ISO 27001 практичний чекліст

Рівень: Початковий / Середній
Час читання: ~12 хвилин

Що таке ISO 27001 і навіщо він бізнесу?

ISO 27001 — це міжнародний стандарт інформаційної безпеки, який описує як правильно захищати дані компанії. Багато власників малого бізнесу вважають що цей стандарт тільки для великих корпорацій. Це помилка.

Ось чому ISO 27001 актуальний для бізнесу:

• Клієнти вимагають. Все більше замовників, особливо з Європи та США, вимагають від підрядників підтвердження безпеки даних.
• GDPR зобов’язує. Якщо ви працюєте з персональними даними громадян ЄС — ви зобов’язані їх захищати.
• Кіберзагрози зростають. Бізнес — ціль номер один для хакерів.
• Репутація. Один витік даних може знищити довіру клієнтів назавжди.

Хороша новина: впровадити базовий рівень ISO 27001 цілком реально навіть без великого бюджету і окремого відділу безпеки.

Як влаштований ISO 27001?

Стандарт складається з двох частин:

1. Організаційні вимоги — документи, процеси, навчання персоналу
2. Технічні контролі — конкретні заходи захисту (Annex A)

Для бізнесу найважливіше розуміти: ISO 27001 — це не список програм для встановлення. Це система управління безпекою, яка поєднує людей, процеси і технології.

Практичний чекліст: з чого почати

1. Технічний захист пристроїв

Антивірус і захист кінцевих точок

• [ ] Встановлено корпоративний антивірус на всіх пристроях (Windows і macOS)
• [ ] Налаштовано централізоване керування і моніторинг
• [ ] Увімкнено автоматичне сканування
• [ ] Налаштовано сповіщення про загрози

Шифрування

• [ ] BitLocker увімкнено на всіх Windows пристроях
• [ ] FileVault увімкнено на всіх macOS пристроях
• [ ] Ключі відновлення збережені в безпечному місці (наприклад 1Password)

Оновлення

• [ ] Увімкнено автоматичні оновлення операційної системи
• [ ] Регулярно оновлюються всі встановлені програми
• [ ] Браузери оновлені до останніх версій

2. Управління доступом

Паролі та автентифікація

• [ ] Впроваджено корпоративний менеджер паролів
• [ ] Увімкнено двофакторну автентифікацію (2FA) на всіх сервісах
• [ ] Паролі унікальні для кожного сервісу
• [ ] Мінімальна довжина паролю — 12 символів

Принцип мінімальних привілеїв

• [ ] Кожен співробітник має доступ тільки до тих даних, які потрібні для роботи
• [ ] Адміністраторські права видані тільки тим, кому вони дійсно потрібні
• [ ] Регулярно переглядається список доступів

Управління обліковими записами

• [ ] Заведено процедуру створення облікового запису для нового співробітника
• [ ] Заведено процедуру блокування облікового запису при звільненні
• [ ] Окремі акаунти для кожного співробітника (не спільні)

3. Захист даних

Резервне копіювання

• [ ] Налаштовано автоматичні бекапи всіх критичних даних
• [ ] Бекапи зберігаються в окремому місці (інша хмара або фізичний носій)
• [ ] Регулярно перевіряється можливість відновлення з бекапу
• [ ] Визначено час відновлення (RTO) і точку відновлення (RPO)

Контроль доступу до файлів

• [ ] Хмарне сховище налаштовано так, щоб файли не шерились зовні за замовчуванням
• [ ] Налаштовано сповіщення при шерингу файлів за межі організації
• [ ] Увімкнено аудит-логи дій з файлами
• [ ] Конфіденційні документи зберігаються окремо з обмеженим доступом

4. Мережева безпека

Базовий захист

• [ ] Увімкнено файрвол на всіх пристроях
• [ ] Мережевий файрвол налаштовано на роутері/шлюзі
• [ ] Корпоративна та гостьова WiFi мережі розділені
• [ ] Регулярно змінюються паролі до мережевого обладнання

Моніторинг

• [ ] Увімкнено логування мережевих подій
• [ ] Налаштовано сповіщення про підозрілу активність
• [ ] Визначено відповідального за моніторинг

5. Безпека хмарних сервісів

Google Workspace / Microsoft 365

• [ ] Увімкнено 2FA для всіх користувачів
• [ ] Налаштовано політики доступу
• [ ] Увімкнено аудит-логи
• [ ] Обмежено встановлення сторонніх додатків
• [ ] Налаштовано сповіщення про підозрілу активність входу

Сторонні сервіси

• [ ] Складено список всіх хмарних сервісів які використовує компанія
• [ ] Перевірено умови конфіденційності кожного сервісу
• [ ] Підписано DPA (угода про обробку даних) з ключовими провайдерами

6. Організаційні вимоги

Документація (обов’язкова для ISO 27001)

• [ ] Політика інформаційної безпеки
• [ ] Оцінка ризиків
• [ ] План реагування на інциденти
• [ ] Політика резервного копіювання
• [ ] Політика доступу і паролів
• [ ] Політика використання пристроїв

Навчання персоналу

• [ ] Проводиться регулярне навчання з кібербезпеки
• [ ] Співробітники знають як розпізнати фішинг
• [ ] Є чіткий процес повідомлення про підозрілі події
• [ ] Нові співробітники проходять інструктаж з безпеки

Управління інцидентами

• [ ] Є процедура реагування на інциденти безпеки
• [ ] Всі інциденти документуються
• [ ] Після інциденту проводиться аналіз причин

7. Управління ризиками

• [ ] Складено реєстр інформаційних активів (що саме захищаємо)
• [ ] Проведено оцінку ризиків для кожного активу
• [ ] Для кожного ризику визначено заходи зниження
• [ ] Оцінка ризиків оновлюється регулярно (мінімум раз на рік)

Пріоритети впровадження

Якщо ви тільки починаєте — не намагайтесь зробити все одразу. Ось рекомендований порядок:

Тиждень 1-2: Основи

1. Увімкнути 2FA скрізь
2. Впровадити менеджер паролів
3. Увімкнути шифрування дисків (BitLocker/FileVault)
4. Налаштувати автооновлення

Місяць 1: Захист даних

5. Налаштувати бекапи (протокол 3-2-1)
6. Встановити корпоративний антивірус
7. Налаштувати контроль доступу до файлів

Місяць 2-3: Моніторинг і документація

8. Увімкнути аудит-логи
9. Налаштувати сповіщення
10. Написати ключові політики безпеки

Місяць 3-6: Підготовка до сертифікації

11. Провести оцінку ризиків
12. Навчити персонал
13. Обрати GRC платформу для автоматизації аудиту

Скільки це коштує?

Ось приблизна картина для компанії з 10-50 співробітників станом на 2026 рік:

Часті помилки

1. “Ми маленькі — нас не зламають” Малий бізнес атакують частіше великого саме тому, що там менше захисту. 43% кібератак спрямовані на малий бізнес.

2. “У нас немає важливих даних” Будь-яка база клієнтів, фінансові дані, паролі — це цінні дані. За їх витік можна отримати штраф за GDPR до 4% річного обороту.

3. “Антивіруса достатньо” Антивірус — це лише одна частина захисту. ISO 27001 охоплює набагато більше: процеси, людей, документи.

4. “Зробимо документи для галочки” ISO 27001 вимагає реального впровадження, а не формальних документів. Аудитори перевіряють чи система реально працює.

5. “Це одноразовий проєкт” ISO 27001 — це постійний процес. Щороку проводиться наглядовий аудит, кожні 3 роки — ресертифікація.

Висновок

ISO 27001 — це не страшно і не тільки для великих компаній. Базовий рівень захисту можна впровадити за 3-6 місяців навіть невеликою командою.

Головне — почати. Навіть якщо ви не плануєте офіційну сертифікацію, впровадження контролів зі стандарту значно підвищить безпеку вашого бізнесу і захистить від більшості кіберзагроз.

Перший крок: увімкніть 2FA на всіх акаунтах прямо сьогодні. Це займе 30 хвилин і закриє одну з найпоширеніших вразливостей.

Маєте питання про впровадження ISO 27001? Залишайте коментарі — відповімо на кожне!