Фінансові компанії в Україні живуть між вимогами Національного банку, очікуваннями партнерів і зростанням кібератак. Міжнародний стандарт ISO/IEC 27001 допомагає звести ці вимоги в одну систему і показати її зовнішнім перевіряльникам.
Чому саме фінансовий сектор
- Партнери з ЄС працюють за регламентом DORA і перевіряють своїх постачальників ІКТ-послуг.
- Банки і платіжні системи вимагають доказів захисту даних від контрагентів.
- Інвестори і аудитори оцінюють операційні ризики, зокрема кіберризики.
Що дає стандарт
ISO/IEC 27001 вимагає оцінити ризики, обрати заходи з переліку з 93 контролів і довести, що вони працюють. У результаті компанія має реєстр ризиків, політики доступу, процедури реагування на інциденти, контроль постачальників і регулярний внутрішній аудит. Саме ці елементи найчастіше просять показати під час перевірок.
Сертифікат і регуляторні вимоги
Сертифікат не замінює виконання вимог НБУ чи DORA, але значна частина вимог збігається. Компанія з налагодженою системою ISO/IEC 27001 проходить регуляторні перевірки спокійніше, бо документи і записи вже є.
Як іде процес
Типові знахідки аудиторів у фінансових компаніях
Права доступу не переглядаються роками, особливо у підрядників. План безперервності є, але ніколи не тестувався. Постачальники хмарних і ІТ-послуг не оцінювались з точки зору безпеки. Інциденти обговорюють у месенджерах, але не реєструють. Усе це виправляється без великих витрат, якщо помітити до сертифікаційного аудиту.
Міжнародний сертифікат чи ДСТУ
Вимоги однакові: ДСТУ ISO/IEC 27001:2023 є перекладом міжнародного стандарту. Відрізняється акредитація органу сертифікації. Для партнерів з ЄС зазвичай потрібен міжнародний сертифікат.
З чого почати
Визначити область сертифікації: які продукти, процеси і площадки до неї входять. Для фінансової компанії це часто ядро ІТ, процесинг і робота з даними клієнтів. Далі оцінка ризиків, план обробки ризиків і заява про застосовність, яка показує, які контролі обрано і чому.
Корисно одразу продумати, як система ISO/IEC 27001 поєднуватиметься з іншими вимогами: PCI DSS для платіжних даних, захистом персональних даних, вимогами партнерів з ЄС. Одна система з кількома наборами вимог дешевша в підтримці, ніж кілька паралельних.
Підготовка, внутрішній аудит, потім сертифікаційний аудит акредитованим органом у два етапи. Сертифікат діє три роки з щорічними наглядовими аудитами. Обсяг аудиту розраховують за кількістю працівників і складністю діяльності. Детальніше про етапи і вимоги на сторінці сертифікація ISO/IEC 27001.
