчика вступили в силу 1 апреля 2025 года вместе с изменениями в трансграничных передачах и более высокими штрафами. Уведомление о нарушении Комиссара и пострадавших лиц, а также назначение сотрудника по защите данных и переносимость данных последовали 1 июня 2025 года. Штрафы могут достигать 1 000 000 ринггитов и/или трех лет лишения свободы.

Сертификат ISO/IEC 27001 говорит о том, как организация управляет рисками безопасности. PDPA говорит о том, что требует закон при обработке персональных данных, кого необходимо уведомить после нарушения и как быстро. Эти два аспекта пересекаются, поскольку хороший процесс реагирования на инциденты помогает с уведомлением, но ни один из них не заменяет другой. Поставщик может иметь действующий сертификат и при этом нуждаться в условиях контракта, которые четко определяют обязанности обработчика и порядок уведомления вас о нарушениях.

Вот почему вопрос уведомления об инцидентах должен быть в вашем списке. Если вам придется уведомлять регулятора или пострадавших лиц, вы зависите от того, насколько оперативно и подробно поставщик сообщит вам информацию. Включите это ожидание в соглашение, а не предполагайте, что сертификат это покрывает. Получите юридическую консультацию о том, как поправки применяются к вашему соглашению, поскольку эта статья описывает обязанности и не применяет их к вашим конкретным обстоятельствам.

Для малайзийского взгляда на операционную сторону, статья о Конфиденциальность данных и соответствие требованиям в малазийских операциях BPO и CRM глубже рассматривает, как аутсорсинговые команды обрабатывают персональные данные.

Кто отвечает за контроль доступа, когда команда работает на вас?

Контроль доступа — это операционное решение, и оно остается за клиентом. В рамках модели SummitNext как работодателя (employer of record) разделение четкое: SummitNext несет ответственность за HR-функции, такие как расчет заработной платы, соблюдение нормативных требований и льготы. Вы сохраняете оперативное управление людьми, выполняющими работу. Решение о том, кто получает доступ к каким вашим системам, и пересмотр этого списка относятся к операционной стороне. Включите это в контракт и в должностную инструкцию назначенного ответственного лица.

Место работы персонала также меняет вопрос о сфере охвата. Сотрудники SummitNext могут работать как на вашей территории, так и на площадке доставки. Работа, выполняемая внутри вашего собственного здания и сети, находится под вашим контролем, поэтому заявление поставщика о сфере охвата имеет меньшее значение для самой площадки и большее — для того, как он управляет своими сотрудниками и их записями. Что касается кадровой стороны, Аутсорсинг HR в Малайзии объясняет, как распределяются HR-обязанности.

Эти положения применимы к SummitNext так же, как и к любому другому поставщику. Попросите любого поставщика предоставить в письменном виде свой сертификат, область действия и Заявление о применимости. Что касается стороны покупателя в рамках взаимодействия, ориентированного на безопасность, см. как SummitNext подходит к безопасному аутсорсингу для регулируемых предприятий, а для более широкого спектра услуг, поддержка безопасности и соответствия требованиям в рамках аутсорсинговых операций. Способ распределения площадок доставки также определяет, где хранятся ваши данные, как показано в пояснении о как модели доставки распределяют работу между площадками показывает.

Часто задаваемые вопросы

Что охватывает сертификация ISO 27001?

Только то, что организация включила в свою заявленную область действия, как это было установлено независимым аудитором на даты аудита. Площадки и субподрядчики, находящиеся за пределами области действия, не покрываются, и сертификат ничего не обещает относительно будущих инцидентов. Прочитайте заявление об области действия на самом сертификате, прежде чем полагаться на что-либо еще.

Как долго действителен сертификат ISO 27001?

Три года, с проверками по ходу дела. Надзорные аудиты проводятся не реже одного раза в каждый календарный год, за исключением лет, когда происходит ресертификация. Поэтому запросите у поставщика дату истечения срока действия и дату последнего надзорного аудита, и проверьте, соответствуют ли они этому циклу.

Действителен ли еще сертификат ISO 27001:2013?

Нет. После крайнего срока перехода 31 октября 2025 года на сертификат ISO 27001:2013 нельзя полагаться. Если поставщик все еще ссылается на него, запросите сертификат 2022 года, заявление об области действия и Заявление о применимости, отражающее 93 меры контроля текущей редакции.

Происходят ли у поставщика, сертифицированного по ISO 27001, утечки данных?

Да, может. Сертификация не гарантирует, что инциденты не произойдут. Она показывает, что существует система для выявления и ранжирования рисков, а также реагирования на сбои, что облегчает обнаружение и объяснение инцидентов. Вам все еще нужны условия контракта относительно уведомления, сотрудничества и того, кто несет ответственность, когда что-то идет не так.

Удовлетворяет ли сертификация ISO 27001 требованиям PDPA Малайзии?

Нет. Сертификат охватывает то, как компания управляет рисками безопасности, в то время как PDPA устанавливает юридические обязанности, включая обязательства обработчика данных с 1 апреля 2025 года и уведомление об утечке с 1 июня 2025 года. Отразите эти обязанности в контракте и получите юридическую консультацию о том, как они применяются к вам.

Что мне следует проверить в заявлении о сфере действия ISO 27001 поставщика?

Начните с места предоставления услуг и услуги, которую вы приобретаете. И то, и другое должно быть указано в сфере действия, поскольку сертификат действует только в ее пределах. Сопоставьте адрес и деятельность с вашим взаимодействием. Если ваша команда будет находиться в другом месте или использовать субподрядчиков, письменно уточните, распространяется ли на них действие сертификата или они обеспечиваются отдельно.

Заключение

Сертификация ISO 27001 — это полезный сигнал, но плохая замена для изучения того, что за ней стоит. Аудитор обнаружил действующую систему управления в рамках определенной области действия и на определенные даты, и это все, что говорится в сертификате. Распространяется ли область действия на ваше место предоставления услуг, ваши данные и всех, кто к ним прикасается, — это вопрос, который можете задать только вы.

Итак, сопоставьте сертификат с вашим взаимодействием, проверьте версию на соответствие сроку до 31 октября 2025 года и ознакомьтесь с Заявлением о применимости. Затем включите уведомление об инцидентах в контракт рядом с вашими обязанностями по PDPA. Если вам нужна помощь в применении этих вопросов к плану аутсорсинга в Малайзии, поговорите с нашей командой и запишитесь на бесплатную консультацию.