ISO 27001 для IT-компаний и разработчиков программного обеспечения в Грузии, работающих на зарубежные рынки
Для грузинской компании по разработке программного обеспечения или аутсорсинговой компании ISO/IEC 27001 обычно сначала требование продаж, а уже потом проект по безопасности. Если выстроить систему вокруг реальной работы команды, она останется полезной и после аудита.
Почему его требуют иностранные клиенты
Клиенты в ЕС, Великобритании и США отправляют каждому новому поставщику длинные опросники по безопасности. Аккредитованный сертификат ISO/IEC 27001 не отменяет опросник, но сокращает его и позволяет пройти первый отбор. Давление усиливают и регуляторные тенденции:
- Организации в ЕС, на которые распространяется Директива NIS2, обязаны управлять рисками безопасности в цепочке поставок и передают часть этой обязанности своим поставщикам программного обеспечения.
- Финансовые организации ЕС с 17 января 2025 года применяют Регламент о цифровой операционной устойчивости (DORA), включая требования к сторонним поставщикам услуг ИКТ.
- Крупные клиенты из любой отрасли хотят видеть подтверждения безопасной разработки, управления доступом и реагирования на инциденты, прежде чем передавать рабочие данные.
Грузинский контекст
Многие IT-компании в Грузии пользуются статусом международной компании, который даёт сниженные ставки налога на прибыль и подоходного налога соответствующим требованиям IT-компаниям, оказывающим услуги в сфере программного обеспечения нерезидентам. Одно из условий: основная деятельность, приносящая доход, включая работу ключевого IT-персонала, осуществляется из Грузии. Для ISO 27001 это имеет практическое следствие: команда, которая создаёт и поддерживает продукт, находится в Тбилиси, Батуми или работает удалённо в пределах страны, и именно с этой командой будет проводить интервью аудитор.
Персональные данные клиентов, пользователей и сотрудников подпадают под Закон Грузии «О защите персональных данных», а данные жителей ЕС ещё и под GDPR. Оба закона должны быть в реестре законодательных требований СМИБ.
Определение области
Самая частая ошибка: область либо слишком узкая, чтобы удовлетворить клиентов, либо настолько широкая, что проект застревает. Помогают следующие вопросы:
- О каких услугах или продуктах спрашивают клиенты? SaaS-платформа, заказная разработка, модель выделенной команды, поддержка и сопровождение?
- Какое юридическое лицо подписывает договоры с клиентами? Если продаёт иностранная материнская компания, а разрабатывает грузинская, учитывать, возможно, придётся обе.
- Где выполняется работа? Офисы, коворкинги, удалённая работа из дома, сотрудники в командировках или работающие из других стран.
- Какая инфраструктура ваша, а какая клиента? Многие аутсорсинговые компании работают внутри среды клиента, и от этого зависит, какие меры применимы.
Формулируйте область так, чтобы клиент, читающий сертификат, понимал, что именно охвачено. «Проектирование, разработка и поддержка платформы [название продукта]» понятнее общей фразы.
Меры, которые аудиторы первыми проверяют в компаниях по разработке программного обеспечения
- Управление доступом. Процесс приёма, перевода и увольнения сотрудников, многофакторная аутентификация, отзыв доступа по окончании работы подрядчиков, пересмотры прав доступа с подтверждающими записями.
- Безопасная разработка. Приложение А к ISO/IEC 27001:2022 содержит меры по безопасному жизненному циклу разработки, безопасному программированию, тестированию безопасности, разделению сред и управлению изменениями. Аудиторы выборочно проверят запросы на слияние кода, результаты тестов и записи о выпусках.
- Облачные сервисы. Как вы выбираете, настраиваете и контролируете облачных провайдеров. ISO/IEC 27017 и ISO/IEC 27018 добавляют рекомендации по облачной безопасности и защите персональных данных в облаке, если этого просят клиенты.
- Удалённая работа и конечные устройства. Шифрование дисков, установка обновлений, учёт устройств и правила для личных устройств.
- Управление поставщиками. Фрилансеры и субподрядчики распространены в грузинской IT-отрасли; для них, как и для сотрудников, нужны договоры, соглашения о неразглашении и управление доступом.
- Журналирование, резервное копирование и реагирование на инциденты. Проверенное восстановление из резервных копий и как минимум один задокументированный инцидент или учения.
Смежные системы требований, о которых могут спросить клиенты
Американские клиенты часто запрашивают отчёт SOC 2 вместо ISO 27001 или в дополнение к нему. SOC 2 это заверительный отчёт, который выпускает лицензированная аудиторская фирма CPA в США, а не сертификат; работа по мерам контроля во многом пересекается. См. статью «SOC 2 для грузинских SaaS-стартапов». Если вы разрабатываете функции ИИ для клиентов из ЕС, следующий уровень требований описан в статье «ISO 42001 и Регламент ЕС об ИИ». Для продуктов, активно работающих с персональными данными, может понадобиться ISO 27701.
Как BALTUM работает с IT-компаниями
Мы проводим оценку несоответствий относительно ISO/IEC 27001:2022, согласуем с вами область и помогаем встроить меры в инструменты, которыми уже пользуются ваши инженеры, например в систему управления задачами, репозиторий кода и консоль облака, чтобы доказательства формировались в ходе обычной работы. Мы обучаем команду, проводим внутренний аудит и сопровождаем вас на аудите в аккредитованном органе по сертификации. Продолжительность зависит от области и исходного уровня и определяется после первичной оценки. Подробнее о стандарте: ISO 27001.
Чтобы обсудить область сертификации, воспользуйтесь формой на этом сайте или напишите на info@baltum.org.
Частые вопросы
Должны ли удалённые разработчики в Грузии входить в область ISO 27001?
Если они работают над услугами, входящими в область, да. Аудитор проверит, как контролируются их устройства, доступ и порядок работы, и может провести дистанционные интервью с некоторыми из них.
Можно ли сертифицировать только один продукт?
Да. Область, ограниченная одной платформой или услугой вместе с поддерживающими её людьми и процессами, встречается часто, и её можно расширить позже.
